HOME
SANS GIAC GCFE (Forensic Examiner)

「SANS GIAC GCFE (Forensic Examiner)」の記事一覧

EFS（Encrypting File System）で暗号化されたファイルの$MFTレコードにおいて、暗号化に使用された鍵情報（DDF/DRF）が含まれる属性はどれか。

EFSのメタデータ（ユーザーごとの暗号化キーなど）は、$LOGGED_UTILITY_STREAM属性（名前は$EFS）としてフ…

2026年3月21日

Windows 10のクリップボード履歴機能（Win+V）で保存されたテキストや画像のデータは、どこに保存されるか。

クリップボードの履歴データは、タイムライン機能と同じActivitiesCache.db内の特定のアクティビティタイ…

2026年3月21日

Amcache.hveに含まれる「FileRef」要素は、どのMFTエントリ情報を指しているか。

FileRef（File Reference）は、ボリューム内でのファイルを一意に識別するためのMFTエントリ番号とシーケ…

2026年3月21日

Windows 8以降のハイバネーションファイル（hiberfil.sys）で使用されている圧縮アルゴリズムは主にどれか。

Windows 8以降、ハイバネーションファイルの圧縮形式は進化しており、XpressやHuffmanなどのアルゴリズム…

2026年3月21日

USBデバイスの「Last Removal Time（最終取り外し日時）」を直接記録するWindowsの標準的なログやアーティファクトは存在するか。

「切断」を直接記録する単一のレジストリ値は存在せず、PnPイベントログやデバイスインスタンスの最終書き…

2026年3月21日

ごみ箱（Recycle Bin）の$Rファイル（実データ）のファイル名の形式はどれか。

$Rファイルおよび$Iファイルは、「$R」または「$I」＋「6文字のランダムな英数字」＋「元の拡張子」という…

2026年3月21日

OutlookのMSGファイル内部で、添付ファイルが格納されているストレージ名はどのような規則で命名されているか。

MSGファイル（OLECF）内では、各添付ファイルは「__attach_version1.0_」に続く連番（インデックス）で命…

2026年3月21日

Windowsファイアウォールの設定変更を監査するために監視すべきイベントログはどれか。

このログ（Firewall/Operational等）には、ルールの追加・変更・削除などの詳細なファイアウォール管理操…

2026年3月21日

Chromium系ブラウザの「Web Data」データベースファイルに格納されている情報の代表的なものはどれか。

Web Dataファイル（SQLite）には、フォームの自動入力データ、検索プロバイダの設定、およびアドレスバー…

2026年3月21日

Prefetchファイルの解析において、実行回数（Run Count）が「1」であるにもかかわらず、作成日時が古い場合、何が推測されるか。

実行回数がリセットされている場合、Prefetchファイル自体が削除され、その後の初回実行時に再生成された…

2026年3月21日