Windowsネットワーク中

Windows Bluetooth Pairings

Windows records paired Bluetooth devices under HKLM\SYSTEM\CurrentControlSet\Services\BTHPORT\Parameters\Devices, preserving MAC and name after unpairing.

artifact_type: portable_device

保存場所

標準的なファイルシステムパスとレジストリ上の場所です。

$HKLM\SYSTEM\CurrentControlSet\Services\BTHPORT\Parameters\Devices\

フォレンジック上の重要性

このアーティファクトが決定的な証拠になりやすい代表的な調査シナリオです。

Identifying a suspect's personal phone via Bluetooth name
Data exfiltration via Bluetooth file transfer
Pairing suspect's headset to compromised workstation

MITRE ATT&CKマッピング

このアーティファクトが検知や裏付けに役立つ可能性のある技術です。

T1011.001

解析に使えるツール

このアーティファクトの解析でよく使われるunJaena AIおよびDFIRツールです。

unJaena AI

RegRipper

Registry Explorer

関連アーティファクト

macOS

macOS Bluetooth plist

System Bluetooth configuration plist records paired devices with their MAC address, display name, device type, and last seen / last connected timestamps.

Windows

USB Device Connection History

Windows records every USB mass-storage device plugged in, keyed by vendor/product ID and serial number, with first- and last-connection timestamps.

Windows

Shell Bags

Windows Explorer view preferences recorded per-folder in UsrClass.dat. Shell Bags prove a user navigated to a folder, even after the folder or attached volume is long gone.

Windows

Amcache.hve

Compatibility database introduced in Windows 8 that records every PE file executed on the system, including SHA-1 hash, full path, publisher, and first-seen timestamp.

アーティファクト解析を手作業で終わらせない

unJaena AIはディスクイメージ、ライブレスポンス出力、モバイルバックアップを取り込み、このページのアーティファクトと200件以上の追加項目を自動で関連付け、調査に使えるタイムラインへ整理します。

unJaena AIを試す →