GUID de volume

Un GUID de volume est l’identifiant que le gestionnaire de montage de Windows attribue à chaque volume qu’il monte, sous la forme \\?\Volume{GUID}\. Les lettres de lecteur ne sont que des alias pratiques ; le GUID de volume est le nom que Windows utilise en interne. Il est enregistré comme valeur \??\Volume{GUID} dans SYSTEM\MountedDevices, dont les données identifient le périphérique ou la partition, et comme nom de sous-clé sous le MountPoints2 de chaque utilisateur dans NTUSER.DAT.

Pourquoi c’est important en investigation

Le GUID de volume est la clé qui indique quel compte a monté quel périphérique. MountedDevices associe le GUID à un chemin de périphérique contenant un numéro de série ; MountPoints2 liste les GUID vus dans la session de chaque utilisateur. En rapprochant les deux, on relie une clé USB à un utilisateur sans dépendre des lettres de lecteur, que Windows réutilise librement.

Quelques propriétés utiles :

Le GUID est stable pour un périphérique et une partition donnés sur un ordinateur donné : les connexions successives d’une même clé le réutilisent normalement.
Il est généré par ordinateur. La même clé reçoit un GUID de volume différent sur une autre machine : il ne permet donc pas de rapprocher des périphériques entre systèmes ; utilisez pour cela le numéro de série ou le numéro de série de volume.
Les GUID des volumes amovibles se terminent souvent par 806e6f6e6963, ce qui aide à les repérer dans une longue liste.

Exemple

SYSTEM\MountedDevices
  \??\Volume{7d3f8a2c-5e1b-11f1-9c4a-806e6f6e6963} = _??_USBSTOR#Disk&Ven_Contoso&Prod_SecureFlash&Rev_1.00#CS1234567890&0#{53f56307-…}

NTUSER.DAT (svc_backup)
  …\Explorer\MountPoints2\{7d3f8a2c-5e1b-11f1-9c4a-806e6f6e6963}

Le même GUID aux deux endroits : la clé Contoso a été montée dans la session de svc_backup. Sur un système actif, mountvol liste les chemins de GUID de volume connus du gestionnaire de montage.

Termes associés

MountedDevices : l’association, à l’échelle du système, entre GUID et périphériques.
MountPoints2 : la liste des GUID propre à chaque utilisateur.
ID d’instance de périphérique : le chemin de périphérique stocké à côté du GUID.
Numéro de série de volume (VSN) : un autre identifiant, écrit dans le système de fichiers.

USB Forensics rattache les GUID de volume aux périphériques et nomme les utilisateurs qui les ont montés. Voir quels fichiers ont été ouverts depuis une clé USB pour le reste des artefacts par utilisateur.