Geräteinstanz-ID

Eine Geräteinstanz-ID ist der pfadartige Name, den Windows jedem Geräteknoten gibt: <enumerator>\<device ID>\<instance ID>. Der Enumerator ist der Bus oder die Softwarekomponente, die das Gerät erkannt hat (USB, USBSTOR, SWD), die Geräte-ID beschreibt das Modell, und die Instanz-ID unterscheidet Geräte desselben Modells. Bei USB-Speichern mit echter Seriennummer wird die Instanz-ID aus dieser Seriennummer gebildet. Jeder Knoten hat unter SYSTEM\ControlSet00x\Enum einen Schlüssel, der nach seiner Instanz-ID benannt ist.

Warum sie für Ermittlungen wichtig ist

Die Instanz-ID ist der rote Faden durch fast alle USB-Artefakte. Dieselbe Zeichenkette erscheint in Registry-Schlüsselpfaden, in den Abschnittsköpfen von setupapi.dev.log, in Kernel-PnP-Ereignissen, in Security 6416 und im Feld ParentId von Partition/Diagnostic 1006. Eine durch # getrennte Variante, der Geräteschnittstellenpfad, steht in den Daten von MountedDevices, in den Unterschlüsselnamen von EMDMgmt und unter WPDBUSENUM. Wer den Seriennummernteil einmal herauslöst, hat den ersten Korrelationsschlüssel zwischen all diesen Quellen.

Drei Details entscheiden, ob die Zuordnung gelingt:

• USBSTOR-Instanz-IDs hängen an die Seriennummer ein & und eine Logical Unit Number an. Entfernen Sie das abschließende &0, bevor Sie mit Enum\USB vergleichen.
• Ist das zweite Zeichen der Instanz-ID ein &, hat das Gerät keine verwendbare Seriennummer gemeldet und Windows hat die ID erzeugt; sie ist nur auf diesem Computer aussagekräftig.
• Die Groß- und Kleinschreibung unterscheidet sich je nach Quelle (Schlüsselnamen in SOFTWARE sind oft großgeschrieben), vergleichen Sie also ohne Rücksicht darauf.

Beispiel

USB\VID_3F10&PID_4C21\CS1234567890
USBSTOR\Disk&Ven_Contoso&Prod_SecureFlash&Rev_1.00\CS1234567890&0
_??_USBSTOR#Disk&Ven_Contoso&Prod_SecureFlash&Rev_1.00#CS1234567890&0#{53f56307-b6bf-11d0-94f2-00a0c91efb8b}

Die erste Zeile ist das USB-Gerät (Hersteller 3F10, Produkt 4C21), die zweite der Datenträger, die dritte der Schnittstellenpfad des Datenträgers, wie ihn MountedDevices speichert. Die GUID am Ende ist die Schnittstellenklasse für Datenträger. Alle drei enthalten dieselbe Seriennummer, CS1234567890.

Verwandte Begriffe

• USBSTOR: wo die Instanz-IDs auf Datenträgerseite liegen.
• ContainerID: die Ersatzverbindung, wenn sich Instanz-IDs unterscheiden.
• Von Windows erzeugte Seriennummer: von Windows erfundene Instanz-IDs.
• MountedDevices: wo die #-Form Laufwerksbuchstaben und Volume-GUIDs zugeordnet wird.

USB Forensics vereinheitlicht alle Formen der Instanz-ID und verknüpft die Quellen darüber. Die vollständige Übersicht der USB-Artefakte zeigt, welches Artefakt welchen Bezeichner enthält.