Tento přehled shrnuje všechny otázky a odpovědi týkající se profesionální forenzní analýzy systému Windows na webu LanCologne – od souborového systému a registru přes stopy používání a bezpečnostní software až po artefakty související se sítí, cloudem a aplikacemi. Kliknutím na kategorii zobrazíte příslušné otázky.
Souborový systém a struktura úložiště
- Forenzní analýza souborového systému NTFS – Základ téměř každého vyšetřování v systému Windows
- Forenzní analýza tabulky Master File Table (MFT) – srdce souborového systému NTFS
- Forenzní analýza protokolu USN – sledování změn v systémech Windows
- Forenzní analýza odkládacího souboru systému Windows (pagefile.sys)
- Forenzní analýza souboru hibernace systému Windows (hiberfil.sys)
- Forenzní analýza mezipaměti miniatur systému Windows – náhledy jako digitální stopy
- Podrobná forenzní analýza souboru pagefile.sys ve Windows – Rekonstrukce obsahu odloženého paměťového prostoru
- Podrobná forenzní analýza souboru hiberfil.sys ve Windows – rekonstrukce uloženého obsahu paměti RAM
- Forenzní analýza artefaktů funkcí ReadyBoot a ReadyBoost systému Windows – sledování procesů spouštění a využití systému
- Forenzní analýza výpisů paměti RAM ve Windows – zálohování prchavých důkazů z paměti RAM
- Forenzní analýza souboru swapfile.sys ve Windows – Vyhodnocení dalších paměťových artefaktů
Registr a konfigurace systému
- Forenzní analýza registru systému Windows – jeden z nejdůležitějších zdrojů informací ve forenzní analýze systému Windows
- Forenzní analýza protokolů transakcí registru systému Windows – sledování změn v registru
- Forenzní analýza uživatelských účtů systému Windows (SAM) – vyhodnocení lokálních účtů a bezpečnostních informací
- Forenzní analýza podkladu SECURITY v systému Windows – posouzení bezpečnostních konfigurací
- Forenzní analýza podkladu „SOFTWARE“ v systému Windows – rekonstrukce konfigurací softwaru a systému
- Forenzní analýza podsložky SYSTEM v systému Windows – rekonstrukce systémových konfigurací a informací o hardwaru
- Forenzní analýza BCD systému Windows – rozbor konfigurací spouštění
- Forenzní analýza Windows WMI – porozumění mechanismům perzistence a systémovým aktivitám
- Forenzní analýza bezpečnostních zásad systému Windows – posouzení bezpečnostních konfigurací
- Forenzní analýza zásad skupiny systému Windows (Group Policy) – rekonstituce konfigurací systému
- Forenzní analýza artefaktů služby Windows Active Directory – technické sledování aktivit v doméně
Stopy používání a spouštění programů
- Forenzní analýza souborů Windows Prefetch – rozpoznání stop spouštění programů
- Forenzní analýza souborů LNK – dohledatelná rekonstrukce uživatelských aktivit
- Forenzní analýza seznamů Jump Lists – důležité informace o aktivitách uživatelů
- Forenzní analýza souborů ShellBags – rekonstrukce přístupů k složkám a uživatelských aktivit
- Forenzní analýza Amcache – stopy po programech a systémových aktivitách
- Forenzní analýza ShimCache (AppCompatCache) – stopy po spuštěných aplikacích
- Forenzní analýza SRUM – sledování systémových a síťových aktivit
- Forenzní analýza časové osy systému Windows – chronologické sledování aktivit uživatelů
- Forenzní analýza nástroje Windows Reliability Monitor – chronologické sledování systémových změn a chyb
- Forenzní analýza databáze oznámení systému Windows – oznámení jako digitální stopa
- Forenzní analýza historie schránky systému Windows – obsah schránky jako digitální stopa
- Forenzní analýza mezipaměti aktivit systému Windows – rekonstrukce uživatelských aktivit
- Forenzní analýza mezipaměti písem systému Windows – stopy po používání dokumentů a programů
Bezpečnost, šifrování a bezpečnostní software
- Forenzní analýza artefaktů nástroje BitLocker ve Windows – zjištění stavu šifrování a systémových informací
- Forenzní analýza Správce přihlašovacích údajů systému Windows – dohledání uložených přihlašovacích údajů
- Forenzní analýza rozhraní Windows DPAPI – Sledování chráněných uživatelských dat a klíčů
- Forenzní analýza artefaktů programu Windows Defender – sledování bezpečnostních událostí
- Forenzní analýza artefaktů nástroje Microsoft Defender for Endpoint (MDE) v systému Windows – sledování bezpečnostních událostí
- Forenzní analýza artefaktů Windows EDR – rekonstrukce bezpečnostních událostí a řetězců útoků
- Forenzní analýza antivirového a bezpečnostního softwaru systému Windows – technické vyhodnocení bezpečnostních událostí
- Forenzní analýza artefaktů Windows Sandbox – Sledování dočasných prostředí pro spouštění
- Forenzní analýza nástroje Windows Defender Application Control (WDAC) – porozumění zásadám pro aplikace
- Forenzní analýza artefaktů antivirového programu Windows Defender – sledování bezpečnostních událostí
Síť a komunikace
- Forenzní analýza mezipaměti DNS systému Windows – sledování síťové aktivity
- Forenzní analýza artefaktů brány Windows Firewall – sledování síťové komunikace a změn konfigurace
- Forenzní analýza artefaktů Windows COM – sledování komponent a systémových aktivit
- Forenzní analýza Windows COM+ – Sledování distribuovaných komponent a služeb
- Forenzní analýza artefaktů Windows MountPoints2 – stopy po připojených datových nosičích
- Forenzní analýza mezipaměti metadat zařízení Windows – informace o rozpoznaném hardwaru
- Forenzní analýza přenosných zařízení Windows (WPD) – Mobilní zařízení jako digitální stopa
- Forenzní analýza artefaktů Bluetooth ve Windows – sledování spárovaných zařízení a připojení
- Forenzní analýza funkce Windows Nearby Sharing – Rekonstrukce lokálních přenosů souborů
- Forenzní analýza optimalizace doručování ve Windows – sledování artefaktů Update a přenosu
Automatické spouštění, procesy a systémové protokoly
- Forenzní analýza protokolů událostí systému Windows – srozumitelné vyhodnocení systémových událostí
- Forenzní analýza služeb systému Windows – zkoumání perzistence a konfigurace systému
- Forenzní analýza položek automatického spouštění ve Windows – rozpoznání mechanismů perzistence
- Forenzní analýza naplánovaných úloh (Scheduled Tasks) – Sledování automatizovaných procesů
- Forenzní analýza protokolů Windows SetupAPI – sledování instalací zařízení
- Forenzní analýza artefaktů Windows PowerShell – sledování příkazů a aktivit
- Forenzní analýza artefaktů Windows Sysmon – sledování procesů, síťových připojení a systémových událostí
- Forenzní analýza protokolů ETL ve Windows – podrobné sledování systémových událostí
- Forenzní analýza nástroje Windows Performance Monitor a protokolů výkonu – sledování stavů systému
- Forenzní analýza artefaktů služby Windows Live Response – zálohování prchavých systémových informací
- Forenzní analýza tiskového frontu systému Windows – technické sledování tiskových úloh
Uživatelé, cloud a aplikace
- Forenzní analýza koše ve Windows – dohledání smazaných souborů
- Forenzní analýza USB artefaktů ve Windows – sledování připojených zařízení
- Forenzní analýza uživatelských profilů ve Windows – sledování uživatelských aktivit
- Forenzní analýza složky AppData ve Windows – vyhodnocení dat aplikací a uživatelů
- Forenzní analýza dočasných souborů systému Windows – dočasné artefakty jako digitální důkazní materiály
- Podrobná forenzní analýza koše systému Windows (.Bin) – sledování procesů mazání
- Forenzní analýza souborů Windows Offline Files (CSC) – vyhodnocení dočasně uložených síťových souborů
- Forenzní analýza artefaktů synchronizace ve Windows – sledování synchronizačních procesů
- Forenzní analýza artefaktů služby Windows OneDrive – technické vyhodnocení stop v lokálním cloudu
- Forenzní analýza artefaktů Windows Update – sledování instalací a systémových změn
- Forenzní analýza artefaktů z Microsoft Store ve Windows – sledování nainstalovaných aplikací a aktualizací
- Forenzní analýza balíčků Windows AppX – Rozbor moderních aplikací pro Windows
- Forenzní analýza balíčků MSIX ve Windows – Sledování instalací moderních aplikací
- Forenzní analýza artefaktů Windows Hyper-V – Sledování virtuálních infrastruktur
Ostatní otázky
- Forenzní analýza systému Windows EFS – zkoumání šifrovaných souborů a certifikátů
- Forenzní analýza úložiště certifikátů systému Windows – sledování digitálních certifikátů a vztahů důvěryhodnosti
- Forenzní analýza artefaktů Windows AppCompat – sledování spuštění programů a kompatibility
- Forenzní analýza síťových profilů systému Windows – sledování síťových připojení a konfigurací
- Forenzní analýza artefaktů Windows WLAN – Sledování bezdrátových síťových připojení
- Forenzní analýza artefaktů RDP ve Windows – sledování připojení ke vzdálené ploše
- Forenzní analýza artefaktů protokolu SMB systému Windows – sledování síťových sdílených složek a přístupů k souborům
- Forenzní analýza artefaktů VPN ve Windows – sledování připojení a konfigurací VPN
- Forenzní analýza artefaktů klienta DNS systému Windows – sledování překladů názvů a síťové aktivity
- Forenzní analýza artefaktů proxy ve Windows – sledování konfigurací proxy a síťové komunikace
- Forenzní analýza souboru Hosts ve Windows – Sledování ručního překladu názvů
- Forenzní analýza konfigurace TCP/IP ve Windows – přezkoumání síťových nastavení
- Forenzní analýza síťových adaptérů ve Windows – zmapování síťových rozhraní a konfigurace systému
- Forenzní analýza stínových kopií svazků systému Windows – Zjištění dřívějších stavů souborů a systémových informací
- Forenzní analýza databáze vyhledávání systému Windows – sledování indexovaných souborů a informací o vyhledávání
- Forenzní analýza indexu Windows Search – sledování indexovaných dat a odkazů na soubory
- Forenzní analýza služby Windows Error Reporting (WER) – vyšetřování pádů programů a systémových chyb
- Forenzní analýza výpisů paměti po selhání systému Windows – technická rekonstrukce selhání systému
- Forenzní analýza výpisů paměti systému Windows – vyhodnocení prchavých dat z operační paměti