IT-kriminalteknik – Windows

Forensisk analyse af artefakter fra Windows Microsoft Defender for Endpoint (MDE) – sporing af sikkerhedshændelser

Microsoft Defender for Endpoint (MDE) tilbyder omfattende sikkerhedsfunktioner til påvisning og analyse af angreb. Afhængigt af den anvendte konfiguration genereres der lokale artefakter, logfiler og metadata, som kan give indsigt i påviste trusler, sikkerhedshændelser og systemaktiviteter.

Uforpligtende forespørgsel

I forbindelse med en professionel IT-forensisk undersøgelse vurderes MDE-artefakter aldrig isoleret. Først sammenholdningen med Windows-hændelseslogfiler, Sysmon-data, registreringsdatabase-artefakter, spor i filsystemet samt yderligere digitale bevismidler muliggør en pålidelig teknisk vurdering.

Hvorfor LanCologne?

Siden grundlæggelsen har LanCologne primært beskæftiget sig med professionel IT-kriminalteknik. Vores medarbejdere har flere årtier lang erfaring inden for informationsteknologi og yder støtte til virksomheder, advokater, privatpersoner samt jævnligt også domstole.

Undersøgelsen foretages udelukkende på en retsmedicinsk kopi eller et retsmedicinsk aftryk. Det originale bevismateriale forbliver uændret og opbevares på en måde, der sikrer dets bevismæssige værdi.

Vores tjenester

Analyse af lokale Microsoft Defender for Endpoint-artefakter, rekonstruktion af sikkerhedsrelevante hændelser, korrelation med yderligere Windows-artefakter samt fuldstændig dokumentation af alle undersøgelsestrin.

Typiske anvendelsesområder

•Håndtering af sikkerhedshændelser
•Undersøgelser af ransomware
•Malware-analyser
•Undersøgelse af angrebskæder
•Virksomhedsforensik
•Retsmedicinske udtalelser

Sådan foregår analysen

Efter oprettelsen af et retsmedicinsk aftryk identificeres og analyseres eksisterende MDE-artefakter, og de vurderes teknisk sammen med andre digitale spor.

Hvorfor er MDE-artefakter vigtige?

De kan give værdifulde oplysninger om registrerede sikkerhedshændelser, reaktioner fra endpoint-beskyttelsen og tidsforløb. Deres betydning fremgår dog først af den samlede analyse af alle relevante artefakter.

Ofte stillede spørgsmål

Hvilke oplysninger kan MDE-artefakter indeholde?+
Afhængigt af konfigurationen vises der blandt andet oplysninger om registrerede trusler, sikkerhedshændelser og foranstaltninger til beskyttelse af enheder.
Findes der MDE-artefakter på alle Windows-systemer?+
Nej. De er kun tilgængelige, hvis Microsoft Defender for Endpoint er taget i brug.
Undersøges det oprindelige system?+
Nej. Der analyseres udelukkende en retsmedicinsk kopi eller et retsmedicinsk aftryk.
Er MDE-artefakter i sig selv tilstrækkelige til en ekspertvurdering?+
Nej. De vurderes altid sammen med andre digitale spor.

LanCologne – Windows-forensik i Köln

LanCologne hjælper Dem med at udføre en retsgyldig analyse af Microsoft Defender for Endpoint samt en objektiv vurdering af komplekse it-forensiske undersøgelser.

Kontakt os nu