「SANS GIAC GCFE (Forensic Examiner)」の記事一覧

特定の実行ファイルが「管理者として実行」されたことを、イベントID 4688（プロセス作成）のどのフィールドから確認できるか。

Windows 10の「Cloud Store」レジストリキーにおいて、タイル表示やタスクバーの設定などの同期情報を保持しているハイブファイルはどれか。

メモリダンプ解析において、解放されたメモリプール（Freed Pool）からデータをカービングする際、データの信頼性を評価するために確認すべきメタデータはどれか。

「User Profile Service」のイベントログ（Microsoft-Windows-User Profile Service/Operational）で、イベントID 2が記録された場合、何が発生したことを示すか。

Windows 10のタイムライン機能（ActivitiesCache.db）において、別デバイスからのアクティビティであることを示す「Platform」フィールドの値は何か。

同一のUSBメモリを異なるUSBポートに挿入した場合、Windows 7以前とWindows 8以降（10含む）でのレジストリ作成挙動の違いは何か。

タスクスケジューラのログにおいて、タスクが「隠しタスク」として登録されているかどうかを直接示すフィールドはあるか。

OutlookのMAPIプロパティにおいて、メッセージの「送信日時（Client Submit Time）」を示すプロパティIDタグはどれか。

HSTSのプリロードリスト（Preload List）に登録されているドメインに対して、ユーザーが初めてアクセスした場合のブラウザの挙動はどれか。

Windows 10のトースト通知データベース（wpndatabase.db）内の画像データ（IconやImage）は、データベース内にBlobとして保存されるか、外部ファイルとして保存されるか。