BAM vs. UserAssist: zwei benutzerbezogene Ausführungsspuren
BAM und UserAssist ordnen Programmausführung einem Benutzer zu. Vergleich von Speicherort, Zeitstempeln, Zählern, GUI- und Hintergrundstarts sowie Aufbewahrung.
Beiträge mit Tag: #program-execution
BAM vs. Prefetch vs. ShimCache vs. Amcache im Vergleich
Ausführungsnachweise unter Windows im Vergleich: was BAM, Prefetch, ShimCache und Amcache erfassen, wie lange sie es behalten und wie man sie kombiniert.
Ausführungsnachweis mit BAM: ein Lateral-Movement-Fall
Eine fiktive Untersuchung auf FIN-WKS-07 mit BAM: Phishing, ein gekapertes Dienstkonto, Scans, PsExec, RDP und rclone – und was BAM nicht zeigen konnte.
BAM: von der SID zum Benutzernamen – Ausführung zuordnen
Wie BAM Programme Konten zuordnet: SID lesen, über ProfileList, SAM oder die Domäne auflösen, bekannte SIDs wie SYSTEM und DWM erkennen und Fallstricke meiden.
BAM und DAM analysieren: Anleitung Schritt für Schritt
Praxisnaher Ablauf, um BAM/DAM aus dem SYSTEM-Hive auszuwerten: sichern, im Browser parsen, nach Konto und Control Set filtern, sichten, belegen, exportieren.
Grenzen von BAM und Anti-Forensik: was BAM übersieht
Sieben-Tage-Bereinigung, gelöschte Dateien, Wechsel- und Netzwerkpfade, Konsolen-Tools, Dirty Hives und Manipulation: alle bekannten blinden Flecken von BAM.
BAM/DAM-Forensik: der komplette Leitfaden zu Windows BAM
Was der Windows Background Activity Moderator aufzeichnet, wo BAM und DAM im SYSTEM-Hive liegen, was sie belegen, was ihnen entgeht und wie man sie auswertet.