フォレンジック調査リスト(私的メモ)
1. システム全体タイムライン
Windows Event Logs
機能: ログオン/権限昇格/サービス開始/プロセス作成の時系列を構築
注目点: 4624/4634（ログオン/オフ）、4672/4673（特権付与）、7045（サービス）、4688（プロセス）で侵入経路特定
USN Journal
機能: NTFSファイルシステムの全変更履歴を記録
注目点: 作成/削除/改変/名前の変更ログがタイムラインの基盤、大量データ処理が必要
MFTレコード
機能: 全ファイルの完全タイムスタンプと属性情報を保持
注目点: \$STANDARD_INFO/\$FILE_NAMEでMACB4タイムスタンプ、サイズ/属性/SID/親ディレクトリ
Prefetch
機能: プログラム実行履歴を高速起動用にキャッシュ
注目点: 86個までの実行ファイル名、実行回数/最終時刻/実行時間/依存DLL一覧
2. 実行履歴・プログラム分析
UserAssist
機能: Explorer/Runダイアログ経由のアプリ起動を記録
注目点: 全アプリ起動カウント、初回/最終実行時刻、フォーカス時間（ROT-13エンコード）
AmCache
機能: Windows 8+の実行ファイルハッシュと実行情報を蓄積
注目点: 実行ファイルハッシュ一覧、初回実行時刻、ファイルパス、親プロセス情報
ShimCache（AppCompatCache）
機能: 互換性情報の実行ファイル履歴を保持
注目点: 全EXEの最終更新時刻、パス、実行判定（実行済み/未実行）で隠れた実行検出
SRUM
機能: アプリごとのリソース使用状況を監視
注目点: ネットワークバイト数、CPU時間、ファイルアクセス、初回/最終起動時刻
BAM/DAM
機能: バックグラウンド/UWPアプリ実行を追跡
注目点: BAM（Background Activity Moderator）、DAM（Desktop Activity Moderator）の実行履歴
3. ユーザー活動履歴
TypedPaths
機能: Runダイアログ、検索ボックスへの手入力履歴を保持
注目点: 全パス履歴（MRU順）、ユーザが意識せず残す重要なコマンドライン証拠
RecentDocs
機能: 各拡張子ごとの最近開いたファイル履歴を記録
注目点: docx/xlsx/pdf等ごとの完全パス一覧、拡張子分析でアプリ使用特定
JumpList
機能: 各アプリのタスクバー最近使用ファイルリストを管理
注目点: 固定ファイル＋自動DestList履歴、アプリごとの詳細なドキュメント使用履歴
RecentApps
機能: スタートメニューの最近使用アプリ一覧を保持
注目点: 起動回数とアプリ一覧、ユーザー操作パターン分析に有用
MUICache
機能: Explorerで見た実行ファイルの表示名をキャッシュ
注目点: 全実行ファイルの表示名とアイコン、ユーザが触れた全プログラム特定
4. ファイル/フォルダアクセス履歴
ShellBags
機能: エクスプローラで展開したフォルダの表示設定を保存
注目点: 全フォルダパス、表示形式（詳細/アイコン）、アクセス時刻でディレクトリ移動経路追跡
Common Dialog Keys
機能: ファイルオープン/セーブダイアログの操作履歴を記録
注目点: OpenSaveMRU/PidlMRUで操作した全ファイル/フォルダ完全履歴
Windows Search Database（Windows.edb）
機能: 検索エンジンでインデックス化したファイル情報を蓄積
注目点: ファイル内容/キーワード/検索履歴、ユーザが探していた情報の特定
Shortcut file (.lnk)
機能: ショートカットが指す元ファイル情報を保持
注目点: ネットワークパス、ホスト名、MACアドレス、ディスクシリアル番号で横移動追跡
5. レジストリハイブ（システム構成）
SAM
機能: ローカルアカウント情報を管理
注目点: ユーザー名、RID、パスワードハッシュ（LM/NTLM）、最終ログイン時刻
SECURITY
機能: ローカルセキュリティポリシーと監査設定を保持
注目点: SIDs、SAMアクセスの監査設定、ポリシー変更履歴
SYSTEM
機能: OS起動とサービス構成情報を管理
注目点: ロードされたドライバ一覧、サービス設定、コントロールセット、ブートキー
SOFTWARE
機能: インストール済みアプリケーション設定を記録
注目点: 全アプリケーション、AutoRun設定、MRU一覧、インストール時刻
6. ファイルシステム痕跡
Volume Shadow Copies
機能: 過去のファイル/レジストリを特定時点で完全復元
注目点: NTUSER.DAT/SOFTWAREハイブ復元、ランサムウェア前の正常状態復元
未割当領域
機能: 削除済みファイルの断片を保持
注目点: ファイルカービングの素材領域、攻撃者が消した証拠の復元可能性
代替データストリーム（ADS）
機能: 同一ファイル名で隠しデータストリームを格納
注目点: 最大16KB×16個、マルウェアや設定ファイルの隠蔽場所として悪用
Recycle Bin
機能: 削除ファイルを一時保管
注目点: 本体＋INFO2（元パス/削除時刻）の完全履歴、単純削除の完全復元
Thumbnail Cache
機能: 画像/動画のサムネイルを高速表示用にキャッシュ
注目点: 削除済みファイルの視覚的痕跡、即使削除後も数週間残存
7. 復元・特殊解析
ファイルカービング
機能: ファイルシグネチャで未割当領域から復元
注目点: JPEG/PDF/DOCX等のマジックバイト、ファイルシステム無関係の復元
ストリームカービング
機能: 連続データからTCPストリーム/ファイルを復元
注目点: PCAP/NBF等ネットワークキャプチャから完全通信再構築
メタデータ
機能: ファイルに埋め込まれた付随情報を保持
注目点: 作成者、EXIF、Office作者、印刷日時でドキュメント作成経緯特定