なぜ HVE を JSON に変換するのですか？
.hve はバイナリ形式のレジストリハイブであり、.JSON にエクスポートすることで、スクリプト、SIEM、DFIR パイプラインで取り込み可能な、ネストされたマシンリーダブルな構造が得られます。各キーは、サブキー、値の名前、データ、タイムスタンプを持つオブジェクトになります。
HVE から JSON への変換方法
regipy OPEN-SOURCE
pip install regipy[full] でインストールし、regipy-dump hive.hve -o out.json を実行してハイブ全体を JSON にダンプします。
python-registry
ライブラリを使用して Registry.Registry("hive.hve") でハイブを開き、キーを再帰的に取得して Python の json モジュールで各エントリをシリアル化します。
regipy (ライブラリモード)
Python 内で RegistryHive("hive.hve").recurse_subkeys(as_json=True) を反復処理し、カスタム出力用にオブジェクトを .json ファイルに書き込みます。
これらの形式について
.hveファイルはWindowsレジストリハイブです。これは、レジストリのキーと値をregf形式で保存するバイナリデータベースです。最も一般的に目にするのは、プログラムの実行履歴を記録するフォレンジックアーティファクトであるAmcache.hveです。.hveファイルはダブルクリックでは開けません。Eric Zimmerman氏のRegistry…
.HVE の詳細を開く →
.JSON
JavaScript Object Notation file
JSON ファイルは JavaScript Object Notation 形式のプレーンテキストデータファイルで、ウェブ API、アプリの設定、データのエクスポートに使用されます。Windows のメモ帳や Mac の TextEdit など、あらゆるテキストエディタで開くことができますが、本格的な作業には VS Code や Notepad++…
.JSON の詳細を開く →品質と注意点
- バイナリ（
REG_BINARY）や一部のエンコードされた値は、ネイティブ型ではなく 16 進数または base64 文字列として保存されます。 - すべてのキー、値、タイムスタンプがシリアル化されるため、ハイブ全体のダンプは非常に大きくなる可能性があります。
- トランザクションログ（
.LOG1/.LOG2）は、事前に再生（リプレイ）しない限り適用されないため、最近の変更が反映されない場合があります。
よくある質問
ハイブを JSON にダンプするコマンドは何ですか？
regipy-dump hive.hve -o out.json はオフラインハイブを解析し、ツリー全体を JSON として書き出します。レジストリハイブにおいて JSON は CSV より優れていますか？
これらのツールは Windows 以外でも動作しますか？
.hve ファイルを直接解析するため、OS に依存しません。
