「Lv030」の記事一覧

メモリダンプから「抽出（Carving）」した実行ファイル（EXE）が正しく動作しないことが多い主な理由は何か。

「UserAssist」において、実行されたパスが「%CSIDL_PROGRAM_FILES%」などの環境変数（マクロ）で記録されている場合、それを解決するために必要な知識は何か。

Windows 10の「SRUM」において、特定の無線LAN（SSID）に接続していた時間を記録しているフィールドはどれか。

USBデバイスの「ベンダーID (VID)」と「プロダクトID (PID)」が同じであっても、Windowsがそれらを別々のデバイスとして認識できる理由は何か。

OutlookのPSTファイルにおいて、添付ファイル自体が含まれるデータストリームを識別するためのプロパティIDはどれか。

ネットワークログオン（Type 3）がイベントID 4624で記録された際、その接続が「横展開（Lateral Movement）」であるかを判断するために確認すべき重要な情報はどれか。

Google Chromeの「Cookies」データベースにおいて、特定のCookieが「いつ作成されたか」を示すカラムはどれか。

LNKファイルに含まれる「Relative Path」と「Working Directory」の違いは何か。

Windows 10において、特定のプログラムが「最後にクラッシュした日時」や「例外情報」を記録している「WER（Windows Error Reporting）」に関連するレジストリパスはどこか。

NTFSの$MFTレコード内の「Sequence Number（シーケンス番号）」がインクリメントされる（1増える）のはどのような時か。