IT-kriminalteknik – Windows

Forensisk analyse af NTFS-filsystemet – Grundlaget for stort set enhver Windows-undersøgelse

NTFS-filsystemet (New Technology File System) har i mange år udgjort grundlaget for moderne Windows-systemer. Stort set alle filer, alle mapper og en lang række systemoplysninger administreres inden for dette filsystem. Set ud fra et IT-forensisk perspektiv er NTFS derfor en af de vigtigste informationskilder ved undersøgelsen af en Windows-computer.

Uforpligtende forespørgsel

En professionel NTFS-analyse gør det muligt at spore filbevægelser, analysere tidsstempler, vurdere slettede poster og etablere sammenhænge med andre Windows-artefakter. Her betragtes de enkelte oplysninger ikke isoleret, men vurderes altid i undersøgelsens samlede sammenhæng.

Hvorfor LanCologne?

Siden grundlæggelsen har LanCologne primært beskæftiget sig med professionel IT-kriminalteknik. Vores medarbejdere har flere årtiers erfaring inden for informationsteknologi og bistår virksomheder, advokater, privatpersoner samt jævnligt også domstole med den tekniske afklaring af komplekse digitale sager.

Undersøgelsen af NTFS-filsystemer foregår udelukkende på en retsmedicinsk kopi eller et retsmedicinsk image. Det originale bevismateriale forbliver uberørt og opbevares på en måde, der sikrer dets bevismæssige værdi.

Vores tjenester

Vi analyserer blandt andet Master File Table (MFT), filattributter, tidsstempler, mappestrukturer, slettede poster, filtilknytninger samt yderligere NTFS-metadata. Målet er en objektiv rekonstruktion af tekniske forløb på baggrund af spor, der kan efterprøves.

Typiske anvendelsesområder

•Mistanke om sletning af data
•Datatyveri
•Beskyldninger om manipulation
•Rekonstruktion af filbevægelser
•Undersøgelse af eksterne datamedier
•Bistand i retssager
•Ekspertvurderinger for privatpersoner og virksomheder

Sådan foregår en NTFS-forensisk undersøgelse

Efter oprettelsen af et forensisk billede analyseres de relevante NTFS-strukturer. De indsamlede oplysninger sammenholdes med andre Windows-artefakter, såsom registreringsdatabasen, hændelseslogfiler eller USB-spor. Først den samlede vurdering muliggør pålidelige tekniske konklusioner. Alle trin i undersøgelsen dokumenteres på en måde, der gør det muligt at spore dem.

Hvorfor er NTFS-analysen så vigtig?

NTFS-filsystemet indeholder en lang række metadata, der rækker langt ud over den synlige filbestand. Dermed kan man ofte afdække tekniske sammenhænge, der forbliver skjulte ved en traditionel gennemgang. En fagmæssig analyse udgør derfor en væsentlig del af næsten enhver Windows-forensisk undersøgelse.

Ofte stillede spørgsmål

Kan en slettet fil stadig gendannes?+
Afhængigt af den konkrete situation kan NTFS-metadata give oplysninger om slettede filer.
Bliver det altid originalen, der undersøges?+
Nej. Der analyseres udelukkende en retsmedicinsk kopi eller et retsmedicinsk aftryk.
Kan MFT alene bevise de faktiske omstændigheder?+
Nej. MFT er et vigtigt fund, men vurderes altid sammen med andre spor.
Er NTFS også relevant på eksterne harddiske?+
Ja. Mange eksterne lagringsmedier bruger også NTFS.

LanCologne – Windows-forensik i Köln

Har du brug for en professionel analyse af et Windows-system eller et NTFS-filsystem? LanCologne hjælper dig med at udføre en retsgyldig sikkerhedskopiering af digitale bevismidler samt en sporbar analyse af relevante filsystemartefakter.

Kontakt os nu