HOME
SANS GIAC GCFE (Forensic Examiner)

「SANS GIAC GCFE (Forensic Examiner)」の記事一覧

システムの時刻変更を検出するために調査すべきWindowsセキュリティイベントログのIDはどれか。

イベントID 4616は、システム時刻が変更された際に、変更前と変更後の時間を記録する。

2026年3月21日

アプリケーション互換性キャッシュとも呼ばれ、実行ファイルのパス、サイズ、最終更新日時を記録し、実行の有無を確認するために使用されるアーティファクトはどれか。

ShimCacheはアプリケーションの互換性問題を解決するために使用されるが、フォレンジックでは実行ファイル…

2026年3月21日

Microsoft Outlookで使用されるデータファイル形式で、サーバー上のメールボックスのローカルキャッシュとして機能するものはどれか。

OST (Offline Storage Table) ファイルは、Exchangeサーバー等のメールボックスのオフラインコピーを保持…

2026年3月21日

ファイルシステムにおいて、ファイルの内容が変更されたわけではないが、別のボリュームへの移動や名前の変更が発生した場合に更新されるNTFSタイムスタンプはどれか。

Entry Modified (MFT Entry Modified) は、ファイル名変更や属性変更、移動などでMFTレコードが更新された…

2026年3月21日

ユーザーがGUI経由で実行したプログラムの履歴（実行回数や最終実行日時など）を追跡するために有用なレジストリキーはどれか。

UserAssistキーは、Windowsエクスプローラ経由で実行されたGUIプログラムのGUIDや実行情報をROT13で暗号化…

2026年3月21日

削除されたファイルがごみ箱に移動された際、元のファイル名やパス情報を管理するために生成されるファイルはどれか（Windows 10以降）。

$Iファイル（インデックスファイル）には、削除されたファイルの元のパスと削除日時が記録される。

2026年3月21日

Google Chromeにおいて、閲覧履歴やダウンロード履歴が保存されているSQLiteデータベースファイルの名前はどれか。

Chromeの閲覧履歴は通常、ユーザーデータフォルダ内の「History」という名前のファイルに保存される。

2026年3月21日

Windowsセキュリティイベントログにおいて、ログオン成功を示すイベントIDはどれか。

イベントID 4624はアカウントが正常にログオンしたことを記録するイベントである。

2026年3月21日

NTFSにおいて、ファイルサイズが非常に小さい場合、データ自体がMFTエントリ内に直接格納される属性はどれか。

常駐属性(Resident)として、$DATA属性内に数バイトから数百バイトのデータが直接格納されることがある。

2026年3月21日

過去に接続されたUSBデバイスの情報を調査する際、デバイスのシリアルナンバーやベンダーIDを確認できるレジストリキーはどれか。

HKLM\SYSTEM\CurrentControlSet\Enum\USBSTORキーには、接続されたUSBマスストレージデバイスの識別情報が…

2026年3月21日