Parseurs BAM comparés : RegRipper, outils EZ, Velociraptor
Comparatif équitable des outils qui analysent BAM et DAM : bam.pl, plugin BamDam d'EZ, Velociraptor, Plaso et BAM/DAM Parser. Couverture et lacunes.
Blog
Articles, guides et nouveautés.
BAM vs UserAssist : deux preuves d'exécution par utilisateur
BAM et UserAssist relient l'exécution à un utilisateur. Emplacements, horodatages, compteurs, lancements via l'Explorateur ou non, rétention : le comparatif.
BAM vs Prefetch vs ShimCache vs Amcache : lequel croire ?
Comparatif des preuves d'exécution Windows : ce qu'enregistrent BAM, Prefetch, ShimCache et Amcache, combien de temps ils le gardent, et comment les combiner.
Preuve d'exécution avec BAM : un cas de mouvement latéral
Une enquête fictive sur FIN-WKS-07 lue à travers BAM : phishing, compte de service détourné, scan, PsExec, RDP et rclone — et ce que BAM ne pouvait pas montrer.
BAM, du SID au nom d'utilisateur : attribuer l'exécution
Comment BAM relie programmes et comptes : lire le SID, le résoudre via ProfileList, SAM ou le domaine, les SID bien connus (SYSTEM, DWM) et les pièges à éviter.
Analyser les clés de registre BAM et DAM, pas à pas
Méthode pour analyser BAM/DAM depuis une ruche SYSTEM : collecter, analyser dans le navigateur, cibler compte et control set, trier, corroborer, exporter.
Limites de BAM et anti-forensique : ce que BAM rate
Purge à sept jours, exécutables supprimés, supports amovibles et réseau, outils console, ruches dirty, altérations : les angles morts de BAM et leur détection.
Desktop Activity Moderator (DAM) : la forensique expliquée
Ce qu'est le Desktop Activity Moderator, pourquoi sa clé est vide sur la plupart des postes fixes, ce qui le distingue de BAM et comment l'exploiter.
BAM selon les versions : Windows 10 1709, 1809, 11, Server
Quelles versions de Windows ont BAM et DAM, où la clé a migré en 1809, à quoi ressemble une machine mise à niveau, et quoi vérifier sur Windows 11 et Server.