本文内容连接的存储设备分类证据在哪里Windows 注册表识别硬件分析 Windows 事件日志移动设备的盲点跟踪 MTP 和 PTP 设备文件系统痕迹证明用户交互结论——Elcomsoft Quick Triage, 自动提取USB设备相关证据构建时间线随着大容量外部硬盘和智能手机的普及USB 接口仍然是数据窃取和恶意软件感染的主要渠道。对于从事数字取证和事件响应的人员来说构建一个关于 USB 设备何时被插入、使用和移除的可靠时间线通常是至关重要的。无论你是在调查可能将敏感知识产权复制到U盘上的离职员工还是在追踪勒索软件的爆发答案常常与外部存储有关。这些痕迹物证的重要性在于它们能将外部 USB 设备与本地文件访问操作关联起来。证明某个特定闪存驱动器被连接过只是成功的一半你还需要知道当该驱动器处于活动状态时用户打开或复制了哪些文件。这需要深入了解 Windows 如何在后台处理不同类型的硬件——以及它为每类设备记录了什么以及没记录什么。连接的存储设备分类为了理解从磁盘镜像或正在运行的计算机实时系统分析中提取的数据首先需要了解 Windows 在设备插入瞬间是如何处理它们的。系统根据设备类别的不同而做出不同反应。大容量存储类 (MSC) 设备这些是标准的 USB 闪存驱动器、外部固态硬盘和机械硬盘。它们使用 USBSTOR 服务Windows 将其视为基本的块存储。因为 Windows 可以直接访问存储块所以可以用熟悉的文件系统如 NTFS、exFAT 或 FAT32对其进行格式化。系统通常为它们分配传统的驱动器号如 D: 或 E:并且它们具有标准的卷序列号 (VSN)。值得注意的是一些现代设备尤其是通过较新的传输路径连接的可能会以不同的方式出现例如在某些情况下涉及 UASP 相关的路径/服务。MTP 和 PTP 设备现代智能手机、数码相机和平板电脑是常见但有时被忽视的数据外泄路径。它们通常使用媒体传输协议 (MTP) 或图片传输协议 (PTP) 进行连接。与标准U盘不同这些设备不允许Windows直接访问其原始存储。相反手机自身的操作系统充当中介处理文件请求。这意味着传统的痕迹物证如逻辑驱动器号或标准VSN可能会缺失这要求调查人员依赖于设计用于跟踪便携式设备元数据的替代数据源。证据在哪里Windows 10 和 11 就像一个详细但碎片化的记录系统。它们跟踪硬件连接和断开连接的生命周期。要构建你的时间线通常需要从即插即用 (PnP) 子系统、Windows 注册表、Windows 事件跟踪 (ETW) 事件通道和文件系统痕迹中提取信息。通过将这些碎片信息整合在一起可以超越孤立的线索清晰地描绘出用户的行为。Windows 注册表识别硬件Windows 注册表是查找系统活动和用户行为最丰富的信息源之一。它记录了已安装硬件及其配置方式的历史。对于 USB 调查SYSTEM 配置单元是你的起点。在开始挖掘离线注册表配置单元之前始终检查 SYSTEM\Select\Current以及相关的 LastKnownGood以确保你查看的是上次启动期间使用的活动控制集。跟踪不同的设备类型注册表将通用的 USB 连接与实际存储设备分开。知道去哪里查找可以节省时间并帮助过滤掉鼠标或键盘等非存储设备的干扰信息。通用 USB 连接在 HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\USB 下你会找到大量之前枚举过且仍保留在配置单元中的设备列表。这包括网络摄像头、蓝牙适配器和存储驱动器。此处的文件夹使用设备的供应商 ID (VID) 和产品 ID (PID) 命名。大容量存储识别要专注于存储介质请查看 HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\USBSTOR。这是系统已枚举为 USB 存储的外部存储设备的主列表。在产品名称下可以找到一个以设备序列号命名的子项。这个序列号至关重要因为它能将证据与特定的物理闪存驱动器关联起来。请记住如果序列号的第二个字符是 () 符号通常意味着设备未在硬件中提供唯一的序列号。Windows 可能会合成一个标识符通常与端口/实例绑定这使得跨不同端口或系统将活动唯一地归因于特定物理设备变得更加困难。请注意这不是一个绝对的保证而是一个启发式指示。智能设备跟踪由于使用 MTP 的智能手机不会出现在标准的 USBSTOR 项中调查人员有时会遗漏它们。它们的连接历史、友好名称和设备容器 ID 通常存储在 HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\SWD\WPDBUSENUM 下。注意虽然 MTP 设备通常会填充 WPDBUSENUM 项但这并非绝对。在实践中智能手机连接数据也可能直接记录在 HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\USB 分支中。调查人员应主动检查 \Enum\USB 项并通过查找值为 WUDFWpdMtp 的 Service 值和设置了可移动设备标志CM_DEVCAP_REMOVABLE0x4的 Capabilities 值来筛选子项这两者结合起来是一个强有力的指示表明该设备充当便携式MTP端点但并非适用于所有供应商/版本/设备配置的通用确认。时间戳和 devpkey.h 映射一旦你确定了插入的设备还需要知道确切的发生时间。注册表有一个众所周知的问题有时被称为时间戳悖论。每个注册表项都有一个 LastWrite 时间但项内的各个值却没有。如果一个项频繁更新LastWrite 时间只告诉你该项本身被更改的时间——而不是哪个值触发了更改。为了解决这个问题Windows 为每个设备存储了设备安装、连接和移除的时间戳。可以在设备实例属性中找到它们路径如下HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\USB\VID_...PID_......\Properties{83da6326-97a6-4088-9453-a1923f573b29}....取证研究人员已将此处找到的几个属性 ID 映射到 Microsoft 的 devpkey.h 中的定义这实际上充当了常见 USB 生命周期时间戳的解码环。在许多版本中可以看到以下ID0x64 (InstallDate)设备驱动程序成功安装的时间该实例的最后一次成功安装。此值会在后续驱动程序更新时改变。0x65 (FirstInstallDate)设备首次设置的时间首次配置。即使稍后更新驱动程序此值通常也保持不变。0x66 (LastArrivalDate)硬件最近一次被插入并被系统识别的时间。0x67 (LastRemovalDate)硬件最近一次被拔出或断开连接的时间。这些时间以 UTC 格式存储因此记得将其转换为计算机的本地时区并酌情考虑夏令时。通过查看 LastArrivalDate 和 LastRemovalDate通常可以估算出设备最近一次会话期间的连接时长。分析 Windows 事件日志注册表提供了强大的概览而 Windows 事件日志则提供了详细信息。Windows 使用 ETW 记录一系列 .evtx 日志这些日志近乎实时地跟踪硬件事件。这些日志非常有用但请记住某些通道可能默认禁用或者根据本地日志记录策略具有有限的保留期。驱动器和存储日志在调查 USB 活动时有几个常用的事件通道DriverFrameworks-UserModeMicrosoft-Windows-DriverFrameworks-UserMode/Operational 日志可以提供设备设置期间用户模式驱动程序框架活动的详细视图。事件ID如 10000、10001 和 10002 可能显示硬件插入时刻的驱动程序初始化和配置。当设备被移除时可能会看到 2100 和 2102 等事件。可用性和确切的事件组合可能因版本和配置而异。Storage-ClassPnP设备运行后Microsoft-Windows-Storage-ClassPnP/Operational 日志会跟踪存储卷本身的活动。通常会检查事件ID如 507 和 512。事件 507 特别有用因为它经常记录标识字符串供应商/产品并可能包含设备报告的序列号——这对于交叉验证你在注册表中发现的内容非常方便。MTP / 便携设备日志对于手机和相机相关事件出现在 Microsoft-Windows-WPD-MTPClassDriver/Operational、Microsoft-Windows-DeviceSetupManager/Admin 以及通过 Microsoft-Windows-UserPnp 提供程序生成的系统日志中。其他快速入手点不要忽视 SetupAPI.dev.log它通常提供一个简单、按时间顺序排列的设备/驱动程序安装和更新记录当事件通道缺失或被截断时对于首次出现/首次安装的上下文非常有用。为了保持传统连续性许多分析师仍然检查 MountPoints2在用户配置单元中作为用户帐户曾与之交互的卷的历史指标——这有助于作为支持证据但不能单独作为确定的设备标识符。最后当卷序列号 (VSN) 不可用或不可靠时可以使用其他稳定标识符作为关联枢纽例如磁盘签名 (MBR)、GPT 磁盘/分区 GUID 或 Windows 卷 GUID例如\\?\Volume{...}\并在可能的情况下将这些标识符与注册表、事件日志和文件系统痕迹进行关联。查找卷序列号 (VSN)如果想证明某人窃取了文件需要将物理闪存驱动器与逻辑文件系统连接起来。由于驱动器号问题依赖驱动器号是有风险的。Windows 会回收驱动器号。如果用户将一个U盘插入 E:拔出它然后将另一个不同的驱动器插入同一系统那个驱动器稍后也可能被分配为 E:如果仅依赖驱动器号这可能会模糊归因。一个更稳定的线索是卷序列号 (VSN)。VSN 是在格式化卷时生成的十六进制值。由于同一物理设备可以被重新格式化从而改变 VSN因此 VSN 标识的是特定的逻辑卷实例而不是物理U盘本身。Windows 10 和 11 通常会在分区事件通道中记录挂载诊断信息Microsoft-Windows-Partition/Diagnostic存储为 Microsoft-Windows-Partition%4Diagnostic.evtx。注意主要的Windows更新可能会清除这些日志。当挂载一个卷时事件 ID 1006 可以在 Vbr0 等字段中包含 VBR引导记录快照。你可以从这些数据中提取 VSN但偏移量取决于文件系统NTFSVSN 位于偏移量 0x48 处4 字节小端序FAT32VSN 位于偏移量 0x43 处4 字节小端序exFATVSN 位于偏移量 0x64 处4 字节小端序移动设备的盲点跟踪 MTP 和 PTP 设备上述注册表和事件日志来源确认了智能设备的存在。以下内容将综合这些线索并讨论分析师可以从这些线索中得出——以及不能得出——哪些结论。通过 MTP 或 PTP 连接的智能手机和平板电脑现在是常见且有时被忽视的数据外泄载体通常作为传统U盘的替代品。由于这些智能设备不向主机计算机暴露原始块存储设备内部操作系统会代理所有文件访问和传输请求。因此在处理 MTP 连接时通常缺少传统的痕迹物证如逻辑驱动器号或标准 VSN。这要求调查人员转向专门设计用于监控智能设备元数据的替代遥测流。尽管缺少这些信息调查人员仍然可以可靠地重建设备身份和连接时间线。与标准的 USBSTOR 项不同这些智能端点的历史记录保存在 HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\SWD\WPDBUSENUM 注册表项中。此位置存储设备的友好名称、制造商详细信息和唯一的连接历史。此外Microsoft-Windows-WPD-MTPClassDriver/Operational.evtx 日志记录了连接的成功初始化并且经常捕获设备型号/制造商有时还捕获固件/版本详细信息。对于跟踪用户活动ShellBags 仍然非常有价值由于 MTP 设备没有传统的驱动器号它们的 ShellBags 引用高度特定的注册表路径或 GUID以无缝地跟踪通过移动设备内部存储的图形导航。请注意用户与这些便携式设备的特定交互通常记录在 NTUSER.DAT 配置单元的 Software\Microsoft\Windows\CurrentVersion\Explorer\AutoplayHandlers 和 Explorer\Portable Devices 下。然而在没有第三方监控工具的情况下可以本地重建的内容存在明显的限制。虽然注册表项和事件日志可以证明硬件物理存在并已连接但它们本身并不能证明用户与其进行了交互或提取了数据。由于 MTP 设备缺乏标准 VSN依靠 LNK 文件和跳转列表来明确证明特定文件被复制到了移动设备通常无法使用经典的基于 VSN 的关联方法实现因为这些文件系统痕迹在很大程度上依赖于逻辑卷标识符可能需要替代来源应用程序日志、云同步痕迹、移动设备取证才能达到相同的置信水平。因此虽然这些痕迹可以提供一些文件夹导航/浏览的证据但通过 Windows 本地痕迹来明确证明文件传输要困难得多通常需要获取移动端点本身。文件系统痕迹证明用户交互注册表项和事件日志有助于确定硬件已连接到计算机。然而证明驱动器被插入并不一定意味着有任何东西被访问过。为了显示用户确实打开了文件、复制了数据或运行了恶意程序必须深入研究文件系统痕迹。LNK 文件和跳转列表为了在不依赖变化的驱动器号的情况下将特定文件与特定 USB 驱动器关联起来取证专家经常使用 LNK 文件和跳转列表。LNK 文件Windows 快捷方式当用户通过资源管理器或常见的 shell 机制打开文档或应用程序时Windows 经常创建快捷方式文件此行为可能因版本、策略以及访问方式而异。这些快捷方式在创建时捕获有关目标文件的详细信息。LNK 文件可以记录目标路径、时间戳以及对于 USB 案件最重要的——目标所在卷的卷序列号 (VSN)。跳转列表跳转列表是当你右键单击任务栏上的应用程序图标时出现的最近项目列表。它们主要作为 AutomaticDestinations-ms 文件存储以及对于某些应用程序和行为作为 CustomDestinations-ms 文件存储在 %APPDATA%\Microsoft\Windows\Recent\ 文件夹的子文件夹中。跳转列表中的单个记录在结构上类似于 LNK 数据并且可以包含同样高价值的关联信息包括完整路径和 VSN。通过从相关的 LNK 或跳转列表记录中提取 VSN可以在分区诊断事件或其他卷挂载痕迹中搜索该 VSN。一旦找到就可以将该卷与注册表 (USBSTOR) 和相关日志中的设备身份关联起来。通过交叉核对这些痕迹通常可以证明特定文档是从特定的可移动卷中打开的——无论当时它被分配了什么驱动器号。跟踪导航和执行有时需要显示用户点击了哪些文件夹或者证明他们直接从可移动驱动器运行了便携式工具。这就需要用到其他痕迹。ShellBags存在于用户的注册表配置单元NTUSER.DAT 和 UsrClass.dat中ShellBags 捕获用户在资源管理器中浏览过的位置的文件夹视图设置。即使在 USB 设备被拔出后它们也可能持续存在。对于不使用标准驱动器号的 MTP 设备ShellBags 可能引用便携式设备路径和基于 GUID 的标识符这仍然可以帮助重建在设备上的导航。时间线 (ActivitiesCache.db)Windows 10 引入了时间线功能该功能在 SQLite 数据库中记录用户活动。根据 Windows 版本和配置此数据库可能仍然存在并包含打开的项目和应用程序活动的记录。Windows 11 移除了可见的时间线界面但一些相关的活动收集机制可能仍然存在——因此应将其视为需检查确认的痕迹而非理所当然存在。位置%LocalAppData%\ConnectedDevicesPlatform 下的子文件夹父路径。值得注意的是时间线记录通常仅存储最多 30 天。执行跟踪如果需要显示程序是从可移动介质执行的请查阅多个来源。应用程序兼容性痕迹包括 Amcache.hve可以保存与执行相关的证据/程序存在性和兼容性元数据并可能包含哈希值和路径/卷上下文。后台活动调节器 (BAM) 和桌面活动调节器 (DAM) 可以记录某些程序的执行路径。在 Windows 11 中程序兼容性助手 (PCA) 也可以维护与用户启动的应用程序相关的程序执行事件的可读日志。Amcache 应被视为辅助的应用程序兼容性痕迹并与其他执行痕迹关联使用。结论——Elcomsoft Quick Triage, 自动提取USB设备相关证据构建时间线本文探讨了 Windows 注册表和 Windows 事件日志中的信息目的在于针对恶意行为者连接和使用外部存储介质这个高度具体且普遍存在的威胁。普通分析师与专家之间的区别在于将这些零散的线索串联起来的能力。这些痕迹物证没有一个能单独说明整个故事。为了构建一个可辩护的、关于恶意使用未经授权驱动器的证据链通常需要关联多个层面在注册表中识别设备使用每个设备的时间戳和事件日志限定连接时间使用稳定的关联信息如 VSN 或卷标识符关联存储身份然后使用文件系统痕迹LNK 文件、跳转列表、ShellBags、执行痕迹证明交互。这种关联减少了歧义并产生了一个比任何单一孤立痕迹更不容易引起争议的时间线。手动将这些信息拼凑起来需要时间。而Elcomsoft Quick Triage的设计初衷就是快速提取本文讨论的所有注册表项、事件日志和文件系统痕迹为你提供构建时间线所需的数据而无需手动挖掘堆积如山的数据。更多关于Elcomsoft Quick Triage的内容请参看文章Elcomsoft Quick Triage: 现场/实验室数字取证快速分类工具Elcomsoft Quick Triage: 云端同步数据数字取证, 应急勘察的应用Elcomsoft Quick Triage: 数字取证快速分类在有限时间做快速决策Elcomsoft Quick Triage数字应急取证勘察中的网络浏览器取证Elcomsoft Quick Triage: 网络应用数字取证, 磁盘镜像 or 应急勘察