BAM-Parser im Vergleich: RegRipper, EZ-Tools, Velociraptor
Ein fairer Blick auf die Tools, die BAM und DAM auswerten: bam.pl, das BamDam-Plugin, Velociraptor, Plaso und BAM/DAM Parser – Abdeckung und Lücken.
Blog
Artikel, Leitfäden und Updates.
BAM vs. UserAssist: zwei benutzerbezogene Ausführungsspuren
BAM und UserAssist ordnen Programmausführung einem Benutzer zu. Vergleich von Speicherort, Zeitstempeln, Zählern, GUI- und Hintergrundstarts sowie Aufbewahrung.
BAM vs. Prefetch vs. ShimCache vs. Amcache im Vergleich
Ausführungsnachweise unter Windows im Vergleich: was BAM, Prefetch, ShimCache und Amcache erfassen, wie lange sie es behalten und wie man sie kombiniert.
Ausführungsnachweis mit BAM: ein Lateral-Movement-Fall
Eine fiktive Untersuchung auf FIN-WKS-07 mit BAM: Phishing, ein gekapertes Dienstkonto, Scans, PsExec, RDP und rclone – und was BAM nicht zeigen konnte.
BAM: von der SID zum Benutzernamen – Ausführung zuordnen
Wie BAM Programme Konten zuordnet: SID lesen, über ProfileList, SAM oder die Domäne auflösen, bekannte SIDs wie SYSTEM und DWM erkennen und Fallstricke meiden.
BAM und DAM analysieren: Anleitung Schritt für Schritt
Praxisnaher Ablauf, um BAM/DAM aus dem SYSTEM-Hive auszuwerten: sichern, im Browser parsen, nach Konto und Control Set filtern, sichten, belegen, exportieren.
Grenzen von BAM und Anti-Forensik: was BAM übersieht
Sieben-Tage-Bereinigung, gelöschte Dateien, Wechsel- und Netzwerkpfade, Konsolen-Tools, Dirty Hives und Manipulation: alle bekannten blinden Flecken von BAM.
Desktop Activity Moderator (DAM): Forensik erklärt
Was der Desktop Activity Moderator ist, warum sein Schlüssel auf Desktops meist leer ist, wie sich DAM von BAM unterscheidet und wie man ihn auf Laptops nutzt.
BAM je Windows-Version: 1709, 1809, Windows 11 und Server
Welche Windows-Builds BAM und DAM haben, wohin der Schlüssel mit 1809 wanderte, wie ein aktualisierter Host aussieht und was bei Windows 11 und Server zählt.