Shellbag メモ

forensic 
ユーザのアクション履歴が以下２点のレジストリに残っている。
・HKEY_USERS\\Software\Microsoft\Windows\Shell
・HKEY_USERS\\Software\Microsoft\Windows\ShellNoRoam

ShellNoRoam \ BagMRU \ < number > \ NodeSlot 値 と
ShellNoRoam \ Bags \ < number >　値　が対応している



Bags　keyにはディスプレイセッティング（ウィンドウサイズ、ウィンドウポジション情報）などがある

参考
http://www.dfrws.org/2009/proceedings/p69-zhu.pdf