IT forenzika – Windows

Forenzní analýza ShimCache (AppCompatCache) – stopy po spuštěných aplikacích

ShimCache, nazývaný také AppCompatCache, je důležitý artefakt systému Windows. Obsahuje informace o spustitelných souborech, které byly zaznamenány operačním systémem, a v závislosti na verzi systému Windows může poskytnout cenné údaje o používání programů. Jeho vypovídací hodnota však závisí na daném operačním systému a konkrétních okolnostech daného případu.

Nezávazná poptávka

V rámci profesionální forenzní analýzy systému Windows se ShimCache nikdy neposuzuje izolovaně. Teprve korelace s artefakty, jako jsou Amcache, soubory prefetch, registr Windows, protokoly událostí, tabulka hlavních souborů (MFT) a deník USN, umožňuje spolehlivou technickou rekonstrukci.

Proč LanCologne?

Od svého založení se společnost LanCologne zaměřuje především na profesionální IT forenziku. Naši zaměstnanci mají desítky let zkušeností v oblasti informačních technologií a pomáhají firmám, advokátům, soukromým osobám a pravidelně také soudům při technickém objasňování složitých digitálních případů.

Vyšetřování se zásadně provádí výhradně na forenzní kopii, resp. forenzním obrazu. Původní důkazní materiál zůstává nezměněn a je uložen způsobem zajišťujícím jeho důkazní hodnotu.

Naše služby

Analyzujeme záznamy ShimCache, vyhodnocujeme jejich vypovídací hodnotu v daném systému Windows a porovnáváme výsledky s dalšími artefakty. Všechny kroky vyšetřování jsou srozumitelně zdokumentovány a zařazeny do celkového kontextu vyšetřování.

Typické oblasti použití

•Analýza možných variant provedení programu
•Analýza škodlivého softwaru
•Reakce na incidenty
•Krádež dat
•Obvinění z manipulace
•Řízení v oblasti pracovního práva
•Soudní posudky

Takto probíhá forenzní vyšetřování pomocí ShimCache

Po vytvoření forenzního obrazu se z příslušných systémových dat extrahuje a vyhodnotí ShimCache. Následně se provede korelace s dalšími digitálními stopami. Teprve poté se výsledky technicky vyhodnotí a kompletně zdokumentují.

Proč je ShimCache důležitý?

ShimCache může poskytnout informace o programech, které byly zaznamenány systémem Windows. To, zda z toho lze vyvodit závěry o skutečném spuštění programu, závisí na konkrétním systému a na celkovém vyhodnocení všech relevantních stop.

Často kladené otázky

Co je to ShimCache?+
Artefakt systému Windows (AppCompatCache), který může obsahovat informace o spustitelných souborech.
Bude původní systém podroben zkoumání?+
Ne. Analyzována je výhradně forenzní kopie, respektive forenzní obraz.
Dokazuje samotný ShimCache spuštění programu?+
Ne. Jeho výpovědní hodnotu je třeba vždy posuzovat v celkovém kontextu.
Stačí k vypracování posudku pouze ShimCache?+
Ne. Vždy se vyhodnocuje společně s dalšími artefakty systému Windows.

LanCologne – Forenzní analýza systému Windows v Kolíně nad Rýnem

Potřebujete profesionální analýzu ShimCache nebo jiných artefaktů systému Windows? Společnost LanCologne vám pomůže s pořízením digitálních důkazů splňujících soudní požadavky a s objektivním vyhodnocením komplexních systémů Windows.

Kontaktujte nás hned teď