Windowsネットワーク重大

USB Device Connection History

Windows records every USB mass-storage device plugged in, keyed by vendor/product ID and serial number, with first- and last-connection timestamps.

artifact_type: usb_connection

保存場所

標準的なファイルシステムパスとレジストリ上の場所です。

$HKLM\SYSTEM\CurrentControlSet\Enum\USBSTOR\
$HKLM\SYSTEM\CurrentControlSet\Enum\USB\
$C:\Windows\INF\setupapi.dev.log
$HKLM\SOFTWARE\Microsoft\Windows Portable Devices\Devices\

フォレンジック上の重要性

このアーティファクトが決定的な証拠になりやすい代表的な調査シナリオです。

Data exfiltration via USB drive
Insider threat — proving files copied to personal device
Malware — USB as initial access vector
USB serial number cross-referencing across multiple hosts

MITRE ATT&CKマッピング

このアーティファクトが検知や裏付けに役立つ可能性のある技術です。

T1052.001 T1091

解析に使えるツール

このアーティファクトの解析でよく使われるunJaena AIおよびDFIRツールです。

unJaena AI

USBDeview (NirSoft)

RegRipper

KAPE

関連アーティファクト

Shell Bags

Windows Explorer view preferences recorded per-folder in UsrClass.dat. Shell Bags prove a user navigated to a folder, even after the folder or attached volume is long gone.

Windows Bluetooth Pairings

Windows records paired Bluetooth devices under HKLM\SYSTEM\CurrentControlSet\Services\BTHPORT\Parameters\Devices, preserving MAC and name after unpairing.

Amcache.hve

Compatibility database introduced in Windows 8 that records every PE file executed on the system, including SHA-1 hash, full path, publisher, and first-seen timestamp.

UserAssist

Per-user registry key recording GUI-launched programs with ROT13-obfuscated paths, focus count, and last execution time — proving interactive user execution of a binary.

参考資料

SANS — USB Forensics

アーティファクト解析を手作業で終わらせない

unJaena AIはディスクイメージ、ライブレスポンス出力、モバイルバックアップを取り込み、このページのアーティファクトと200件以上の追加項目を自動で関連付け、調査に使えるタイムラインへ整理します。

unJaena AIを試す →