Skip to content
USBForensics

Glosario

ID de instancia de dispositivo

Nombre con forma de ruta que Windows da a un nodo de dispositivo, como USBSTOR\Disk&Ven_X&Prod_Y&Rev_1.00\SERIAL&0, usado en registro, eventos y setupapi.

Un ID de instancia de dispositivo es el nombre con forma de ruta que Windows da a cada nodo de dispositivo: <enumerator>\<device ID>\<instance ID>. El enumerador es el bus o componente de software que detectó el dispositivo (USB, USBSTOR, SWD), el ID de dispositivo describe el modelo y el ID de instancia distingue dispositivos del mismo modelo. En un almacenamiento USB con un número de serie real, el ID de instancia se construye a partir de ese número. Cada nodo tiene una clave con el nombre de su ID de instancia bajo SYSTEM\ControlSet00x\Enum.

Por qué importa en una investigación

El ID de instancia es el hilo que recorre casi todos los artefactos USB. La misma cadena aparece en las rutas de claves del registro, en los encabezados de sección de setupapi.dev.log, en los eventos de Kernel-PnP, en Security 6416 y en el campo ParentId de Partition/Diagnostic 1006. Una variante separada por #, la ruta de interfaz del dispositivo, aparece en los datos de MountedDevices, en los nombres de subclave de EMDMgmt y bajo WPDBUSENUM. Extrae una vez la parte del número de serie y tendrás la primera clave de correlación entre todas ellas.

Tres detalles deciden si el cruce funciona:

  • Los ID de instancia de USBSTOR añaden & y un número de unidad lógica al número de serie. Quita el &0 final antes de comparar con Enum\USB.
  • Si el segundo carácter del ID de instancia es &, el dispositivo no informó un número de serie utilizable y el ID lo generó Windows; solo tiene sentido en ese equipo.
  • Las mayúsculas y minúsculas varían según la fuente (los nombres de clave de SOFTWARE suelen estar en mayúsculas), así que compara sin distinguirlas.

Ejemplo

USB\VID_3F10&PID_4C21\CS1234567890
USBSTOR\Disk&Ven_Contoso&Prod_SecureFlash&Rev_1.00\CS1234567890&0
_??_USBSTOR#Disk&Ven_Contoso&Prod_SecureFlash&Rev_1.00#CS1234567890&0#{53f56307-b6bf-11d0-94f2-00a0c91efb8b}

La primera línea es el dispositivo USB (fabricante 3F10, producto 4C21), la segunda el disco y la tercera la ruta de interfaz del disco tal como la guarda MountedDevices. El GUID final es la clase de interfaz de disco. Las tres contienen el mismo número de serie, CS1234567890.

Términos relacionados

USB Forensics normaliza todas las formas del ID de instancia y cruza las fuentes a partir de él. El mapa completo de artefactos USB muestra qué artefacto lleva cada identificador.