ContainerID

Eine ContainerID ist eine GUID, die Windows allen Geräteknoten zuweist, die zum selben physischen Gerät gehören. Ein USB-Stick erscheint im SYSTEM-Hive als mehrere Knoten: das USB-Gerät unter ControlSet00x\Enum\USB\VID_…&PID_…, der Datenträger unter Enum\USBSTOR und die Sicht auf sein Volume als tragbares Gerät unter Enum\SWD\WPDBUSENUM. Jeder dieser Instanzschlüssel hat einen Zeichenfolgenwert ContainerID, und bei einem physischen Gerät enthalten alle dieselbe GUID.

Warum sie für Ermittlungen wichtig ist

Meist genügt die Seriennummer, um die Einträge unter USB und USBSTOR einander zuzuordnen, denn beide Instanznamen enthalten sie. Die ContainerID ist die Verbindung, die auch dann noch hält, wenn das nicht der Fall ist. Der typische Fall ist ein Gerät mit einer von Windows erzeugten Seriennummer: Der USB-Knoten und der USBSTOR-Knoten erhalten dann unterschiedliche, erfundene Instanz-IDs, und nur die gemeinsame ContainerID zeigt, dass es sich um denselben Kartenleser oder Stick handelt.

Sie trennt außerdem Speichergeräte von allem anderen unter Enum\USB. Dort liegen auch Hubs, Mäuse, Tastaturen und Webcams; ein USB-Eintrag, dessen ContainerID mit einem USBSTOR-Eintrag übereinstimmt, ist die USB-Seite eines Speichergeräts, mit Hersteller- und Produkt-ID.

Eine Vorsichtsmaßnahme: Interne Geräte und Stammgeräte teilen sich einen Null-Container, {00000000-0000-0000-ffff-ffffffffffff} (manchmal nur Nullen). Dieser Wert muss ignoriert werden, sonst würden unzusammenhängende Hubs und Controller zu einem einzigen „Gerät“ verschmolzen.

Beispiel

Enum\USB\VID_3F10&PID_4C21\CS1234567890
    ContainerID = {5c1e2a7d-8b34-4f0e-9d61-2a7c4e9b0f13}
Enum\USBSTOR\Disk&Ven_Contoso&Prod_SecureFlash&Rev_1.00\CS1234567890&0
    ContainerID = {5c1e2a7d-8b34-4f0e-9d61-2a7c4e9b0f13}
Enum\SWD\WPDBUSENUM\_??_USBSTOR#Disk&Ven_Contoso&Prod_SecureFlash&Rev_1.00#CS1234567890&0#{53f56307-b6bf-11d0-94f2-00a0c91efb8b}
    ContainerID  = {5c1e2a7d-8b34-4f0e-9d61-2a7c4e9b0f13}
    FriendlyName = BACKUP

Drei Knoten, eine GUID: ein einziger Contoso-Stick, dessen Volume das Label BACKUP trägt. Der USB-Knoten liefert Hersteller- und Produkt-ID, der USBSTOR-Knoten das Modell und die Zeitstempel der Geräteeigenschaften, der WPDBUSENUM-Knoten das Volume-Label.

Verwandte Begriffe

• USBSTOR: der Knoten auf Datenträgerseite, auf den die ContainerID verweist.
• Geräteinstanz-ID: der Name jedes Knotens, der normalerweise die Seriennummer enthält.
• WPDBUSENUM: der Knoten auf Volume-Seite, mit dem Label.
• Von Windows erzeugte Seriennummer: der Fall, in dem die ContainerID die einzige Verbindung ist.

USB Forensics gruppiert Geräteknoten in Ihrem Browser nach Seriennummer und ContainerID und zeigt zu jeder Verknüpfung den zugrunde liegenden Registry-Schlüssel. Den vollständigen Aufbau der Registry beschreibt USBSTOR-Forensik.