BAM vs UserAssist : deux preuves d'exécution par utilisateur
BAM et UserAssist relient l'exécution à un utilisateur. Emplacements, horodatages, compteurs, lancements via l'Explorateur ou non, rétention : le comparatif.
Articles tagués: #program-execution
BAM vs Prefetch vs ShimCache vs Amcache : lequel croire ?
Comparatif des preuves d'exécution Windows : ce qu'enregistrent BAM, Prefetch, ShimCache et Amcache, combien de temps ils le gardent, et comment les combiner.
Preuve d'exécution avec BAM : un cas de mouvement latéral
Une enquête fictive sur FIN-WKS-07 lue à travers BAM : phishing, compte de service détourné, scan, PsExec, RDP et rclone — et ce que BAM ne pouvait pas montrer.
BAM, du SID au nom d'utilisateur : attribuer l'exécution
Comment BAM relie programmes et comptes : lire le SID, le résoudre via ProfileList, SAM ou le domaine, les SID bien connus (SYSTEM, DWM) et les pièges à éviter.
Analyser les clés de registre BAM et DAM, pas à pas
Méthode pour analyser BAM/DAM depuis une ruche SYSTEM : collecter, analyser dans le navigateur, cibler compte et control set, trier, corroborer, exporter.
Limites de BAM et anti-forensique : ce que BAM rate
Purge à sept jours, exécutables supprimés, supports amovibles et réseau, outils console, ruches dirty, altérations : les angles morts de BAM et leur détection.
BAM/DAM en forensique : le guide complet de BAM Windows
Ce que BAM enregistre sous Windows, où BAM et DAM se trouvent dans la ruche SYSTEM, ce qu'ils prouvent, ce qu'ils ratent et comment les analyser.