Ist Amcache.hve eine Protokolldatei?
Nein. Amcache.hve ist eine Windows-Registry-Hive im regf-Binärformat. Gleiches Format wie die SYSTEM-, SOFTWARE- und NTUSER.DAT-Hives. Ein Baum aus Keys und typisierten Werten. Kein flaches Log.
Der Unterschied zählt in der Praxis:
- Eine Protokolldatei hängt Events sequenziell an. Jede Zeile ist ein diskretes Event. Reader parsen zeilenweise.
- Eine Registry-Hive enthält einen Baum aus Keys (wie Ordner) und typisierten Werten (
REG_SZ,REG_DWORD,REG_QWORD,REG_BINARY). Reader laufen den Baum durch.
Amcache speichert einen Unter-Key pro inventarisierter PE-Binärdatei unter Root\InventoryApplicationFile. Jeder Unter-Key hat 15-20 typisierte Werte: Name, Pfad, SHA-1-Hash, Linkdatum, Herausgeber, Version usw. Aktualisierungen geschehen an Ort und Stelle. Alte Werte werden überschrieben, nicht angehängt.
Was ist mit den .LOG-Dateien#
Amcache.hve.LOG1 und Amcache.hve.LOG2 sind Logdateien, aber sie sind Registry-Transaktionslogs, keine Ereignisprotokolle. Derselbe Write-Ahead-Log-Mechanismus, den jede Registry-Hive nutzt, um jüngste Schreibvorgänge zu puffern, bevor sie in die Hauptdatei geflusht werden. Binär, nicht menschenlesbar und nicht zum Event-Auditing gedacht.
Immer alle drei Dateien zusammen sammeln. Nehmen Sie nur die Hive, verlieren Sie still die jüngsten Schreibvorgänge, die zum Erfassungszeitpunkt noch in den Logs puffern. AmcacheParser spielt sie automatisch nach, wenn sie neben der Hive liegen.
Für Pfad und Sammlungs-Workflow siehe Wo Amcache.hve auf der Platte liegt.
Wie man sie wirklich liest#
Sie brauchen einen Hive-fähigen Parser:
- AmcacheParser (Eric Zimmerman). Kanonische Windows-CLI. CSV-Ausgabe. Siehe den AmcacheParser-Komplettleitfaden.
- RegRipper-Amcache-Plugin (Harlan Carvey). Textbericht-Ausgabe. Siehe RegRipper-Amcache-Plugin.
- Der Browser-Parser dieser Seite. Rust + WebAssembly, keine Installation. Hive auf der Startseite ablegen.
Für den weiteren Artefakt-Kontext siehe die Vollständige Amcache-Referenz.
Verwandte Beiträge
- Wie oft wird Amcache aktualisiert?
Etwa täglich auf Windows-10/11-Workstations. Alle 2-5 Tage auf Servern. Wochen auf Server Core. Amcache hinkt der Realität hinterher. Planen Sie Timelines entsprechend.
- Warum ist meine Amcache.hve leer?
Drei häufige Ursachen: Der Compatibility Appraiser ist deaktiviert, der Host wurde frisch installiert oder Sie sammeln von einem Server / Server Core, auf dem der Appraiser viel seltener läuft.
- Wo ist der Amcache-Registry-Schlüssel?
Amcache ist eine eigene Hive-Datei unter C:\Windows\AppCompat\Programs\Amcache.hve — kein Schlüssel unter HKLM. Beim Laden durch Tools oder durch Windows selbst wird sie als HKLM\Amcache eingehängt.
- Was enthält Amcache.hve?
Amcache.hve enthält Inventar-Datensätze für jedes PE-Binärprogramm, jeden Treiber und jedes verbundene Gerät, das der Windows Compatibility Appraiser gesehen hat — mit SHA-1-Hashes, Pfaden, Herausgebern und Zeitstempeln.