Articles avec le tag « comparaison »

• Qu'est-ce qu'un fichier .pf vs une entrée Amcache ?

  Les fichiers .pf sont des enregistrements Windows Prefetch — preuve qu'un binaire s'est exécuté, avec horodatages d'exécution et listes de fichiers chargés. Les entrées Amcache enregistrent la présence, avec le hash SHA-1 et les métadonnées.

  2026-05-24

• Amcache vs SRUM : présence vs usage de ressources sur fenêtre longue

  SRUM suit l'usage de ressources par application sur 30 jours et plus ; Amcache inventorie chaque binaire présent sur disque. Voici comment ils se complètent dans une timeline DFIR Windows.

  2026-05-24

• Amcache vs ShimCache : quand chaque artefact gagne

  ShimCache et Amcache enregistrent tous deux les binaires ayant touché un hôte Windows. Ce sont des mécanismes différents avec des limites différentes — voici quand utiliser chacun, et ce que prouve réellement leur recoupement.

  2026-05-24

• Amcache vs Prefetch : ce que chacun prouve vraiment

  Amcache enregistre la présence ; Prefetch enregistre l'exécution. Une référence pratique pour savoir quand utiliser chacun, sur quoi ils se recoupent, et comment les combiner dans une timeline DFIR.

  2026-05-24

• Comparatif des analyseurs Amcache : AmcacheParser CLI, outil navigateur, Volatility, RegRipper

  Comparaison côte à côte des quatre façons d'analyser une ruche Windows Amcache.hve en 2026 — AmcacheParser CLI d'Eric Zimmerman, outil navigateur, Volatility 3 et RegRipper.

  2026-05-24