IT-kriminalteknik – Windows
Forensisk analyse af Windows Prefetch-filer – identificere tegn på programkørsel
Windows Prefetch-Dateien gehören zu den wichtigsten Artefakten einer Windows-forensischen Untersuchung. Sie werden vom Betriebssystem angelegt, um den Start häufig genutzter Programme zu beschleunigen. Gleichzeitig liefern sie wertvolle Informationen darüber, welche Anwendungen auf einem System ausgeführt wurden und wann diese zuletzt gestartet wurden.
Im Rahmen einer professionellen IT-forensischen Untersuchung werden Prefetch-Dateien niemals isoliert betrachtet. Erst die gemeinsame Auswertung mit weiteren Artefakten wie der Windows Registry, den Event Logs, der Master File Table (MFT), dem USN Journal oder LNK-Dateien ermöglicht eine objektive Bewertung der vorhandenen digitalen Spuren.
Hvorfor LanCologne?
Siden grundlæggelsen har LanCologne primært beskæftiget sig med professionel IT-kriminalteknik. Vores medarbejdere har flere årtiers erfaring inden for informationsteknologi og bistår virksomheder, advokater, privatpersoner samt jævnligt også domstole med den tekniske afklaring af komplekse digitale sager.
Analysen foretages som udgangspunkt udelukkende på en retsmedicinsk kopi eller et retsmedicinsk aftryk. Det originale bevismateriale forbliver uændret og opbevares på en måde, der sikrer dets bevismæssige værdi.
Vores tjenester
Vi analyserer Windows-prefetch-filer, rekonstruerer programkørsler, vurderer tidsoplysninger og sammenholder resultaterne med andre Windows-artefakter. Målet er at skabe en gennemsigtig teknisk rekonstruktion af relevante bruger- og systemaktiviteter.
Typiske anvendelsesområder
So läuft eine Prefetch-forensische Untersuchung ab
Efter oprettelsen af et forensisk image analyseres eksisterende prefetch-filer og sammenlignes med andre artefakter. Resultaterne placeres i en tidsmæssig rækkefølge og indsættes i undersøgelsens overordnede sammenhæng. Alle trin i undersøgelsen dokumenteres fuldstændigt.
Warum sind Prefetch-Dateien so wichtig?
Prefetch-filer giver ofte værdifulde oplysninger om, hvorvidt og hvornår programmer er blevet kørt på et Windows-system. Deres informativitet fremgår dog først af den samlede analyse af alle relevante spor. Enkelte Prefetch-poster må derfor ikke vurderes isoleret.
Ofte stillede spørgsmål
LanCologne – Windows-forensik i Köln
Har du brug for en professionel analyse af Windows-prefetch-filer eller andre Windows-artefakter? LanCologne hjælper dig med at sikre digitale bevismidler på en retligt holdbar måde samt med at foretage en objektiv analyse af komplekse Windows-systemer.