Windowsネットワーク高

WiFi Profile Registry

Windows stores every SSID a machine has connected to under HKLM, along with connection timestamps and MAC address of the AP — strong location evidence.

artifact_type: wireless_profile

保存場所

標準的なファイルシステムパスとレジストリ上の場所です。

$HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\NetworkList\Profiles\
$HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\NetworkList\Signatures\

フォレンジック上の重要性

このアーティファクトが決定的な証拠になりやすい代表的な調査シナリオです。

Laptop stolen in X city — did it connect to hotel WiFi en route?
Establishing which networks a compromised workstation trusts
Correlating travel with wireless beacons

MITRE ATT&CKマッピング

このアーティファクトが検知や裏付けに役立つ可能性のある技術です。

T1016

解析に使えるツール

このアーティファクトの解析でよく使われるunJaena AIおよびDFIRツールです。

unJaena AI

RegRipper (networklist plugin)

NetAnalysis

関連アーティファクト

Android

Android WiFi History

WifiConfigStore.xml and netpolicy.xml record every network the device connected to, including SSID, BSSID (MAC), and encryption type — strong location inference.

macOS

macOS Bluetooth plist

System Bluetooth configuration plist records paired devices with their MAC address, display name, device type, and last seen / last connected timestamps.

Windows

Shell Bags

Windows Explorer view preferences recorded per-folder in UsrClass.dat. Shell Bags prove a user navigated to a folder, even after the folder or attached volume is long gone.

Windows

Amcache.hve

Compatibility database introduced in Windows 8 that records every PE file executed on the system, including SHA-1 hash, full path, publisher, and first-seen timestamp.

アーティファクト解析を手作業で終わらせない

unJaena AIはディスクイメージ、ライブレスポンス出力、モバイルバックアップを取り込み、このページのアーティファクトと200件以上の追加項目を自動で関連付け、調査に使えるタイムラインへ整理します。

unJaena AIを試す →