Glossaire
ControlSet et CurrentControlSet
Les jeux de configuration numérotés de la ruche SYSTEM ; CurrentControlSet est un lien d'exécution absent d'une ruche analysée hors ligne.
La ruche SYSTEM stocke la configuration de démarrage de la machine — services, pilotes, énumération des périphériques, fuseau horaire, nom de l'ordinateur — dans des sous-clés numérotées appelées jeux de contrôle (control sets) : ControlSet001, et parfois ControlSet002 ou davantage. Chacun est une copie complète de cette configuration.
HKLM\SYSTEM\CurrentControlSet n'est pas une vraie clé sur disque. C'est un lien que Windows crée au démarrage et qui pointe vers le jeu de contrôle en cours d'utilisation. Lorsque vous chargez une ruche SYSTEM hors ligne dans un outil forensique, CurrentControlSet n'existe donc pas : il faut déterminer vous-même quel jeu numéroté était actif.
La réponse se trouve dans la clé HKLM\SYSTEM\Select. Sa valeur Current contient le numéro du jeu utilisé (1 correspond à ControlSet001), tandis que LastKnownGood, Default et Failed indiquent les autres rôles. Lisez toujours Select\Current avant d'interpréter des chemins comme Services, Enum\USBSTOR ou Control\Session Manager\AppCompatCache : un jeu plus ancien et non actif peut contenir des données périmées qui ressemblent à la configuration en vigueur.
La plupart des outils gèrent cela automatiquement, mais quand une fiche cite un chemin CurrentControlSet, pensez à le traduire pour l'analyse hors ligne. C'est le cas des services, de la ShimCache et de l'historique des périphériques USB, tous situés sous un jeu de contrôle. Comparer les jeux peut aussi être utile : leurs différences révèlent parfois des changements de configuration récents, que le LastWrite de la clé aide à dater.
Artefacts concernés
- BAM / DAM (Background Activity Moderator)Fiche BAM et DAM : clés de la ruche SYSTEM selon la version de Windows 10, SID par utilisateur, dernière exécution en FILETIME, rétention de sept jours.
- Historique des périphériques USBFiche forensique USB : clés USBSTOR et USB, numéros de série, première et dernière connexion, lettres de lecteur, setupapi.dev.log et événements.
- Périphériques Bluetooth appairésFiche Bluetooth : clés BTHPORT des appareils appairés, adresses MAC et noms, dates LastSeen/LastConnected, BTHENUM, journaux et transferts fsquirt.
- Pilotes noyau (.sys, services de pilote, BYOVD)Fiche pilotes noyau : services de pilote (Type 1/2), événement 7045, DriverStore, setupapi.dev.log, Amcache et journaux CodeIntegrity contre BYOVD et rootkits.
- Services WindowsFiche services Windows : valeurs de la clé Services (ImagePath, Start, Type, ServiceDll), événements 7045 et 4697, traces de PsExec et pièges.
- ShimCache (AppCompatCache)Fiche ShimCache (AppCompatCache) : emplacement dans SYSTEM, nombre d'entrées par version, ordre, sens de l'horodatage et limites comme preuve d'exécution.