IT-kriminalteknik – Windows

Forensisk analyse af Windows Search-indekset – Gennemgang af indekserede data og filhenvisninger

Windows Search-indekset bruges til hurtigt at søge efter filer, dokumenter og andet indhold på et Windows-system. Afhængigt af konfigurationen kan det indeholde oplysninger om indekserede filer, placeringer og metadata, som kan give værdifulde supplerende oplysninger i forbindelse med en it-forensisk undersøgelse.

Indekset gemmes i Windows-søgningens database, som ofte også kaldes „Windows Search Database“. Den retsmedicinske analyse omfatter derfor selve denne database, tidsmæssig inddeling af de indekserede poster samt sammenligning heraf med NTFS-artefakter og registreringsdatabasen.

Uforpligtende forespørgsel

En professionel analyse foregår aldrig isoleret. Først sammenholdet med Master File Table (MFT), USN-journalen, registreringsdatabase-artefakter, Volume Shadow Copies samt andre filsystemartefakter muliggør en pålidelig teknisk vurdering.

Hvorfor LanCologne?

Siden grundlæggelsen har LanCologne primært beskæftiget sig med professionel IT-kriminalteknik. Vores medarbejdere har flere årtiers erfaring inden for informationsteknologi og bistår virksomheder, advokater, privatpersoner samt jævnligt også domstole med den tekniske afklaring af komplekse digitale sager.

Undersøgelsen foretages udelukkende på en retsmedicinsk kopi eller et retsmedicinsk aftryk. Det originale bevismateriale forbliver uændret og opbevares på en måde, der sikrer dets bevismæssige værdi.

Vores tjenester

Evaluering af Windows Search-indekset, analyse af indekseret indhold og metadata, korrelation med filsystemartefakter samt fuldstændig dokumentation af alle undersøgelsestrin i henhold til anerkendte retsmedicinske principper.

Typiske anvendelsesområder

•Gendannelse af slettede eller flyttede filer
•Håndtering af sikkerhedshændelser
•Undersøgelser af malware og ransomware
•Interne undersøgelser i virksomheden
•Arbejdsretlige sager
•Retsmedicinske udtalelser

Sådan foregår analysen

Efter oprettelsen af et forensisk billede analyseres de relevante indeksfiler. Resultaterne sammenlignes derefter med andre artefakter fra Windows-filsystemet og vurderes ud fra et teknisk synspunkt.

Hvorfor er Windows Search-indekset vigtigt?

Søgeindekset kan give oplysninger om indekserede filer, selvom disse i mellemtiden er blevet flyttet eller ændret. Den reelle betydning fremgår dog altid først af den samlede vurdering af alle relevante artefakter.

Ofte stillede spørgsmål

Indeholder alle Windows-systemer et søgeindeks?+
Ikke nødvendigvis. Omfanget og indholdet afhænger af den pågældende Windows-konfiguration og den aktiverede indeksering.
Kan søgeindekset give oplysninger om slettede filer?+
Afhængigt af de foreliggende data kan der foreligge relevante oplysninger.
Undersøges det oprindelige system?+
Nej. Analysen foretages udelukkende på en retsmedicinsk kopi eller et retsmedicinsk aftryk.
Er søgeindekset i sig selv tilstrækkeligt til en ekspertvurdering?+
Nej. Den analyseres altid sammen med andre Windows-artefakter.

LanCologne – Windows-forensik i Köln

Har du brug for en professionel analyse af Windows Search-indekset eller andre Windows-artefakter? LanCologne hjælper dig med at sikre digitale bevismidler på en retligt holdbar måde samt med at foretage en objektiv og gennemsigtig analyse af komplekse Windows-systemer.

Kontakt os nu