Glossar
ProfileList
Der Schlüssel im SOFTWARE-Hive, der jede Konto-SID über ProfileImagePath ihrem Profilordner zuordnet; so erscheint ein Name neben den SIDs aus BAM.
ProfileList ist der Schlüssel SOFTWARE\Microsoft\Windows NT\CurrentVersion\ProfileList. Jeder Unterschlüssel ist nach einer SID benannt und hat einen Wert ProfileImagePath wie C:\Users\alice, der auf den Profilordner des Kontos zeigt.
Forensische Parser, auch der BAM/DAM Parser, verwenden den letzten Ordner dieses Pfads als Kontonamen für BAM-Schlüssel. Das ist ein starkes Indiz, nicht der maßgebliche Name: Microsoft dokumentiert, dass das Umbenennen eines Kontos den Profilpfad nicht ändert. Bei lokalen Konten mit dem SAM-Hive bestätigen. Mehr in BAM: von der SID zum Benutzernamen.