Ist Amcache.hve eine Protokolldatei?
Nein. Amcache.hve ist eine Windows-Registry-Hive im regf-Binärformat. Gleiches Format wie die SYSTEM-, SOFTWARE- und NTUSER.DAT-Hives. Ein Baum aus Keys und typisierten Werten. Kein flaches Log.
Der Unterschied zählt in der Praxis:
- Eine Protokolldatei hängt Events sequenziell an. Jede Zeile ist ein diskretes Event. Reader parsen zeilenweise.
- Eine Registry-Hive enthält einen Baum aus Keys (wie Ordner) und typisierten Werten (
REG_SZ,REG_DWORD,REG_QWORD,REG_BINARY). Reader laufen den Baum durch.
Amcache speichert einen Unter-Key pro inventarisierter PE-Binärdatei unter Root\InventoryApplicationFile. Jeder Unter-Key hat 15-20 typisierte Werte: Name, Pfad, SHA-1-Hash, Linkdatum, Herausgeber, Version usw. Aktualisierungen geschehen an Ort und Stelle. Alte Werte werden überschrieben, nicht angehängt.
Was ist mit den .LOG-Dateien#
Amcache.hve.LOG1 und Amcache.hve.LOG2 sind Logdateien, aber sie sind Registry-Transaktionslogs, keine Ereignisprotokolle. Derselbe Write-Ahead-Log-Mechanismus, den jede Registry-Hive nutzt, um jüngste Schreibvorgänge zu puffern, bevor sie in die Hauptdatei geflusht werden. Binär, nicht menschenlesbar und nicht zum Event-Auditing gedacht.
Immer alle drei Dateien zusammen sammeln. Nehmen Sie nur die Hive, verlieren Sie still die jüngsten Schreibvorgänge, die zum Erfassungszeitpunkt noch in den Logs puffern. AmcacheParser spielt sie automatisch nach, wenn sie neben der Hive liegen.
Für Pfad und Sammlungs-Workflow siehe Wo Amcache.hve auf der Platte liegt.
Wie man sie wirklich liest#
Sie brauchen einen Hive-fähigen Parser:
- AmcacheParser (Eric Zimmerman). Kanonische Windows-CLI. CSV-Ausgabe. Siehe den AmcacheParser-Komplettleitfaden.
- RegRipper-Amcache-Plugin (Harlan Carvey). Textbericht-Ausgabe. Siehe RegRipper-Amcache-Plugin.
- Der Browser-Parser dieser Seite. Rust + WebAssembly, keine Installation. Hive auf der Startseite ablegen.
Für den weiteren Artefakt-Kontext siehe die Vollständige Amcache-Referenz.
Verwandte Beiträge
- Wo ist der Amcache-Registry-Schlüssel?
Amcache ist eine eigene Hive-Datei, kein Schlüssel unter HKLM. Bei Bedarf vom Appraiser geladen. Aktiv eingehängt unter HKLM\Amcache.
- Wie oft wird Amcache aktualisiert?
Etwa täglich auf Windows-10/11-Workstations. Alle 2-5 Tage auf Servern. Wochen auf Server Core. Amcache hinkt der Realität hinterher. Planen Sie Timelines entsprechend.
- Amcache-Forensik: Ausführungsbeweise finden
Mit Amcache.hve belegen, dass ein Programm lief: sammeln, parsen, filtern, per SHA-1 pivotieren, bestätigen — plus die Grenzen, die Analysten überraschen.
- Warum ist meine Amcache.hve leer?
Drei häufige Ursachen: Der Compatibility Appraiser ist deaktiviert, der Host wurde frisch installiert oder Sie sammeln von einem Server / Server Core, auf dem der Appraiser viel seltener läuft.