Volume-GUID

Eine Volume-GUID ist der Bezeichner, den der Bereitstellungsmanager von Windows jedem gemounteten Volume zuweist, in der Form \\?\Volume{GUID}\. Laufwerksbuchstaben sind nur bequeme Aliase; die Volume-GUID ist der Name, den Windows intern verwendet. Sie wird als Wert \??\Volume{GUID} in SYSTEM\MountedDevices gespeichert, dessen Daten das Gerät oder die Partition identifizieren, und als Unterschlüsselname unter MountPoints2 in der NTUSER.DAT jedes Benutzers.

Warum sie für Ermittlungen wichtig ist

Die Volume-GUID ist der Schlüssel, der zeigt, welches Konto welches Gerät gemountet hat. MountedDevices ordnet die GUID einem Gerätepfad mit Seriennummer zu; MountPoints2 listet die GUIDs, die in der Sitzung jedes Benutzers auftauchten. Verbindet man beides, wird ein USB-Stick einem Benutzer zugeordnet, ohne sich auf Laufwerksbuchstaben zu verlassen, die Windows beliebig wiederverwendet.

Einige Eigenschaften sind wissenswert:

• Die GUID ist für ein bestimmtes Gerät und eine bestimmte Partition auf einem bestimmten Computer stabil; wiederholte Verbindungen desselben Sticks verwenden sie normalerweise erneut.
• Sie wird pro Computer erzeugt. Derselbe Stick erhält auf einem anderen Rechner eine andere Volume-GUID, sie eignet sich also nicht, um Geräte systemübergreifend abzugleichen; nutzen Sie dafür die Seriennummer oder die Volume-Seriennummer.
• GUIDs von Wechselmedien enden oft auf 806e6f6e6963, was hilft, sie in einer langen Liste zu erkennen.

Beispiel

SYSTEM\MountedDevices
  \??\Volume{7d3f8a2c-5e1b-11f1-9c4a-806e6f6e6963} = _??_USBSTOR#Disk&Ven_Contoso&Prod_SecureFlash&Rev_1.00#CS1234567890&0#{53f56307-…}

NTUSER.DAT (svc_backup)
  …\Explorer\MountPoints2\{7d3f8a2c-5e1b-11f1-9c4a-806e6f6e6963}

Dieselbe GUID an beiden Stellen: Der Contoso-Stick wurde in der Sitzung von svc_backup gemountet. Auf einem laufenden System listet mountvol die Volume-GUID-Pfade auf, die der Bereitstellungsmanager kennt.

Verwandte Begriffe

• MountedDevices: die systemweite Zuordnung von GUIDs zu Geräten.
• MountPoints2: die benutzerbezogene Liste der GUIDs.
• Geräteinstanz-ID: der neben der GUID gespeicherte Gerätepfad.
• Volume-Seriennummer (VSN): ein anderer Bezeichner, der im Dateisystem steht.

USB Forensics ordnet Volume-GUIDs den Geräten zu und nennt die Benutzer, die sie gemountet haben. Die übrigen benutzerbezogenen Artefakte beschreibt welche Dateien von einem USB-Stick geöffnet wurden.