Glosario
Evento 1006 de Partition/Diagnostic
Evento de Windows 10+ que se registra en cada llegada de un disco, con modelo, número de serie, capacidad, tabla de particiones y registros de arranque.
El evento 1006 de Partition/Diagnostic se escribe en el registro Microsoft-Windows-Partition/Diagnostic cada vez que llega un disco, en Windows 10 1703 y posteriores, donde este canal está habilitado de forma predeterminada. El archivo de registro es C:\Windows\System32\winevt\Logs\Microsoft-Windows-Partition%4Diagnostic.evtx. Cada entrada describe el disco: Manufacturer, Model, Revision, SerialNumber, ParentId (la instancia del dispositivo USB), BusType, Capacity, el estilo y la tabla de particiones, y los registros de arranque sin procesar Mbr y Vbr0…Vbr3 como datos binarios.
Por qué importa en una investigación
Es la fuente USB más rica en un Windows moderno. El registro solo guarda la última conexión y extracción; el registro de eventos 1006 conserva cada conexión que aún contiene, con la identidad del disco.
Los registros de arranque de volumen son la clave. Decodificar Vbr0 da el sistema de archivos y el número de serie del volumen, el valor que guardan los accesos directos y las Jump Lists, de modo que el 1006 conecta un dispositivo físico con los archivos abiertos en él. Si un mismo dispositivo muestra dos números de serie de volumen a lo largo de sus eventos, se reformateó entre ambos.
La investigación de profesionales también informa de un segundo 1006 con capacidad cero cuando se extrae el disco, lo que da ventanas de conexión. Confirma las extracciones con otras fuentes cuando puedas.
Límites: el registro rota; la lista de campos varía entre compilaciones, así que lee los campos por su nombre; y SerialNumber es el número de serie del almacenamiento, que puede diferir del número de serie USB de USBSTOR. ParentId es el vínculo fiable con Enum\USB.
Ejemplo
Event 1006 · Microsoft-Windows-Partition/Diagnostic · 2026-09-14 10:30:15 UTC
Manufacturer Contoso
Model SecureFlash
ParentId USB\VID_3F10&PID_4C21\CS1234567890
BusType 7 (USB)
Capacity 32015679488
Vbr0 EB 76 90 45 58 46 41 54 20 20 20 … (OEM "EXFAT ")
bytes en 0x64: A2 51 9D 3C → VSN 3C9D-51A2
El ParentId nombra el dispositivo USB, y el registro de arranque exFAT da el número de serie del volumen 3C9D-51A2.
Términos relacionados
- Número de serie del volumen (VSN): lo que revelan los registros de arranque.
- ID de instancia de dispositivo: la forma usada en
ParentId. - Marcas de tiempo de propiedades del dispositivo: la última conexión según el registro, para comparar con el 1006 más reciente.
- EMDMgmt: otra fuente que empareja un dispositivo con su VSN.
USB Forensics decodifica cada entrada 1006 y extrae el VSN de cada registro de arranque. El recorrido completo está en Partition/Diagnostic 1006.