Glossar
NT-Gerätepfad (\Device\HarddiskVolumeN)
Die native Pfadform des Kernels, etwa \Device\HarddiskVolume3\Windows\System32\cmd.exe, die BAM in Wertnamen statt Laufwerksbuchstaben verwendet.
Ein NT-Gerätepfad bezeichnet eine Datei über den Namensraum des Objekt-Managers im Kernel statt über einen Laufwerksbuchstaben: \Device\HarddiskVolume3\Windows\System32\cmd.exe statt C:\Windows\System32\cmd.exe. Laufwerksbuchstaben sind symbolische Links im Benutzermodus auf diese Geräteobjekte (Microsoft Learn).
BAM-Wertnamen verwenden diese Form, daher müssen Ermittler HarddiskVolumeN mithilfe anderer Artefakte einem Buchstaben zuordnen. Volume-Nummern vergibt das laufende System; sie sind keine stabilen Kennungen über Rechner hinweg. Der BAM/DAM Parser extrahiert das Volume in eine eigene Spalte. Siehe BAM-Werteformat.