BAM-Parser im Vergleich: RegRipper, EZ-Tools, Velociraptor
Ein fairer Blick auf die Tools, die BAM und DAM auswerten: bam.pl, das BamDam-Plugin, Velociraptor, Plaso und BAM/DAM Parser – Abdeckung und Lücken.
Beiträge mit Tag: #bam
BAM vs. UserAssist: zwei benutzerbezogene Ausführungsspuren
BAM und UserAssist ordnen Programmausführung einem Benutzer zu. Vergleich von Speicherort, Zeitstempeln, Zählern, GUI- und Hintergrundstarts sowie Aufbewahrung.
BAM vs. Prefetch vs. ShimCache vs. Amcache im Vergleich
Ausführungsnachweise unter Windows im Vergleich: was BAM, Prefetch, ShimCache und Amcache erfassen, wie lange sie es behalten und wie man sie kombiniert.
Ausführungsnachweis mit BAM: ein Lateral-Movement-Fall
Eine fiktive Untersuchung auf FIN-WKS-07 mit BAM: Phishing, ein gekapertes Dienstkonto, Scans, PsExec, RDP und rclone – und was BAM nicht zeigen konnte.
BAM: von der SID zum Benutzernamen – Ausführung zuordnen
Wie BAM Programme Konten zuordnet: SID lesen, über ProfileList, SAM oder die Domäne auflösen, bekannte SIDs wie SYSTEM und DWM erkennen und Fallstricke meiden.
BAM und DAM analysieren: Anleitung Schritt für Schritt
Praxisnaher Ablauf, um BAM/DAM aus dem SYSTEM-Hive auszuwerten: sichern, im Browser parsen, nach Konto und Control Set filtern, sichten, belegen, exportieren.
Grenzen von BAM und Anti-Forensik: was BAM übersieht
Sieben-Tage-Bereinigung, gelöschte Dateien, Wechsel- und Netzwerkpfade, Konsolen-Tools, Dirty Hives und Manipulation: alle bekannten blinden Flecken von BAM.
Desktop Activity Moderator (DAM): Forensik erklärt
Was der Desktop Activity Moderator ist, warum sein Schlüssel auf Desktops meist leer ist, wie sich DAM von BAM unterscheidet und wie man ihn auf Laptops nutzt.
BAM je Windows-Version: 1709, 1809, Windows 11 und Server
Welche Windows-Builds BAM und DAM haben, wohin der Schlüssel mit 1809 wanderte, wie ein aktualisierter Host aussieht und was bei Windows 11 und Server zählt.
BAM-Werteformat: FILETIME, Pfade und Interna
Ein BAM-Registry-Wert Byte für Byte: der 24-Byte-REG_BINARY, der FILETIME, Gerätepfade oder Paketnamen, Version, SequenceNumber und Schlüsselzeitstempel.
BAM-Registry-Schlüssel: Speicherort und Sicherung
Die genauen BAM- und DAM-Pfade je Windows-Build, warum es offline kein CurrentControlSet gibt und wie man SYSTEM samt Transaktionsprotokollen sichert.
BAM/DAM-Forensik: der komplette Leitfaden zu Windows BAM
Was der Windows Background Activity Moderator aufzeichnet, wo BAM und DAM im SYSTEM-Hive liegen, was sie belegen, was ihnen entgeht und wie man sie auswertet.