HOME
SANS GIAC GCFE (Forensic Examiner)

「SANS GIAC GCFE (Forensic Examiner)」の記事一覧

SYSTEMハイブの「Select」キーにおいて、「Failed」値が「1」以外の値を示している場合、何を意味するか。

Failed値は、起動に失敗したとマークされたControlSetの番号を示しており、トラブルシューティングや過去…

2026年3月21日

ボリュームシャドウコピー（VSS）の実体データは、NTFSボリューム上のどこに保存されているか。

VSSのスナップショットデータ（Diff Area）は、各ボリュームのルートにある「System Volume Information」…

2026年3月21日

エクスプローラで「最近表示した場所」の履歴を管理する「LastVisitedPidlMRU」キーにおいて、各エントリには何が記録されているか。

各エントリには、アプリケーションの実行ファイル名と、そのアプリで開いたフォルダの場所を示すPIDL（Ite…

2026年3月21日

Windowsが接続したネットワークの「Category（Public/Private）」を変更した履歴は、どのイベントログに残る可能性があるか。

NetworkProfile/Operationalログには、ネットワークの識別やカテゴリ変更（ID 10000, 10001等）に関するイ…

2026年3月21日

WMI（Windows Management Instrumentation）の永続化攻撃（WMI Persistence）を調査するために解析すべきWMIリポジトリファイルはどれか。

WBEMフォルダ内のOBJECTS.DATAには、WMIクラス定義やインスタンス（FilterやConsumerの設定を含む）が格納…

2026年3月21日

USBデバイスの「FriendlyName」がレジストリに存在しない場合、OSはどこからデバイスの表示名を取得して表示するか。

FriendlyNameが生成されていない場合、デバイス自体が持つProduct Name文字列や、ドライバ定義の標準名称…

2026年3月21日

Outlookの検索インデックス機能（Windows Search）が作成する、メールコンテンツのインデックスが含まれるデータベースはどれか。

OutlookのメールデータはWindows Searchによってインデックス化され、そのデータはProgramData配下のWindo…

2026年3月21日

HTTPレスポンスヘッダの「Last-Modified」と「Date」の差分を確認することで、何が推測できるか。

サーバーが生成した「Date」ヘッダと、ローカルで保存されたタイムスタンプやLast-Modifiedを比較すること…

2026年3月21日

システムに新しいサービスがインストールされたことを示すイベントID 7045（Systemログ）において、特に注目すべきフィールドはどれか。

Image Path（実行ファイルのパス）は、正規のサービスを装ったマルウェアや、不審なディレクトリから実行…

2026年3月21日

「BAM (Background Activity Moderator)」エントリは、システムの再起動後にどうなるか。

BAMエントリはレジストリ（SYSTEMハイブ）に書き込まれているため、再起動後も保持され、実行履歴として利…

2026年3月21日