IT-kriminalteknik – Windows

Forensisk analyse af Amcache – spor efter programmer og systemaktiviteter

Amcache-databasen er et af de vigtigste elementer i en Windows-forensisk undersøgelse. Den indeholder oplysninger om programmer og eksekverbare filer, der er blevet registreret på et Windows-system. Afhængigt af operativsystemet og sagens omstændigheder kan den give værdifulde oplysninger om installerede eller kørte programmer.

Uforpligtende forespørgsel

En fagmæssig analyse foregår aldrig isoleret. Først sammenholdet med andre Windows-data, såsom prefetch-filer, Windows-registreringsdatabasen, hændelseslogfiler, Master File Table (MFT) eller USN-journalen, muliggør en pålidelig teknisk vurdering.

Hvorfor LanCologne?

Siden grundlæggelsen har LanCologne primært beskæftiget sig med professionel IT-kriminalteknik. Vores medarbejdere har flere årtiers erfaring inden for informationsteknologi og bistår virksomheder, advokater, privatpersoner samt jævnligt også domstole med den tekniske afklaring af komplekse digitale sager.

Undersøgelsen foretages som udgangspunkt udelukkende på en retsmedicinsk kopi eller et retsmedicinsk aftryk. Det originale bevismateriale forbliver uændret og opbevares på en måde, der sikrer dets bevismæssige værdi.

Vores tjenester

Vi analyserer Amcache-databasen, vurderer oplysningerne om programmer og eksekverbare filer og sammenholder de indhøstede oplysninger med andre digitale spor. Alle konklusioner dokumenteres på en gennemsigtig måde og indplaceres i undersøgelsens overordnede sammenhæng.

Typiske anvendelsesområder

•Analyse af installerede programmer
•Rekonstruktion af mulige programudførelser
•Undersøgelse af skadelig software
•Håndtering af sikkerhedshændelser
•Beskyldninger om manipulation
•Arbejdsretlige sager
•Retsmedicinske udtalelser

Sådan foregår en Amcache-forensisk undersøgelse

Efter oprettelsen af et retsmedicinsk image udlæses og analyseres Amcache-databasen. Resultaterne sammenholdes med andre bevismaterialer og vurderes med hensyn til deres retsmedicinske betydning. Alle trin i undersøgelsen dokumenteres fuldstændigt.

Hvorfor er Amcache så vigtigt?

Amcache kan give vigtige oplysninger om programmer, der har været til stede eller er blevet identificeret på et Windows-system. Den tekniske betydning afhænger dog altid af det enkelte tilfælde og fremgår først af en samlet vurdering af alle relevante spor.

Ofte stillede spørgsmål

Hvad er Amcache?+
En Windows-database med oplysninger om programmer og eksekverbare filer.
Arbejdes der med originalen?+
Nej. Der analyseres udelukkende en retsmedicinsk kopi eller et retsmedicinsk aftryk.
Kan Amcache påvise slettede programmer?+
Afhængigt af det enkelte tilfælde kan historiske poster give oplysninger om tidligere programmer.
Er Amcache alene tilstrækkeligt til en ekspertvurdering?+
Nej. Vurderingen foretages altid sammen med andre Windows-artefakter.

LanCologne – Windows-forensik i Köln

Har du brug for en professionel analyse af Amcache-databasen eller andre Windows-artefakter? LanCologne hjælper dig med at sikre digitale bevismidler på en retsgyldig måde og foretage en objektiv analyse af komplekse Windows-systemer.

Kontakt os nu