A–Z
Glossar
Verständliche Definitionen der Begriffe der USB-Forensik, die in den Leitfäden verwendet werden.
- ContainerID
- Eine GUID, die Windows allen Geräteknoten desselben physischen Geräts zuweist; sie verknüpft Enum\USB, Enum\USBSTOR und SWD\WPDBUSENUM.
- Geräteinstanz-ID
- Der pfadartige Name eines Geräteknotens, etwa USBSTOR\Disk&Ven_X&Prod_Y&Rev_1.00\SERIAL&0, wie er in Registry, Protokollen und setupapi vorkommt.
- Zeitstempel der Geräteeigenschaften (0064–0067)
- FILETIMEs unter dem Schlüssel Properties\{83da6326-…} eines Geräts: 0064 Installation, 0065 Erstinstallation, 0066 Anschließen, 0067 Entfernen.
- EMDMgmt
- Ein von ReadyBoost geschriebener Schlüssel im SOFTWARE-Hive, der die Seriennummer eines USB-Geräts mit Volume-Label und Volume-Seriennummer verbindet.
- MountedDevices
- Der Schlüssel im SYSTEM-Hive, der Laufwerksbuchstaben und Volume-GUIDs dem Datenträger oder Gerät zuordnet, zu dem das jeweilige Volume gehört.
- MountPoints2
- Der Schlüssel in NTUSER.DAT, der die in der Sitzung eines Benutzers gemounteten Volumes per Volume-GUID auflistet: die Verbindung zwischen Gerät und Konto.
- Partition/Diagnostic-Ereignis 1006
- Das ab Windows 10 bei jedem Anschließen eines Datenträgers protokollierte Ereignis, mit Modell, Seriennummer, Kapazität, Partitionstabelle und Bootsektoren.
- USBSTOR
- Der Schlüssel Enum\USBSTOR im SYSTEM-Hive, in dem Windows pro USB-Massenspeichergerät Hersteller, Produkt, Revision und Seriennummer ablegt.
- Volume-GUID
- Der Bezeichner, den Windows jedem gemounteten Volume zuweist, etwa \\?\Volume{…}; er verbindet MountedDevices mit MountPoints2 jedes Benutzers.
- Volume-Seriennummer (VSN)
- Die 32-Bit-Seriennummer, die beim Formatieren in den Bootsektor geschrieben wird, als XXXX-XXXX angezeigt und in Verknüpfungen und Jump Lists gespeichert.
- Von Windows erzeugte Seriennummer
- Eine von Windows gebildete USB-Instanz-ID, wenn das Gerät keine verwendbare Seriennummer meldet; erkennbar am & an zweiter Stelle, etwa 7&1f2e3d4c&0.
- WPDBUSENUM
- Der Enumerator für Windows Portable Devices: Einträge unter SWD\WPDBUSENUM, deren FriendlyName das Label oder der Laufwerksbuchstabe eines USB-Volumes ist.