На основе анализа структуры реестра Windows рассматриваются такие особенности его исследования, как восстановление удаленных записей, чтение временных меток для некоторых криминалистически значимых ключей реестра, получение связанной информации о событиях на основе записей, содержащихся в разных ветвях реестра.