Por que converter HVE para JSON?
Um .hve é uma colmeia de registro binária, e exportá-la para .JSON fornece uma estrutura aninhada e legível por máquina que scripts, SIEMs e pipelines de DFIR podem ingerir. Cada chave se torna um objeto com suas subchaves, nomes de valores, dados e carimbos de data/hora.
Como converter HVE para JSON
regipy OPEN-SOURCE
Instale com pip install regipy[full], depois execute regipy-dump hive.hve -o out.json para despejar toda a colmeia para JSON.
python-registry
Use a biblioteca para abrir a colmeia com Registry.Registry("hive.hve"), percorra as chaves recursivamente e serialize cada entrada com o módulo json do Python.
regipy (modo biblioteca)
No Python, itere RegistryHive("hive.hve").recurse_subkeys(as_json=True) e grave os objetos em um arquivo .json para uma saída personalizada.
Sobre estes formatos
Um arquivo .hve é uma hive do Registro do Windows: um banco de dados binário que armazena chaves e valores do registro no formato regf. O que você provavelmente encontrará é o Amcache.hve,…
Abrir detalhes de .HVE →Um arquivo JSON é um arquivo de dados em texto simples no formato JavaScript Object Notation, usado por APIs web, configurações de aplicativos e exportações de dados. Qualquer editor de…
Abrir detalhes de .JSON →Qualidade e o que observar
- Valores binários (
REG_BINARY) e alguns valores codificados são armazenados como strings hexadecimais ou base64, não como tipos nativos. - Um despejo completo da colmeia pode ser muito grande, já que cada chave, valor e carimbo de data/hora é serializado.
- Logs de transação (
.LOG1/.LOG2) não são aplicados a menos que você os reproduza primeiro, portanto, alterações recentes podem estar ausentes.
Perguntas frequentes
Qual comando despeja uma colmeia para JSON?
regipy-dump hive.hve -o out.json analisa a colmeia offline e grava toda a árvore como JSON.O JSON é melhor que o CSV para uma colmeia de registro?
Essas ferramentas funcionam sem Windows?
.hve diretamente e são independentes de sistema operacional.