Segurança do Registro do Windows: Guia Completo

O registro do Windows é um banco de dados crucial que exige proteção especial. Este guia mostra como proteger e gerenciar o registro de forma eficaz.

1. Gerenciamento de Permissões

Configuração de ACLs

# Exibir as permissões de uma chave
reg query "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run" /s

# Modificar as permissões de uma chave
reg add "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run" /v "ProgramName" /t REG_SZ /d "C:\Program\Path" /f

# Excluir uma chave
reg delete "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run" /v "ProgramName" /f

Proteção de Chaves Sensíveis

# Script de proteção das chaves sensíveis
function Protect-RegistryKeys {
    $sensitiveKeys = @(
        "HKLM:\SOFTWARE\Microsoft\Windows\CurrentVersion\Run",
        "HKLM:\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce",
        "HKLM:\SYSTEM\CurrentControlSet\Services"
    )
    
    foreach ($key in $sensitiveKeys) {
        $acl = Get-Acl $key
        $acl.SetAccessRuleProtection($true, $false)
        Set-Acl $key $acl
    }
}

2. Monitoramento do Registro

Detecção de Modificações

# Script de monitoramento do registro
function Monitor-RegistryChanges {
    param (
        [string]$RegistryPath,
        [string]$OutputFile
    )
    
    $watcher = New-Object System.IO.FileSystemWatcher
    $watcher.Path = $RegistryPath
    $watcher.NotifyFilter = [System.IO.NotifyFilters]::LastWrite
    $watcher.EnableRaisingEvents = $true
    
    $action = {
        $path = $Event.SourceEventArgs.FullPath
        $changeType = $Event.SourceEventArgs.ChangeType
        $timestamp = (Get-Date).ToString()
        Add-Content $OutputFile "$timestamp - $changeType - $path"
    }
    
    Register-ObjectEvent $watcher "Changed" -Action $action
}

Auditoria de Modificações

# Configuração da auditoria do registro
auditpol /set /category:"Registry" /success:enable /failure:enable

# Script de análise dos logs
function Analyze-RegistryLogs {
    $events = Get-EventLog -LogName Security -Source "Security" -After (Get-Date).AddHours(-24)
    $registryEvents = $events | Where-Object {$_.EventID -eq 4656 -or $_.EventID -eq 4657}
    
    foreach ($event in $registryEvents) {
        Write-Host "Modification du registre détectée: $($event.TimeGenerated) - $($event.Message)"
    }
}

3. Proteção contra Malware

Detecção de Modificações Maliciosas

# Script de detecção de modificações maliciosas
function Detect-MaliciousRegistryChanges {
    $suspiciousPatterns = @(
        ".*\.exe$",
        ".*\.dll$",
        ".*\.bat$",
        ".*\.cmd$"
    )
    
    $startupKeys = @(
        "HKLM:\SOFTWARE\Microsoft\Windows\CurrentVersion\Run",
        "HKLM:\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce",
        "HKCU:\SOFTWARE\Microsoft\Windows\CurrentVersion\Run"
    )
    
    foreach ($key in $startupKeys) {
        $values = Get-ItemProperty $key
        foreach ($value in $values.PSObject.Properties) {
            foreach ($pattern in $suspiciousPatterns) {
                if ($value.Value -match $pattern) {
                    Write-Host "Valeur suspecte détectée dans $key : $($value.Name)"
                }
            }
        }
    }
}

Limpeza do Registro

# Script de limpeza do registro
function Cleanup-Registry {
    # Remoção das chaves órfãs
    $orphanedKeys = Get-ChildItem "HKLM:\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall" | 
        Where-Object { -not (Test-Path $_.PSPath) }
    
    foreach ($key in $orphanedKeys) {
        Remove-Item $key.PSPath -Force
    }
    
    # Limpeza das entradas de inicialização
    $startupKeys = @(
        "HKLM:\SOFTWARE\Microsoft\Windows\CurrentVersion\Run",
        "HKCU:\SOFTWARE\Microsoft\Windows\CurrentVersion\Run"
    )
    
    foreach ($key in $startupKeys) {
        $values = Get-ItemProperty $key
        foreach ($value in $values.PSObject.Properties) {
            if (-not (Test-Path $value.Value)) {
                Remove-ItemProperty $key -Name $value.Name
            }
        }
    }
}

4. Backup e Restauração

Backup do Registro

# Script de backup do registro
function Backup-Registry {
    $backupPath = "C:\RegistryBackup"
    if (-not (Test-Path $backupPath)) {
        New-Item -ItemType Directory -Path $backupPath
    }
    
    $timestamp = (Get-Date).ToString("yyyyMMdd_HHmmss")
    $backupFile = Join-Path $backupPath "registry_backup_$timestamp.reg"
    
    # Backup das chaves importantes
    $importantKeys = @(
        "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run",
        "HKLM\SYSTEM\CurrentControlSet\Services",
        "HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run"
    )
    
    foreach ($key in $importantKeys) {
        reg export $key "$backupFile" /y
    }
}

Restauração do Registro

# Script de restauração do registro
function Restore-Registry {
    param (
        [Parameter(Mandatory=$true)]
        [string]$BackupFile
    )
    
    if (Test-Path $BackupFile) {
        reg import $BackupFile
        Write-Host "Restauration du registre effectuée avec succès"
    } else {
        Write-Host "Fichier de sauvegarde non trouvé"
    }
}

5. Boas Práticas

Verificação de Segurança

# Script de verificação de segurança do registro
function Test-RegistrySecurity {
    $issues = @()
    
    # Verificação das permissões
    $sensitiveKeys = @(
        "HKLM:\SOFTWARE\Microsoft\Windows\CurrentVersion\Run",
        "HKLM:\SYSTEM\CurrentControlSet\Services"
    )
    
    foreach ($key in $sensitiveKeys) {
        $acl = Get-Acl $key
        if (-not ($acl.Access | Where-Object {$_.IdentityReference -eq "NT AUTHORITY\SYSTEM"})) {
            $issues += "Permissions incorrectes sur $key"
        }
    }
    
    # Verificação dos valores suspeitos
    $startupKeys = @(
        "HKLM:\SOFTWARE\Microsoft\Windows\CurrentVersion\Run",
        "HKCU:\SOFTWARE\Microsoft\Windows\CurrentVersion\Run"
    )
    
    foreach ($key in $startupKeys) {
        $values = Get-ItemProperty $key
        foreach ($value in $values.PSObject.Properties) {
            if ($value.Value -match "\.(exe|dll|bat|cmd)$") {
                $issues += "Valeur suspecte dans $key : $($value.Name)"
            }
        }
    }
    
    return $issues
}

Manutenção Automática

# Script de manutenção do registro
function Update-RegistrySecurity {
    # Proteção das chaves sensíveis
    Protect-RegistryKeys
    
    # Limpeza das entradas órfãs
    Cleanup-Registry
    
    # Backup do registro
    Backup-Registry
    
    # Verificação de segurança
    $issues = Test-RegistrySecurity
    foreach ($issue in $issues) {
        Write-Host "Problème détecté : $issue"
    }
}

Conclusão

A proteção do registro do Windows exige:

• Um gerenciamento rigoroso das permissões
• Um monitoramento constante
• Backups regulares
• Uma documentação precisa

Pontos-chave a lembrar:

• Proteger as chaves sensíveis
• Monitorar as modificações
• Fazer limpezas regularmente
• Manter backups
• Seguir as boas práticas