Partition/Diagnostic-Ereignis 1006

Das Partition/Diagnostic-Ereignis 1006 wird bei jedem Anschließen eines Datenträgers in das Protokoll Microsoft-Windows-Partition/Diagnostic geschrieben, ab Windows 10 1703, wo dieser Kanal standardmäßig aktiviert ist. Die Protokolldatei ist C:\Windows\System32\winevt\Logs\Microsoft-Windows-Partition%4Diagnostic.evtx. Jeder Eintrag beschreibt den Datenträger: Manufacturer, Model, Revision, SerialNumber, ParentId (die Instanz des USB-Geräts), BusType, Capacity, Partitionsstil und Partitionstabelle sowie die rohen Bootsektoren Mbr und Vbr0…Vbr3 als Binärdaten.

Warum das Ereignis für Ermittlungen wichtig ist

Es ist die ergiebigste einzelne USB-Quelle auf aktuellen Windows-Systemen. Die Registry speichert nur das letzte Anschließen und Entfernen; das 1006-Protokoll bewahrt jedes Anschließen, das es noch enthält, zusammen mit der Identität des Datenträgers.

Entscheidend sind die Volume-Bootsektoren. Das Dekodieren von Vbr0 liefert das Dateisystem und die Volume-Seriennummer, also den Wert, den Verknüpfungen und Jump Lists speichern. So verbindet 1006 ein physisches Gerät mit den darauf geöffneten Dateien. Zeigt ein Gerät über seine Ereignisse hinweg zwei Volume-Seriennummern, wurde es dazwischen neu formatiert.

Aus der Praxis wird außerdem ein zweites Ereignis 1006 mit Kapazität null beim Entfernen des Datenträgers berichtet, woraus sich Verbindungszeiträume ergeben. Bestätigen Sie das Entfernen nach Möglichkeit mit anderen Quellen.

Grenzen: Das Protokoll wird überschrieben, wenn es voll ist; die Feldliste variiert je nach Build, lesen Sie Felder daher über ihren Namen; und SerialNumber ist die Seriennummer des Speichers, die von der USB-Seriennummer in USBSTOR abweichen kann. ParentId ist die verlässliche Verbindung zu Enum\USB.

Beispiel

Event 1006 · Microsoft-Windows-Partition/Diagnostic · 2026-09-14 10:30:15 UTC
  Manufacturer  Contoso
  Model         SecureFlash
  ParentId      USB\VID_3F10&PID_4C21\CS1234567890
  BusType       7            (USB)
  Capacity      32015679488
  Vbr0          EB 76 90 45 58 46 41 54 20 20 20 …   (OEM "EXFAT   ")
                Bytes bei 0x64: A2 51 9D 3C  →  VSN 3C9D-51A2

ParentId benennt das USB-Gerät, und der exFAT-Bootsektor liefert die Volume-Seriennummer 3C9D-51A2.

Verwandte Begriffe

• Volume-Seriennummer (VSN): was die Bootsektoren preisgeben.
• Geräteinstanz-ID: die in ParentId verwendete Form.
• Zeitstempel der Geräteeigenschaften: das letzte Anschließen laut Registry, zum Vergleich mit dem jüngsten 1006.
• EMDMgmt: eine weitere Quelle, die ein Gerät mit seiner VSN verbindet.

USB Forensics dekodiert jeden 1006-Eintrag und extrahiert die VSN aus jedem Bootsektor. Die ausführliche Anleitung steht in Partition/Diagnostic 1006.