Windows가 남기는 흔적

OS가 성능·호환·감사를 위해 남기는 기록이 SS의 증거가 된다. 이 문서는 각 아티팩트가 무엇이고 왜 생기는지를 설명한다. 파서 명령과 캡처 절차는 표준 절차와 카드에 있다.

왜 로그가 남나

OS는 성능·호환·감사를 위해 이 기록을 남긴다. 메커니즘별 목적과 SS가 읽는 이유는 위협 모델에 정리돼 있다.

통상 검사 순서

시각은 빠른 시작의 타임라인과 같다.

순서	보는 것	보는 이유	주의
1	Prefetch (`.pf`)	실행 후보·타임라인	파일명만 보지 않는다. 카드 참조
2	USN 저널	생성·삭제·개명 타임라인	저널은 wrap됨. 최근 구간만 남음
3	BAM (State/UserSettings)	실행 주장 교차	사용자마다 남음
4	실행 흔적 레지스트리	실행 주장 교차	ShimCache는 실행 증거 아님
5	Recent/LNK/점프리스트	열람 흔적	사용자 개입의 신호
6	서명·경로 위생	정상 서명·경로	MS 서명은 실행 증명 아님
7	프로세스·모듈	현재 메모리 상태	스냅샷이므로 불안정
8	(분기 시) 메모리	파서·malfind 후보	분기 조건 충족 시만
9	안티포렌식 패턴	흔적 삭제·위장	공백 자체가 신호
10	매크로	입력 시퀀스	온보드(onboard, 장치에 내장된, 용어집) 2회 테스트
11	환경 설정	HVCI·IOMMU 등	가중치로만, 확정 근거 아님

각 아티팩트가 생기는 이유와 보는 법

Prefetch

Windows는 실행 파일이 실행될 때마다 로드된 DLL·파일 목록을 C:\Windows\Prefetch의 .pf 파일에 기록하고 갱신한다. 다음 실행을 빠르게 하기 위한 것이지 감사 로그가 아니다. 그래서 .pf는 "실행됐다"의 직접 증거가 아니라 "로드가 시도됐다"의 후보다.

읽는 것	의미
파일명 + 해시	실행 파일의 이름과 경로 해시
Run count	몇 번 로드됐나 (버전·빌드에 따라 다름)
마지막 실행 시각	제보 시간대와 겹치는가
참조 DLL 목록	치트 DLL이 함께 로드됐나

한계가 있다. SysMain 서비스가 꺼져 있으면 기록이 안 남는다. .pf 파일명은 실행 파일 이름과 경로 해시로 만들어지므로, 이름만 같아도 경로가 다르면 다른 .pf가 되고 .pf 이름만으로는 경로를 알 수 없다. 반드시 USN·BAM·모듈 목록과 교차한다. 파일리스 실행도 마찬가지다. 치트 자체의 .pf는 없어도 실행 주체(스크립트 호스트·로더)의 .pf는 남는다. 내용만 지워진 .pf는 파일 크기와 내부 실행 시각의 불일치로 드러난다. 상세는 Prefetch 카드에 있다.

USN 저널

NTFS는 파일이 생성·수정·삭제·개명될 때마다 USN 저널에 한 줄을 쓴다. 치트가 파일을 지워도 "지워졌다"는 기록이 저널에 남는다. 그래서 USN은 "없어진 파일"을 복원하는 열쇠다.

읽는 것	의미
파일 경로	무엇이 있었나
이유 플래그	CREATE, DELETE, RENAME_OLD, RENAME_NEW
시각	제보 시간대와 겹치는가

한계가 있다. 저널은 크기가 정해져 있어 오래된 기록은 밀려난다(wrap). FAT32·exFAT에는 저널이 없다. ReFS는 저널을 지원하지만 $MFT가 없어 $MFT를 직접 읽는 도구로는 읽히지 않는다. 저널이 없는 볼륨 자체도 신호가 된다. 우회 목적의 FAT32 가상 디스크(VHD)는 볼륨 파일시스템과 MountedDevices(마운트된 장치 기록)의 마운트 기록에서 본다. 저널 자체를 삭제하면 fsutil로 상태를 확인할 수 있고, 재생성 기록이 남는다. 상세는 USN 저널 카드에 있다.

BAM

Background Activity Moderator는 백그라운드 프로그램의 활동을 관리하는 구성 요소로, Windows 10 1709부터 실행 경로와 시각을 레지스트리에 남긴다. 파일이 삭제돼도 다음 부팅 전까지는 레지스트리에 남기 때문에 실행 교차에 강하다.

읽는 것	의미
실행 경로	어떤 exe가 어디서 실행됐나
마지막 실행 시각	제보 시간대와 겹치는가
사용자 SID	누가 실행했나

경로가 두 가지다. 옛 빌드는 ...\bam\UserSettings\{SID}, 새 빌드는 ...\bam\State\UserSettings\{SID}를 쓴다. 둘 다 본다. BAM은 사용자별 마지막 실행 시각을 보여 주는 축이므로 Prefetch·USN과 교차한다. 엔트리를 수동으로 지워도 대상 키의 ACL 변경과 편집 도구의 실행이 남는다. 항목은 오래 남지 않는다. 7일 지난 항목과 원래 위치에서 사라진 실행 파일의 항목은 부팅 때 지워지고, 이동식 매체나 네트워크 공유에서 실행한 파일은 항목이 생기지 않을 수 있다. 상세는 BAM·레지스트리 카드에 있다.

PCA

프로그램 호환성 관리자(Program Compatibility Assistant, PCA)는 옛 Windows용 프로그램을 돌리기 위한 구성 요소다. Windows 11 22H2부터 이 구성 요소가 C:\Windows\appcompat\pca\에 실행 기록을 텍스트 파일로 남긴다. PcaSvc 서비스가 실행 중일 때 기록되고, 시각은 UTC다.

파일	남는 것
`PcaAppLaunchDic.txt`	실행 파일마다 한 줄. 전체 경로와 마지막 실행 시각을 파이프 문자로 나눠 적고, 다시 실행하면 그 줄을 갱신한다
`PcaGeneralDb0.txt`·`PcaGeneralDb1.txt`	실행 시각, 기록 유형(설치 오류·드라이버 차단·비정상 종료 등), 경로, PE 헤더의 제품명·회사명·버전, 프로그램 ID. 한 파일이 2MB에 차면 다른 파일로 넘어가 번갈아 쓴다

한계가 있다. 두 종류 모두 탐색기로 실행한 프로그램만 기록하고, 콘솔에서 띄운 실행은 기록하지 않는다. PcaAppLaunchDic.txt는 ANSI(CP-1252) 파일이라 이름에 유니코드 문자가 있는 파일을 한 번 실행하면 그 뒤로 새 항목이 추가되지 않는다. 그래서 PCA에 없다는 사실은 실행이 없었다는 뜻이 되지 못한다. 읽는 법은 BAM·레지스트리 카드에 있다.

ShimCache · Amcache

둘 다 호환성·앱 개선 프로그램이 남기는 기록으로, 실행 경로·파일명·시각이 남는다. 그러나 실행 증거가 아니다.

ShimCache는 "파일이 존재했다"는 증거이지 "실행됐다"는 증거가 아니다. 설치 없이 파일만 있어도 기록될 수 있다.
Amcache는 설치·실행 이력을 남기지만 프로그램이 실행되지 않아도 경로가 남을 수 있다.

둘 다 실행 주장을 교차하는 보조 축으로만 쓴다. Prefetch·BAM이 먼저다.

SRUM

시스템 자원 사용 모니터(System Resource Usage Monitor, SRUM)는 Windows 8부터 앱별 자원 사용을 C:\Windows\System32\sru\SRUDB.dat(ESE 데이터베이스)에 쌓고, 최신 Windows 11에도 있다. 앱 자원 사용 기록에는 실행 파일의 전체 경로와 실행한 계정의 SID가, 네트워크 사용 기록에는 앱별 송수신 바이트와 연결한 네트워크(무선이면 SSID)가 남는다. 디스크에서 이미 지워진 실행 파일도 남는다. 보존 기간은 기본 30일이고 그룹 정책으로 바뀔 수 있다.

한계가 있다. 기록은 한 시간마다, 그리고 시스템 종료 때 데이터베이스에 쓰이고 그 사이의 값은 레지스트리에 머문다. 가장 최근의 활동은 아직 파일에 없을 수 있고, 한 시간 단위로 묶이므로 SRUM의 시각으로 실행 순간을 특정하지 않는다. 실행 중인 시스템에서는 파일이 잠겨 있어 일반 복사로 열리지 않고, 사본을 뜨려면 관리자 권한이 필요하다. 파서는 SrumECmd(SRUDB.dat와 선택적으로 SOFTWARE 하이브)다. 데이터베이스가 dirty 상태라 파서가 실패하면 사본을 esentutl로 복구한 뒤 읽고, 원본에는 손대지 않는다. SRUM은 BAM 항목이 정리됐거나 Prefetch가 꺼진 환경에서 같은 경로를 확인하는 보조 축이다.

UserAssist · Recent · LNK

아티팩트	남는 것	SS 활용
UserAssist	탐색기를 통해 실행한 프로그램	사용자가 직접 실행했는가
Recent	최근 연 파일	열람·설정 파일 열기
LNK	바로가기	어떤 경로의 파일이 열렸나

UserAssist는 사용자가 직접 실행했다는 신호이고, Recent·LNK는 열람의 신호다. 자동 실행이나 서비스는 UserAssist에 안 남는다. 사용자가 .exe를 더블클릭한 것이 보이면 실행 주장을 교차한다. 상세는 Recent·LNK 카드에 있다.

이벤트 로그

Windows는 로그온·프로세스 생성·서비스 설치·로그 삭제 같은 사건을 채널별 이벤트 로그에 남긴다. 감사 정책이 켜져 있으면 실행과 삭제를 추적할 수 있다.

이벤트 ID	채널	의미	SS 활용
4688	Security	프로세스 생성	부모·자식 관계, 명령줄
7045	System	새 서비스 설치	드라이버·서비스 등록
1102	Security	감사 로그 삭제	안티포렌식 신호
104	System	Security 외 로그 삭제(지운 로그 이름이 이벤트에 남음)	안티포렌식 신호
4698	Security	스케줄 작업 생성	지속성·실행 스케줄
3001·3076·3077·3111	CodeIntegrity	코드 무결성 위반	드라이버 로드 실패·차단
3033	CodeIntegrity	코드 무결성 경고	서명 문제

한계가 있다. 감사 정책이 꺼져 있으면 4688이 안 남는다. 로그 파일 자체가 삭제되면 삭제 이벤트만 남는다. 채널을 비활성화하거나 .evtx 경로를 바꾸는 우회는 그 상태 자체가 남는다. 비활성 채널, 비기본 경로, 그 시점 이후의 로그 공백이 대상이다. 시스템 시간을 바꿔 실행하고 되돌리는 우회는 이벤트 4616(시스템 시간 변경)과 Kernel-General 시간 이벤트를 남긴다. 이벤트 로그는 단독 Confirmed 축이 아니라 교차 재료다.

Windows 11 24H2·25H2에는 2026년 2월 미리 보기 업데이트 KB5077241(빌드 26100.7922·26200.7922)부터 내장 Sysmon이 선택 기능으로 들어 있고, Windows Server 2025에도 있다. 기본은 꺼져 있고, 관리자가 선택 기능을 설치한 뒤 sysmon -i까지 실행해야 동작한다. 켜져 있으면 이벤트 뷰어의 응용 프로그램 및 서비스 로그 > Microsoft > Windows > Sysmon > Operational에 부모와 전체 명령줄을 포함한 프로세스 생성, 서명·해시가 붙은 드라이버·DLL 로드, 파일 생성 시각 변경이 남고, 설정에 따라 네트워크 연결(프로세스·IP·포트·호스트 이름)도 남는다. 독립 실행형(Sysinternals) Sysmon과는 한 기기에서 함께 켤 수 없다. 설치 여부는 Get-Service sysmon*로 본다. SS 중에 새로 켜지 않는다. 켜는 일은 대상 시스템을 바꾸는 것이고, 켠 뒤의 기록은 검사 전의 일을 담지 못한다.

프로세스·모듈

작업 관리자나 tasklist는 지금 살아있는 프로세스와 로드된 모듈을 보여 준다. 이미 종료된 프로세스는 보이지 않는다.

보는 것	의미
프로세스 트리	누가 누구를 실행했나
로드된 모듈	정상 경로에 정상 서명인가
비정상 부모·자식	explorer가 game.exe를 띄웠는가

한계가 있다. 스냅샷이므로 이미 종료된 것은 보이지 않고, 주입된 코드가 모듈 목록에 안 잡힐 수 있다. 정지된 스레드는 주입·후킹의 신호다. 상세는 프로세스·모듈 카드에 있다.

WER 크래시 보고

Windows 오류 보고(WER)는 프로그램이 비정상 종료되면 보고서를 만든다. 보고서는 C:\ProgramData\Microsoft\Windows\WER\의 ReportArchive·ReportQueue 폴더와 사용자 프로필의 %LocalAppData%\Microsoft\Windows\WER\에 생긴다. 같은 때 Application 로그에 1000(응용 프로그램 오류)과 1001(오류 보고)이 남고, 1000에는 죽은 프로그램의 경로와 오류가 난 모듈의 경로가 들어 있다.

게임 프로세스에 주입된 DLL이나 인젝터가 게임과 함께 죽으면 그 흔적이 여기에 남는다. .wer 보고서에는 크래시 당시 프로세스에 로드된 모듈 목록이 들어 있어, 사용자 경로의 DLL이 게임 프로세스에 올라와 있었는지 볼 수 있다. 1000의 오류 모듈은 ntdll.dll·kernelbase.dll 같은 시스템 모듈로 찍히는 경우가 많으므로, 시스템 모듈이 찍혔다고 외부 모듈이 없었다고 읽지 않는다. 크래시 기록은 Prefetch·BAM의 실행 시각과 맞춰 교차하는 재료다.

서명·경로 위생

실행 파일과 드라이버의 서명 상태와 파일 경로를 본다. C:\Windows\System32에 있어야 할 것이 Temp·AppData에 있으면 이상이다. 서명이 없거나 깨진 파일도 의심 대상이다.

한계가 있다. Microsoft 서명이 있다고 정상이라는 뜻이 아니다. 시스템 파일로 위장한 악성 파일도 있다. 서명은 "이 파일이 누구 것인가"를 확인하는 것이지 "정상인가"를 증명하는 것이 아니다. 상세는 서명·경로 카드에 있다.

Microsoft Defender 흔적

Microsoft Defender 바이러스 백신은 파일을 탐지하고 조치한 기록을 이벤트 로그, 보호 기록 파일, 텍스트 로그에 남긴다. 탐지 엔진이 파일을 식별해 위협 이름·경로·시각을 남기므로, 사용자 활동이 만든 Prefetch·BAM과 독립된 파일 정체 근거가 된다.

이벤트 ID	의미	SS 활용
1116	악성 코드·원치 않는 프로그램 탐지	위협 이름, 파일 경로, 탐지 출처, 프로세스, 사용자
1117	탐지에 대한 조치	조치 종류(정리·격리·제거·허용)
1013	악성 코드 기록 삭제	기록이 지워진 시각과 사용자
5001	실시간 보호 꺼짐	꺼진 시각을 세션 타임라인과 대조
5007	설정 변경	이전 값·새 값. 예외 경로 추가도 여기 남는다

채널은 Microsoft-Windows-Windows Defender/Operational(이벤트 뷰어의 응용 프로그램 및 서비스 로그 > Microsoft > Windows > Windows Defender > Operational)이다.

보호 기록은 실시간 보호가 위협을 막을 때 C:\ProgramData\Microsoft\Windows Defender\Scans\History\Service\DetectionHistory\ 아래 번호 폴더에 파일로 생기고, 위협 이름·파일 경로·탐지 시각·해시·실행 주체 프로세스가 들어 있다. Windows 보안 앱의 보호 기록 화면은 이 파일을 보여 주므로 파일이 지워지면 화면에서도 사라진다. PowerShell에서는 Get-MpThreatDetection이 과거와 현재의 탐지 목록을 돌려준다. Defender는 검사 기록 폴더의 항목을 기본 15일 뒤 자동으로 지운다(ScanPurgeItemsAfterDelay). 오래된 탐지가 보호 기록에 없다는 사실만으로 삭제 조작을 말하지 않는다.

예외 목록은 관리자 권한 PowerShell에서 Get-MpPreference의 ExclusionPath·ExclusionProcess·ExclusionExtension으로 보고, 특정 경로는 MpCmdRun.exe -CheckExclusion -Path <경로>로 확인한다(플랫폼 4.18.2111 이상). 예외 경로는 레지스트리 HKLM\SOFTWARE\Microsoft\Windows Defender\Exclusions\Paths에도 있다. 관리형 기기에서는 HideExclusionsFromLocalAdmins 정책 때문에 관리자에게도 예외가 보이지 않을 수 있다. 권한 없이 본 빈 결과를 "예외 없음"으로 적지 않는다.

MPLog(C:\ProgramData\Microsoft\Windows Defender\Support\MPLog-*)는 Defender의 동작을 텍스트로 남기는 로그다. 탐지 이벤트, 해시가 붙은 파일 존재 기록, 파일에 접근한 프로세스 이름이 들어 있어 실행과 파일 접근의 보조 근거가 된다.

탐지 기록(1116·1117, 보호 기록, Get-MpThreatDetection 출력)은 11-signature/에, 설정·예외 변경(5001·5007, 예외 목록)은 06-af/에 둔다. Defender 기록 하나로 판정하지 않고 실행 축과 교차한다. Defender를 끄거나 예외를 넣는 우회와 그 흔적은 안티포렌식 카드에 있다.

메모리

파일을 디스크에 두지 않는 파일리스는 메모리에만 산다. 메모리 덤프를 만들면 주입된 코드 영역, 정지된 스레드, unbacked 실행 영역(실행 파일에 매핑되지 않은 메모리 영역, 용어집)을 볼 수 있다.

한계가 크다. 덤프를 만드는 순간 시스템에 영향을 주고, malfind 같은 휴리스틱은 게임·안티치트가 쓰는 JIT에서 오탐이 많다. 분기 조건이 충족될 때만 하고, 메모리 단독으로는 Confirmed를 내리지 않는다. 파일리스 페이로드도 실행되는 동안은 프로세스 메모리에 존재한다. "디스크에 없다"와 "메모리에도 없다"는 다른 말이다. 상세는 메모리 카드에 있다.

네트워크 흔적

DNS 클라이언트 캐시에는 최근에 이름을 풀이한 도메인과 hosts 파일에서 미리 읽은 항목이 들어 있다. ipconfig /displaydns나 Get-DnsClientCache로 본다. 캐시는 메모리에 있는 휘발성 데이터라 재부팅하면 남지 않고 ipconfig /flushdns로 비워진다. 그래서 검사 초반에 캡처하고, 비어 있으면 마지막 부팅 시각과 IPCONFIG.EXE의 Prefetch 실행 시각을 함께 적는다.

로더가 라이선스 인증 서버에 접속한 흔적은 다음에 남을 수 있다.

위치	남는 것	한계
DNS 캐시	인증 서버 도메인	재부팅·`ipconfig /flushdns`로 사라진다
SRUM 네트워크 사용	실행 파일 경로별 송수신 바이트	한 시간 단위 집계, 가장 최근의 활동은 아직 없을 수 있다
내장 Sysmon 네트워크 연결	프로세스·IP·포트·호스트 이름	기본 꺼짐. 켜져 있고 설정에 들어 있을 때만 남는다

여러 축이 교차하는 법

각 축은 독립적으로는 "후보"다. 두 축 이상이 같은 파일과 같은 시각을 가리키면 단서가 교차한다.

축	남는 것	교차 방법
Prefetch	`NAME.EXE-XXXXXXXX.pf`	이름·시각을 USN·BAM과 대조
USN	파일 경로 + CREATE/DELETE	Prefetch 실행과 BAM 기록과 겹치는가
BAM	실행 경로 + 시각	Prefetch·USN의 같은 파일과 시각
UserAssist	탐색기 경유 실행	LNK·Recent와 같은 파일을 가리키는가
이벤트 4688	프로세스 생성 + 부모	Prefetch·USN과 시각·경로 교차
모듈 목록	로드된 DLL·exe 경로	Prefetch 참조 DLL과 겹치는가

예를 들어 치트가 C:\Users\user\Downloads\cheat.exe를 실행했다면:

USN에 cheat.exe CREATE가 있고
Prefetch에 CHEAT.EXE-XXXXXXXX.pf가 있고
BAM에 cheat.exe 경로가 있고
이벤트 4688에 프로세스 생성이 있으면

네 축이 교차한다. 하나만 있으면 리드(lead, 조사 실마리, 용어집)다. 각 축의 한계를 알아야 교차가 의미를 갖는다.

우회가 남기는 흔적

공격자가 우회를 시도해도 그 행위 자체가 새로운 기록을 만든다.

시도	남는 흔적	대응
파일 삭제	USN DELETE, BAM·Prefetch 잔여	저널·레지스트리 교차
이름 바꾸기	USN RENAME_OLD + RENAME_NEW	원본 이름 추적
확장자 위장	Prefetch는 실제 exe만 기록	`.pf`와 USN 파일명 대조
유니코드 경로 위장	USN에 원래 경로가 남음	파서로 원본 경로 확인
타임스탬프 조작	USN에 실제 변경 시각이 남음	저널 시각과 파일 속성 불일치
로그 삭제	1102·104 이벤트	삭제 이벤트 자체가 신호
저널 삭제	`fsutil`로 저널 상태 확인, 재생성 기록	저널 공백이 신호
서비스 억제·비활성화	서비스 Running인데 기록이 끊김, disabled 상태 변경(7040·7036)	서비스 상태와 로그 공백 불일치
설정 변경	설정 값 자체가 남음	CodeIntegrity 이벤트, 환경 노트
파일리스 실행	실행 주체의 `.pf`·ScriptBlock 로그·명령행·메모리 잔재	호스트 프로세스·스크립트 로그 교차
로그 채널 비활성·경로 변경	비활성 채널 상태, 비기본 `.evtx` 경로, 공백 구간	채널 상태·로그 디렉터리 확인
시스템 시간 위조	이벤트 4616·Kernel-General 시간 이벤트	이벤트 순서·타임스탬프 교차
BAM 엔트리 수동 삭제	대상 키의 ACL 변경, 편집 도구 실행	키 권한·다른 실행 축 교차
IFEO 디버거 등록	Image File Execution Options 키 자체	키 전수 열거
저널 없는 볼륨(FAT32·VHD)	저널 부재 자체, VHD 파일·마운트 기록	볼륨 파일시스템·MountedDevices
기록 경로 ACL 차단	명시적 deny 엔트리	파일·키 권한 확인
검색 인덱스 제외	검색 도구의 제외 목록, 인덱싱 잔재	도구 설정·데이터베이스 확인

상세는 안티포렌식에 있다.

아티팩트의 공백

다음은 전부 "없음"이 아니라 "못 본" 또는 "없어졌을 수 있음"이다.

상황	의미
Prefetch 폴더가 비어 있다	SysMain off · 초기 설치 직후 · 로그 회전
BAM 키가 없다	Win10 1709 이전 · 초기 설치 직후
BAM에 실행 항목이 없다	7일 지난 항목·지워진 실행 파일 항목의 부팅 시 정리 · 이동식 매체·네트워크 공유 실행
PCA 기록이 멈췄다	유니코드 이름 파일 실행 뒤 신규 항목 중단 · PcaSvc 중지 · 콘솔 실행(기록 대상 밖) · Windows 11 22H2 이전
USN에 해당 시간대가 없다	저널 wrap · 삭제·재생성
이벤트 로그가 비어 있다	감사 정책 off · 로그 삭제
이벤트 채널이 꺼져 있다	의도적 비활성 · 관리형 정책(GPO)
Defender 보호 기록이 비어 있다	검사 기록 폴더의 기본 15일 자동 정리 · 실시간 보호 꺼짐
볼륨에 저널이 없다	저널이 없는 파일시스템(FAT32·exFAT, FAT32로 포맷한 가상 디스크)
모듈 목록에 없다	종료됨 · 주입으로 목록에서 숨김

빈 곳은 그 자체로 데이터다. 그러나 Clean의 근거가 되려면 "비어 있다"와 "안 봤다"를 구분해 기록해야 한다.

OS 빌드/버전 주의

아티팩트의 존재 여부와 경로는 빌드에 따라 다르다. 세션 시작 시 빌드 번호를 기록해 두면 "없는 게 정상"인지 판단할 수 있다.

아티팩트	주의
BAM	Windows 10 1709부터. 이전 빌드는 키 자체가 없다
BAM 경로	`...\bam\UserSettings\{SID}` (옛) → `...\bam\State\UserSettings\{SID}` (새)
`pnputil /enum-devices`	Windows 10 1903 이상
Prefetch	SysMain(구 Superfetch) 서비스 상태에 따라 달라진다
PCA	Windows 11 22H2부터 `C:\Windows\appcompat\pca\`에 생긴다. 탐색기로 실행한 것만 기록한다
파일 타임스탬프	Windows 11 24H2에서 복사본이 원본의 $SI 메타데이터를 물려받고, 이름 바꾸기·같은 볼륨 안 탐색기 이동·휴지통 이동 때 $FN이 직전 $SI를 물려받는다. 교체·시각 조작 판단은 USN 레코드를 먼저 본다
내장 Sysmon	Windows 11 24H2·25H2의 KB5077241(빌드 26100.7922·26200.7922)부터 선택 기능. 기본 꺼짐
PowerShell 2.0	Windows 11 24H2는 2025년 8월 릴리스부터 제거됐다. `-Version 2`를 줘도 5.1로 실행된다
WMIC	Windows 11 23H2·24H2에서 기본 비활성(2024), 25H2로 업그레이드할 때 제거(2025), 2026-08 미리 보기 업데이트부터 지원 중인 Windows 11에서 제거
Timeline	Windows 11에서 폐지됐다. `ActivitiesCache.db`가 남아 있을 수 있지만 비어 있거나 오래된 기록만 있어도 삭제 흔적으로 읽지 않는다
Dev Drive	Windows 11 빌드 22621.2338 이상. ReFS 볼륨이라 USN 저널은 지원하지만 $MFT가 없다

Sources

각 축이 어떻게 묶이는가 → 치트 계열 23종
삭제·위장 패턴 → 안티포렌식
축별 캡처 → Run 섹션의 카드
라벨 → 판정 루브릭

Windows가 남기는 흔적 ​

왜 로그가 남나 ​

통상 검사 순서 ​

각 아티팩트가 생기는 이유와 보는 법 ​

Prefetch ​

USN 저널 ​

BAM ​

PCA ​

ShimCache · Amcache ​

SRUM ​

UserAssist · Recent · LNK ​

이벤트 로그 ​

프로세스·모듈 ​

WER 크래시 보고 ​

서명·경로 위생 ​

Microsoft Defender 흔적 ​

메모리 ​

네트워크 흔적 ​

여러 축이 교차하는 법 ​

우회가 남기는 흔적 ​

아티팩트의 공백 ​

OS 빌드/버전 주의 ​

Sources ​

Next ​