IT-kriminalteknik – Windows

Forensisk analyse af Windows Activity Cache – rekonstruktion af brugeraktiviteter

Windows Activity Cache indeholder – afhængigt af Windows-versionen og konfigurationen – oplysninger om brugeraktiviteter og deres tidsmæssige placering. Disse data kan hjælpe med at give et overblik over programbrug, dokumentadgang og andre aktiviteter på et system.

Uforpligtende forespørgsel

I forbindelse med en professionel IT-forensisk undersøgelse vurderes dataene fra aktivitetscachen aldrig isoleret. Først sammenholdt med tidslinje-artefakter, hændelseslogfiler, registreringsdatabasedata, spor i filsystemet og andre digitale bevismidler er det muligt at foretage en pålidelig teknisk rekonstruktion.

Hvorfor LanCologne?

Siden grundlæggelsen har LanCologne primært beskæftiget sig med professionel IT-kriminalteknik. Vores medarbejdere har flere årtier lang erfaring inden for informationsteknologi og yder støtte til virksomheder, advokater, privatpersoner samt jævnligt også domstole.

Undersøgelsen foretages udelukkende på en retsmedicinsk kopi eller et retsmedicinsk aftryk. Det originale bevismateriale forbliver uændret og opbevares på en måde, der sikrer dets bevismæssige værdi.

Vores tjenester

Analyse af Windows Activity Cache, tidsmæssig rekonstruktion af brugeraktiviteter, sammenholdelse med andre Windows-data samt fuldstændig dokumentation af alle undersøgelsestrin.

Typiske anvendelsesområder

•Rekonstruktion af brugeraktiviteter
•Håndtering af sikkerhedshændelser
•Undersøgelser af malware
•Insider-sager
•Virksomhedsforensik
•Retsmedicinske udtalelser

Sådan foregår analysen

Efter oprettelsen af et forensisk aftryk identificeres eksisterende artefakter i aktivitetscachen, de analyseres teknisk og sammenholdes med andre digitale spor.

Hvorfor er aktivitetscachen vigtig?

Aktivitetscachen kan give yderligere oplysninger om den kronologiske rækkefølge af brugeraktiviteter og dermed bidrage til rekonstruktionen af en digital hændelsesforløb.

Ofte stillede spørgsmål

Hvilke oplysninger indeholder aktivitetscachen?+
Afhængigt af Windows-versionen og konfigurationen kan der være oplysninger om brugeraktiviteter og deres tidsmæssige placering.
Er disse data altid tilgængelige?+
Nej. Omfanget og tilgængeligheden afhænger af den pågældende systemkonfiguration.
Undersøges det oprindelige system?+
Nej. Der analyseres udelukkende en retsmedicinsk kopi eller et retsmedicinsk aftryk.
Er aktivitetscachen i sig selv tilstrækkelig til en vurdering?+
Nej. Det vurderes altid teknisk set sammen med andre digitale spor.

LanCologne – Windows-forensik i Köln

LanCologne hjælper Dem med at foretage en retsgyldig analyse af Windows Activity Cache og en objektiv rekonstruktion af digitale brugeraktiviteter.

Kontakt os nu