IT-Forensik – Windows

Windows Device Metadata Cache forensisch analysieren – Hinweise auf erkannte Hardware

Windows legt für erkannte Hardwaregeräte Metadaten im sogenannten Device Metadata Cache ab. Je nach Gerätetyp und Windows-Version können dort Informationen gespeichert werden, die Rückschlüsse auf angeschlossene Hardware und deren Einbindung zulassen.

Nezávazná poptávka

Im Rahmen einer professionellen IT-forensischen Untersuchung werden diese Artefakte niemals isoliert betrachtet. Erst die Korrelation mit USB-Artefakten, SetupAPI-Protokollen, MountPoints2, Registry-Daten und weiteren digitalen Spuren ermöglicht eine belastbare technische Bewertung.

Proč LanCologne?

Od svého založení se společnost LanCologne zaměřuje především na profesionální IT forenziku. Naši zaměstnanci mají desítky let zkušeností v oblasti informačních technologií a poskytují podporu firmám, advokátům, soukromým osobám a pravidelně také soudům.

Vyšetřování se provádí výhradně na forenzní kopii, resp. forenzním obrazu. Původní důkazní materiál zůstává nezměněn a je uchováván způsobem zajišťujícím jeho důkazní hodnotu.

Naše služby

Analyse des Device Metadata Cache, Identifizierung erkannter Geräte, Korrelation mit weiteren Windows-Artefakten sowie vollständige Dokumentation sämtlicher Untersuchungsschritte.

Typické oblasti použití

•USB-Forensik
•Untersuchung externer Datenträger
•Reakce na incidenty
•Podniková forenzika
•Řízení v oblasti pracovního práva
•Soudní posudky

So läuft die Analyse ab

Nach der Erstellung eines forensischen Abbilds werden die relevanten Cache-Dateien und zugehörigen Artefakte ausgewertet und mit weiteren digitalen Spuren technisch korreliert.

Warum ist der Device Metadata Cache wichtig?

Er kann zusätzliche Hinweise auf zuvor erkannte Hardware liefern und ergänzt dadurch die Rekonstruktion der Gerätehistorie eines Systems.

Häufige Fragen

Welche Geräte können erfasst werden?+
Je nach System unter anderem USB-Geräte, Drucker, Kameras oder andere unterstützte Hardware.
Reicht der Cache allein als Beweis?+
Nein. Er wird stets gemeinsam mit weiteren forensischen Artefakten bewertet.
Wird das Originalsystem untersucht?+
Nein. Analysiert wird ausschließlich eine forensische Kopie beziehungsweise ein forensisches Abbild.
Ist der Device Metadata Cache gerichtsrelevant?+
Er kann ein ergänzendes Beweismittel innerhalb einer umfassenden IT-forensischen Untersuchung sein.

LanCologne – Windows-Forensik in Köln

LanCologne unterstützt Sie bei der gerichtsfesten Analyse des Windows Device Metadata Cache und der objektiven Rekonstruktion angeschlossener Hardware.

Kontaktujte nás hned teď