IT-kriminalteknik – Windows

Forensisk analyse af Windows-hukommelsesdumps – Udvurdering af flygtige data fra arbejdshukommelsen

Arbejdshukommelsen (RAM) indeholder under drift en lang række flygtige oplysninger, som går tabt, når systemet slukkes. Hukommelsesdumps gør det muligt at analysere hukommelsestilstanden på det tidspunkt, hvor sikkerhedskopien blev taget, og kan give oplysninger om kørende processer, netværksforbindelser, indlæste drivere eller skadelig software.

Et sådant hukommelsesbillede kaldes også en RAM-dump. Afhængigt af tidspunktet for sikkerhedskopieringen kan det ud over kørende processer og aktive netværksforbindelser også indeholde dekrypterede data, indlæste moduler og malware-komponenter.

Uforpligtende forespørgsel

En professionel analyse foregår aldrig isoleret. Først sammenholdet med filsystemartefakter, registreringsdatabasedata, hændelseslogfiler, prefetch-filer og andre digitale spor gør det muligt at foretage en pålidelig teknisk vurdering.

Hvorfor LanCologne?

Siden grundlæggelsen har LanCologne primært beskæftiget sig med professionel IT-kriminalteknik. Vores medarbejdere har flere årtiers erfaring inden for informationsteknologi og bistår virksomheder, advokater, privatpersoner samt jævnligt også domstole med den tekniske afklaring af komplekse digitale sager.

Undersøgelsen foretages udelukkende på en retsmedicinsk kopi eller et retsmedicinsk aftryk. Hukommelsesaftryk sikkerhedskopieres på en måde, der sikrer bevisværdien, og alle trin i undersøgelsen dokumenteres på en måde, der gør dem sporbare. Det originale bevismateriale forbliver uændret og opbevares på en måde, der sikrer bevisværdien.

Vores tjenester

Analyse af RAM-afbildninger, undersøgelse af kørende processer, netværksforbindelser, DLL’er, handles, injiceret kode, indikatorer på malware samt fuldstændig dokumentation af alle trin i undersøgelsen.

Typiske anvendelsesområder

•Håndtering af sikkerhedshændelser
•Undersøgelser af malware og rootkits
•Analyse af igangværende processer
•Rekonstruktion af flygtige systemtilstande
•Arbejdsretlige sager
•Retsmedicinske udtalelser

Sådan foregår analysen

Når arbejdshukommelsen er blevet sikret på en måde, der garanterer beviskraft, analyseres de relevante hukommelsesstrukturer og sammenholdes med andre Windows-artefakter.

Hvorfor er memory dumps vigtige?

De kan indeholde oplysninger, der ikke længere er tilgængelige efter en genstart eller nedlukning af systemet. Derfor udgør de i mange undersøgelser et vigtigt supplement til de permanente artefakter på datamedier.

Ofte stillede spørgsmål

Hvilke oplysninger kan memory dumps indeholde?+
Afhængigt af situationen kan det blandt andet være igangværende processer, netværksforbindelser, lagringsobjekter og andre flygtige data.
Er det altid muligt at lave en sikkerhedskopi af RAM-hukommelsen?+
Nej. Det forudsætter, at systemet stadig er tændt, og at der kan foretages en sikkerhedskopiering, der er egnet til retsmedicinsk analyse.
Arbejdes der med det originale datamedie?+
Nej. Der analyseres udelukkende en retsmedicinsk kopi eller et retsmedicinsk billede; hukommelsesbilleder gemmes separat.
Er det tilstrækkeligt kun at have memory dumps til en ekspertvurdering?+
Nej. De analyseres altid sammen med andre Windows-artefakter.

LanCologne – Windows-forensik i Köln

Har du brug for en professionel analyse af Windows-hukommelsesdumps eller andre Windows-artefakter? LanCologne hjælper dig med at sikre digitale bevismidler på en retligt holdbar måde samt med at foretage en objektiv analyse af komplekse Windows-systemer.

Kontakt os nu