Événement Partition/Diagnostic 1006

L’événement Partition/Diagnostic 1006 est écrit dans le journal Microsoft-Windows-Partition/Diagnostic à chaque arrivée d’un disque, sous Windows 10 1703 et versions ultérieures, où ce canal est activé par défaut. Le fichier journal est C:\Windows\System32\winevt\Logs\Microsoft-Windows-Partition%4Diagnostic.evtx. Chaque enregistrement décrit le disque : Manufacturer, Model, Revision, SerialNumber, ParentId (l’instance du périphérique USB), BusType, Capacity, le style et la table de partitions, ainsi que les secteurs d’amorçage bruts Mbr et Vbr0…Vbr3 en données binaires.

Pourquoi c’est important en investigation

C’est la source USB la plus riche sur un Windows récent. Le registre ne garde que la dernière arrivée et le dernier retrait ; le journal 1006 conserve chaque arrivée qu’il contient encore, avec l’identité du disque.

Les secteurs d’amorçage de volume sont la clé. Décoder Vbr0 donne le système de fichiers et le numéro de série de volume, la valeur que stockent les raccourcis et les Jump Lists : l’événement 1006 relie ainsi un périphérique physique aux fichiers ouverts dessus. Si un même périphérique présente deux numéros de série de volume au fil de ses événements, il a été reformaté entre les deux.

Les travaux de praticiens signalent aussi un second 1006 avec une capacité nulle lors du retrait du disque, ce qui donne des fenêtres de connexion. Confirmez les retraits par d’autres sources lorsque c’est possible.

Limites : le journal tourne ; la liste des champs varie selon les builds, lisez donc les champs par leur nom ; et SerialNumber est le numéro de série du stockage, qui peut différer du numéro de série USB de USBSTOR. ParentId est le lien fiable vers Enum\USB.

Exemple

Event 1006 · Microsoft-Windows-Partition/Diagnostic · 2026-09-14 10:30:15 UTC
  Manufacturer  Contoso
  Model         SecureFlash
  ParentId      USB\VID_3F10&PID_4C21\CS1234567890
  BusType       7            (USB)
  Capacity      32015679488
  Vbr0          EB 76 90 45 58 46 41 54 20 20 20 …   (OEM "EXFAT   ")
                octets à 0x64 : A2 51 9D 3C  →  VSN 3C9D-51A2

Le ParentId désigne le périphérique USB, et le secteur d’amorçage exFAT donne le numéro de série de volume 3C9D-51A2.

Termes associés

Numéro de série de volume (VSN) : ce que révèlent les secteurs d’amorçage.
ID d’instance de périphérique : la forme utilisée dans ParentId.
Horodatages des propriétés de périphérique : la dernière arrivée selon le registre, à comparer au 1006 le plus récent.
EMDMgmt : une autre source qui associe un périphérique à son VSN.

USB Forensics décode chaque enregistrement 1006 et extrait le VSN de chaque secteur d’amorçage. La démarche complète est dans Partition/Diagnostic 1006.