HOME
SANS GIAC GCFE (Forensic Examiner)

「SANS GIAC GCFE (Forensic Examiner)」の記事一覧

ジャンプリスト（DestList）における「AppID（Application ID）」の算出方法は主に何に基づいているか。

AppIDは実行ファイルのパスに基づいて決定されるため、異なるパスに移動した同じEXEは別のAppID（およびジ…

2026年3月21日

Windows 10において、最後にログオンしたユーザーのドメイン名やユーザー名を保持している「IdentityCRL」に関連するパスはどこか。

IdentityCRL（Cloud Reference Layer）には、MicrosoftアカウントなどのオンラインIDに関連するログオン履…

2026年3月21日

NTFSの代替データストリーム（ADS）が作成される際、$MFTレコード内ではどの属性が増分されるか。

ADSは、名前の付いていないデフォルトの$DATA属性とは別に、特定の名前を持つ追加の$DATA属性として管理さ…

2026年3月21日

メモリ内の「VAD (Virtual Address Descriptor)」ツリーを解析することで判明する情報はどれか。

VADツリーは、各メモリ領域がどのように予約・コミットされ、どのような権限（Read/Write/Execute）が与え…

2026年3月21日

Windows 10の「Timeline（ActivitiesCache.db）」において、アクティビティがいつ終了したかを記録しているカラムはどれか。

Expiration Timeは通常、開始時刻から一定時間後（または30日後）に設定されるが、アクティビティの「持続…

2026年3月21日

OutlookのOSTファイルにおいて、特定のメールアイテムがサーバーから完全に同期されているかを判断するために確認すべき属性はどれか。

配送日時の有無やサーバー側のタイムスタンプとの比較により、同期状況を推測できる。

2026年3月21日

「setupapi.dev.log」において、デバイスの接続履歴を調査する際、「>>>」で始まる行は何を意味するか。

「>>>」は各セクションの開始ヘッダであり、そこに操作内容（Device Install等）とローカルのタイムスタン…

2026年3月21日

Firefoxの「places.sqlite」内の「moz_places」テーブルに含まれる「frecency」というカラムは何を表しているか。

frecencyスコアは、アドレスバーの補完候補などの優先順位を決定するために使用されるアルゴリズムの結果…

2026年3月21日

イベントID 4624（ログオン成功）において、「ログオンタイプ 7」は何を意味するか。

タイプ7は、既にログオン済みのユーザーが画面のロックを解除した際に記録される。

2026年3月21日

システムの環境変数（PathやTEMPなど）がシステム全体に対して設定されているレジストリパスはどこか。

システム全体の環境変数はHKLMのSession Manager配下に、ユーザーごとの変数は各ユーザーのNTUSER.DAT配下…

2026年3月21日