HOME
SANS GIAC GCFE (Forensic Examiner)

「SANS GIAC GCFE (Forensic Examiner)」の記事一覧

Prefetchファイルの内部に存在する「Hash」値は、実行ファイルのパスから生成されるが、同じパスでも複数のPrefetchができる例外的なアプリはどれか。

svchost.exeなどは、実行時の引数（-kなど）によって異なるタスクを実行するため、パスと引数の組み合わせ…

2026年3月21日

NTFSの「$Bitmap」ファイルの役割は何か。

$Bitmapはビットマップ形式で各クラスタの使用状況（0=空き、1=使用中）を管理し、新規データの書き込み先…

2026年3月21日

Volatilityの「malfind」プラグインが検出対象とする、不審なメモリ領域の特徴はどれか。

実行と書き込みの両方の権限を持つメモリ領域（RWX）は、コードインジェクションの典型的な兆候であるため…

2026年3月21日

「MountPoints2」キー配下の各ボリュームエントリの「最終書き込み日時」が更新されるのは、どのような操作が行われた時か。

MountPoints2はそのユーザーが特定のドライブを最後に「ブラウズ（閲覧）」した時間を追跡するのに非常に…

2026年3月21日

電子メールが「開封済み」であるかどうかを示すステータスは、PSTファイル内のどのプロパティに含まれるか。

PR_MESSAGE_FLAGSの特定ビットを確認することで、そのメッセージが既読（Read）か未読（Unread）かを判別…

2026年3月21日

「Amcache.hve」の解析において、ある実行ファイルが「初めて実行された日時」を推測するために使用される「First Run」系のタイムスタンプは、実際に何を意味しているか。

Amcacheのタイムスタンプは「アプリの実行」を直接記録するものではなく、インベントリ機能による「発見・…

2026年3月21日

Google Chromeの「Top Sites」データベースには何が記録されているか。

Top Sitesには、ブラウザの新しいタブページなどに表示される、利用頻度の高いサイトの統計情報が保存され…

2026年3月21日

レジストリの「Enum\USB」キーと「Enum\USBSTOR」キーの決定的な違いは何か。

Enum\USBにはあらゆるUSBデバイス（HID, Hub等）の情報が、USBSTORにはマスストレージクラスのデバイス情…

2026年3月21日

「AppCompatCache（ShimCache）」のデータがレジストリ（SYSTEMハイブ）に書き込まれるタイミングはいつか。

ShimCacheはメモリ上で管理されており、システムが正常に終了する際にレジストリのSYSTEMハイブへ保存され…

2026年3月21日

WMI（Windows Management Instrumentation）を用いた攻撃で、永続化のための「イベントコンシューマ」が登録されたことを示すイベントIDはどれか。

Microsoft-Windows-WMI-Activity/OperationalログのイベントID 5861などは、WMIオブジェクトの作成や登録…

2026年3月21日