Was ist KeyLastWriteTimestamp in Amcache? (Glossar)
KeyLastWriteTimestamp ist die Last-Write-Zeit auf Registry-
Ebene des Schlüssels, der einen Amcache-Inventareintrag enthält.
Es ist das, was Amcache als „wann wurde diese Datei aufgezeichnet?"-
Zeitstempel am nächsten offenlegt. AmcacheParser stellt es als
Spalte in jeder per-Kategorie-CSV bereit.
Es ist der wichtigste einzelne Zeitstempel in Amcache — und
derjenige, den neue Analysten am häufigsten mit LinkDate (der
PE-Kompilierungszeit) verwechseln, was ein völlig anderes Feld
ist, das etwas völlig anderes bedeutet.
Was es repräsentiert#
Die Registry speichert eine Last-Write-Zeit für jeden Schlüssel —
Metadaten, die von Windows selbst gepflegt werden. Wenn der
Compatibility Appraiser einen Inventareintrag schreibt oder
aktualisiert, aktualisiert Windows die Last-Write-Zeit des
Schlüssels. AmcacheParser liest dieses Feld als
KeyLastWriteTimestamp.
Praktisch:
- Erstauftrittseinträge →
KeyLastWriteTimestampist die Appraiser-Laufzeit, nachdem die Datei erstmals bemerkt wurde. - Aktualisierte Einträge → springt auf die jüngste Metadaten- Änderung vor (Datei wurde größer, Versionszeichenkette geändert, Hash geändert).
- Unveränderte Einträge → bleibt stehen, auch wenn nachfolgende Appraiser-Durchläufe bestätigen, dass die Datei noch da ist.
Dieser letzte Punkt ist wichtig: es ist nicht „die jüngste Zeit, zu der der Appraiser diese Datei gesehen hat" — es ist „die jüngste Zeit, zu der der Appraiser über diese Datei geschrieben hat."
Häufige Verwechslungen#
| Frage | Richtiges Feld |
|---|---|
| „Wann hat der Appraiser diese Datei aufgezeichnet?" | KeyLastWriteTimestamp |
| „Wann wurde das Binärprogramm kompiliert?" | LinkDate |
| „Wann wurde die Datei auf der Festplatte erstellt?" | MFT $STANDARD_INFORMATION.CreationTime |
| „Wann lief das Binärprogramm?" | Prefetch-Run-Zeitstempel |
Der Standard-Zeitfenster-Pivot#
Für jede verdächtige Zeile:
- Nehmen Sie ihren
KeyLastWriteTimestamp. - Definieren Sie ein einstündiges Fenster zentriert auf ihn.
- Ziehen Sie aus diesem Fenster: andere Amcache-Zeilen,
Prefetch-Einträge, Sysmon
1/7/11, Security4688, MFT und USN-Journal.
Die resultierende Timeline ist die kanonische „was passierte rund um dieses Inventarereignis?"-Rekonstruktion.
Für vollständige Abdeckung siehe Amcache-Zeitstempel erklärt.
Verwandte Begriffe#
- LinkDate — der Zeitstempel, mit dem er am häufigsten verwechselt wird.
- Compatibility Appraiser — was den Wert schreibt.
- InventoryApplicationFile — wo die Einträge leben.
Verwandte Beiträge
- Was ist LinkDate in Amcache? (Glossar)
LinkDate ist der PE-Header-TimeDateStamp, den Amcache aufzeichnet — wann das Binärprogramm kompiliert oder gelinkt wurde, nicht wann es auf dem Host erschien.
- Was ist Amcache ProgramId? (Glossar)
ProgramId ist der 44-stellige Anwendungs-Identitäts-Hash, den Amcache jeder logischen Anwendung zuweist. Dieselbe ProgramId auf verschiedenen Hosts bedeutet dieselbe Anwendungsinstallation.
- Was ist Root\InventoryApplicationFile? (Glossar)
InventoryApplicationFile ist der zentrale Amcache-Registry-Schlüssel — ein Unterschlüssel pro PE-Binärprogramm, das vom Appraiser inventarisiert wurde, mit Pfad, SHA-1, Herausgeber, Link-Datum und Zeitstempeln.
- Was ist Amcache FileId? (Glossar)
FileId ist der 41-stellige Identifikator, den Amcache für jede Datei speichert — '0000' + das SHA-1-Hex der ersten 31 MiB der Datei.