HOME
Lv027

「Lv027」の記事一覧

「MountPoints2」キー配下の各ボリュームエントリの「最終書き込み日時」が更新されるのは、どのような操作が行われた時か。

MountPoints2はそのユーザーが特定のドライブを最後に「ブラウズ（閲覧）」した時間を追跡するのに非常に…

2026年3月21日

Volatilityの「malfind」プラグインが検出対象とする、不審なメモリ領域の特徴はどれか。

実行と書き込みの両方の権限を持つメモリ領域（RWX）は、コードインジェクションの典型的な兆候であるため…

2026年3月21日

電子メールが「開封済み」であるかどうかを示すステータスは、PSTファイル内のどのプロパティに含まれるか。

PR_MESSAGE_FLAGSの特定ビットを確認することで、そのメッセージが既読（Read）か未読（Unread）かを判別…

2026年3月21日

「Amcache.hve」の解析において、ある実行ファイルが「初めて実行された日時」を推測するために使用される「First Run」系のタイムスタンプは、実際に何を意味しているか。

Amcacheのタイムスタンプは「アプリの実行」を直接記録するものではなく、インベントリ機能による「発見・…

2026年3月21日

Google Chromeの「Top Sites」データベースには何が記録されているか。

Top Sitesには、ブラウザの新しいタブページなどに表示される、利用頻度の高いサイトの統計情報が保存され…

2026年3月21日

レジストリの「Enum\USB」キーと「Enum\USBSTOR」キーの決定的な違いは何か。

Enum\USBにはあらゆるUSBデバイス（HID, Hub等）の情報が、USBSTORにはマスストレージクラスのデバイス情…

2026年3月21日

「AppCompatCache（ShimCache）」のデータがレジストリ（SYSTEMハイブ）に書き込まれるタイミングはいつか。

ShimCacheはメモリ上で管理されており、システムが正常に終了する際にレジストリのSYSTEMハイブへ保存され…

2026年3月21日

WMI（Windows Management Instrumentation）を用いた攻撃で、永続化のための「イベントコンシューマ」が登録されたことを示すイベントIDはどれか。

Microsoft-Windows-WMI-Activity/OperationalログのイベントID 5861などは、WMIオブジェクトの作成や登録…

2026年3月21日

LNKファイルに含まれる「NetBIOS Name」は、どのような場合に調査に役立つか。

ネットワーク共有上のファイルへのLNKには、ホストマシンのNetBIOS名が含まれるため、どのサーバーにアク…

2026年3月21日

NTFSにおいて、ディレクトリのファイル名リストを保持している属性で、B-Treeの「ルート」として機能するものはどれか。

$INDEX_ROOTは、ファイル数が少ない場合にディレクトリリストをMFT内に直接保持し、増えると$INDEX_ALLOCA…

2026年3月21日