IT-kriminalteknik – Windows

Forensisk analyse af Windows-tjenester – undersøgelse af persistens og systemkonfiguration

Windows-tjenester (Services) er blandt operativsystemets centrale komponenter. De startes automatisk eller manuelt og varetager en lang række system- og programfunktioner. Set ud fra et retsmedicinsk perspektiv kan manipulerede eller efterfølgende installerede tjenester give vigtige indikationer på skadelig software, persistensmekanismer eller systemændringer.

Uforpligtende forespørgsel

I forbindelse med en professionel IT-forensisk undersøgelse vurderes Windows-tjenester aldrig isoleret. Først sammenholdet med Windows-registreringsdatabasen, hændelseslogfiler, prefetch-filer, Amcache, ShimCache samt andre artefakter muliggør en pålidelig teknisk vurdering.

Hvorfor LanCologne?

Siden grundlæggelsen har LanCologne primært beskæftiget sig med professionel IT-kriminalteknik. Vores medarbejdere har flere årtiers erfaring inden for informationsteknologi og bistår virksomheder, advokater, privatpersoner samt jævnligt også domstole med den tekniske afklaring af komplekse digitale sager.

Undersøgelsen foretages udelukkende på en retsmedicinsk kopi eller et retsmedicinsk aftryk. Det originale bevismateriale forbliver uændret og opbevares på en måde, der sikrer dets bevismæssige værdi.

Vores tjenester

Vi analyserer installerede Windows-tjenester, deres konfiguration, opstartsadfærd og tilhørende programfiler. Resultaterne sammenholdes med andre digitale spor og dokumenteres på en overskuelig måde.

Typiske anvendelsesområder

•Håndtering af sikkerhedshændelser
•Analyse af skadelig software
•Undersøgelse af persistensmekanismer
•Beskyldninger om manipulation
•Arbejdsretlige sager
•Retsmedicinske udtalelser

Sådan foregår analysen

Efter oprettelsen af et forensisk image analyseres de relevante servicekonfigurationer og tilhørende artefakter. Derefter foretages den tekniske vurdering i forbindelse med yderligere Windows-artefakter.

Hvorfor er Windows-tjenester vigtige?

Manipulerede eller usædvanlige tjenester kan give fingerpeg om systemændringer eller skadelig software. Deres betydning fremgår dog først af den samlede analyse af alle relevante digitale spor.

Ofte stillede spørgsmål

Hvad er Windows-tjenester?+
Baggrundsprocesser, der leverer system- eller applikationsfunktioner.
Undersøges det oprindelige system?+
Nej. Der analyseres udelukkende en retsmedicinsk kopi eller et retsmedicinsk aftryk.
Kan manipulerede tjenester opdages?+
Afhængigt af de foreliggende data er det muligt at spore konfigurationsændringer og afvigelser.
Er serviceoplysningerne alene tilstrækkelige til en vurdering?+
Nej. De vurderes altid sammen med andre Windows-artefakter.

LanCologne – Windows-forensik i Köln

Har du brug for en professionel analyse af Windows-tjenester eller andre Windows-elementer? LanCologne hjælper dig med at sikre digitale bevismidler på en retligt holdbar måde samt med at foretage en objektiv analyse af komplekse Windows-systemer.

Kontakt os nu