Beiträge mit dem Tag „glossary“

• Was ist SRUM (SRUDB.dat)? (Glossar)

  SRUM ist die ESE-Datenbank, mit der Windows die Ressourcennutzung pro Anwendung stündlich über 30 bis 60 Tage verfolgt. Das einzige Windows-Artefakt mit Netzwerk-Byte-Summen pro App. Kritisch für Exfiltration.

  2026-05-24

• Was ist Shimcache (AppCompatCache)? (Glossar)

  Shimcache ist der vom Kernel verwaltete Loader-Cache in der SYSTEM-Hive. 1024 Einträge, kein Hash, bis zum Neustart veraltet. Anders als Amcache; paaren Sie sie.

  2026-05-24

• Was ist Amcache ProgramId? (Glossar)

  ProgramId ist der 44-Zeichen-Anwendungs-Identitätshash, den Amcache speichert. Über Hosts hinweg stabil bei derselben Installation. Erwischt Neukompilierungen und Umbenennungen, wo Hash daneben liegt.

  2026-05-24

• Was ist Windows Prefetch? (Glossar)

  Windows Prefetch ist das Verzeichnis der .pf-Dateien, das Ausführung beweist. Bis zu 8-10 Laufzeiten pro Binary plus die in den ersten zehn Sekunden geladenen Dateien. Der stärkste Windows-Ausführungsnachweis.

  2026-05-24

• Was ist LinkDate in Amcache? (Glossar)

  LinkDate ist der PE-TimeDateStamp. Angreiferkontrollierbar. Verwenden Sie ihn für Build-Clustering, nicht für Host-Zeitlinien.

  2026-05-24

• Was ist KeyLastWriteTimestamp in Amcache? (Glossar)

  Die Registry-Schreibzeit des Amcache-Keys. Das Nächste an 'wann der Appraiser das aufgezeichnet hat'. Das Feld, das neue Analysten am häufigsten mit LinkDate verwechseln.

  2026-05-24

• Was ist Root\InventoryApplicationFile? (Glossar)

  Der Hauptschlüssel in Amcache. Ein Unterschlüssel pro PE, das der Appraiser inventarisiert hat, mit Hash, Pfad, Hersteller, Linkdatum und einem Registry-Schreibzeitstempel. Wo 90 % der Analystenzeit verbracht werden.

  2026-05-24

• Was ist Amcache FileId? (Glossar)

  FileId ist '0000' plus der SHA-1 der ersten 31 MiB der Datei. Streifen Sie das Präfix ab, bevor Sie zu VirusTotal gehen, sonst kommt still nichts zurück.

  2026-05-24

• Was ist DFIR-Triage? (Glossar)

  Triage ist der schnelle Durchgang, der entscheidet, ob ein Host eine vollständige Untersuchung verdient. Amcache ist eines der billigsten, produktivsten Artefakte im Triage-Kit.

  2026-05-24

• Was ist der Compatibility Appraiser? (Glossar)

  Die geplante Aufgabe, die das Dateisystem durchläuft, PE-Dateien inventarisiert und die Datensätze in Amcache.hve schreibt. Verstehen Sie ihre Kadenz, oder lesen Sie Ihre Timeline falsch.

  2026-05-24

• Was ist BYOVD (Bring-Your-Own-Vulnerable-Driver)? (Glossar)

  BYOVD ist der Trick, einen signierten, aber fehlerhaften Kerneltreiber zu laden, um Ring 0 zu erlangen, ohne Driver Signature Enforcement zu umgehen. Die Treibereinträge in Amcache sind, wie Sie es erkennen.

  2026-05-24

• Was ist Amcache.hve? (Glossar)

  Amcache.hve ist die Windows-Hive, in die der Compatibility Appraiser jede gefundene PE einträgt, mit SHA-1, vollständigem Pfad, Herausgeber und Inventarzeitstempel. Überlebt die Binärdatei, die sie aufzeichnet.

  2026-05-24