Windows Search Database Forensics

Définition

La base de données Windows Search est un artefact forensique significatif stocké dans C:\ProgramData\Microsoft\Search\Data\Applications\Windows\Windows.edb (ou Windows.db selon la version). Cette base ESE (Extensible Storage Engine) indexe le contenu et les métadonnées de la plupart des fichiers sur le système pour permettre la recherche rapide via la barre de recherche Windows ou Cortana. La valeur forensique de Windows.edb est que sa réindexation est moins fréquente que les accès aux fichiers, ce qui signifie qu'elle peut conserver des entrées pour des fichiers supprimés depuis le dernier cycle d'indexation. Elle enregistre pour chaque fichier indexé : le chemin complet, le nom, la taille, les timestamps (création, modification, dernier accès), et potentiellement des extraits du contenu du fichier (pour les types de fichiers indexés). Pour les investigations d'incidents impliquant la suppression de preuves, Windows Search peut révéler des fichiers qui ont existé sur le système même s'ils ont été effacés après l'indexation. La base retient également les métadonnées de documents Office (auteur, organisation, date de création), de fichiers PDF, d'emails Outlook (si indexé) — toutes informations forensiquement pertinentes. L'extraction des données requiert de copier le fichier Windows.edb hors ligne (il est verrouillé pendant l'exécution) puis de l'analyser avec ESEDatabaseView (NirSoft) ou des outils forensiques spécialisés comme Windows Search DB Analyzer. La structure de la base est complexe avec de nombreuses tables, mais les tables SystemIndex_Gthr et SystemIndex_GthrPth sont les plus importantes pour l'analyse forensique. Les limites incluent le fait que la base ne garantit pas que les fichiers listés existent encore (elle peut contenir des entrées obsolètes), et que l'indexation ne couvre pas tous les emplacements (les dossiers chiffrés, les partages réseau, et les dossiers exclus de l'indexation ne sont pas référencés).