IT forenzika – Windows

Forenzní analýza artefaktů Windows EDR – rekonstrukce bezpečnostních událostí a řetězců útoků

Moderní řešení pro detekci a reakci na koncových zařízeních (EDR) zaznamenávají události související s bezpečností na koncových zařízeních. V závislosti na výrobci mohou být k dispozici informace o procesech, síťových připojeních, přístupu k souborům, aktivitách uživatelů a rozpoznaných hrozbách.

Nezávazná poptávka

V rámci profesionálního IT forenzního vyšetřování se artefakty EDR nikdy neposuzují izolovaně. Teprve korelace s protokoly událostí systému Windows, daty Sysmon, artefakty registru, stopami v souborovém systému a dalšími digitálními důkazními materiály umožňuje spolehlivé technické vyhodnocení.

Proč LanCologne?

Od svého založení se společnost LanCologne zaměřuje především na profesionální IT forenziku. Naši zaměstnanci mají desítky let zkušeností v oblasti informačních technologií a poskytují podporu firmám, advokátům, soukromým osobám a pravidelně také soudům.

Vyšetřování se provádí výhradně na forenzní kopii, resp. forenzním obrazu. Původní důkazní materiál zůstává nezměněn a je uchováván způsobem zajišťujícím jeho důkazní hodnotu.

Naše služby

Analýza lokálních artefaktů EDR od různých výrobců, rekonstrukce řetězců útoků, korelace s dalšími artefakty systému Windows a kompletní dokumentace všech kroků vyšetřování.

Typické oblasti použití

•Reakce na incidenty
•Vyšetřování případů ransomwaru
•Analýzy škodlivého softwaru
•Pokročilé perzistentní hrozby (APT)
•Podniková forenzika
•Soudní posudky

Takto probíhá analýza

Po vytvoření forenzního obrazu jsou identifikovány stávající artefakty EDR, vyhodnoceny a společně s dalšími digitálními stopami podrobeny technickému posouzení.

Proč jsou artefakty EDR důležité?

Mohou poskytnout podrobnou chronologii událostí souvisejících s bezpečností a tím výrazně napomoci při rekonstrukci složitých incidentů. Posouzení se však vždy provádí v celkovém kontextu všech dostupných důkazů.

Často kladené otázky

Která řešení EDR lze analyzovat?+
V zásadě lze analyzovat lokálně dostupné artefakty různých produktů EDR, pokud jsou v systému k dispozici.
Jsou údaje EDR vždy k dispozici?+
Ne. Záleží na tom, zda bylo nainstalováno a aktivováno příslušné řešení EDR.
Bude původní systém podroben zkoumání?+
Ne. Analyzována je výhradně forenzní kopie, respektive forenzní obraz.
Stačí k vypracování posudku pouze artefakty EDR?+
Ne. Vždy se vyhodnocují společně s dalšími digitálními stopami.

🔗 Související témata

LanCologne – Forenzní analýza systému Windows v Kolíně nad Rýnem

Společnost LanCologne vám pomůže s analýzou artefaktů EDR, která obstojí před soudem, a s objektivním vyhodnocením složitých incidentů v oblasti IT forenziky.

Kontaktujte nás hned teď