A–Z

Glossaire

Définitions claires des termes d’analyse forensique USB utilisés dans les guides.

ContainerID: Un GUID que Windows attribue à tous les nœuds d’un même périphérique physique, reliant les entrées Enum\USB, Enum\USBSTOR et SWD\WPDBUSENUM.
ID d’instance de périphérique: Le nom en forme de chemin d’un nœud de périphérique, comme USBSTOR\Disk&Ven_X&Prod_Y&Rev_1.00\SERIAL&0, présent dans le registre, les journaux et setupapi.
Horodatages des propriétés de périphérique (0064–0067): FILETIME sous la clé Properties\{83da6326-…} d’un périphérique : 0064 installation, 0065 première installation, 0066 dernière arrivée, 0067 dernier retrait.
EMDMgmt: Une clé de la ruche SOFTWARE écrite par ReadyBoost, qui associe le numéro de série d’un périphérique USB à son nom de volume et à son numéro de série de volume.
MountedDevices: La clé de la ruche SYSTEM qui associe les lettres de lecteur et les GUID de volume au disque ou au périphérique auquel appartient chaque volume.
MountPoints2: La clé de NTUSER.DAT qui liste, par GUID de volume, les volumes montés dans la session d’un utilisateur : le lien entre un périphérique USB et un compte.
Événement Partition/Diagnostic 1006: L’événement Windows 10+ journalisé à chaque arrivée de disque, avec modèle, numéro de série, capacité, table de partitions et secteurs d’amorçage.
USBSTOR: La clé Enum\USBSTOR de la ruche SYSTEM : une entrée par périphérique de stockage de masse USB, avec fabricant, produit, révision et numéro de série.
GUID de volume: L’identifiant que Windows attribue à chaque volume monté, sous la forme \\?\Volume{…} ; il relie MountedDevices au MountPoints2 de chaque utilisateur.
Numéro de série de volume (VSN): Le numéro de série 32 bits écrit dans le secteur d’amorçage d’un volume au formatage, affiché en XXXX-XXXX et stocké dans les raccourcis et Jump Lists.
Numéro de série généré par Windows: ID d’instance USB créé par Windows quand le périphérique ne fournit pas de numéro de série exploitable, reconnaissable au & en deuxième position.
WPDBUSENUM: L’énumérateur Windows Portable Devices : entrées de registre SWD\WPDBUSENUM dont le FriendlyName est le nom ou la lettre de lecteur d’un volume USB.