IT Forensics – Windows

Forensic analysis of Windows Defender Antivirus artefacts – tracing security events

Microsoft Defender Antivirus protokolliert sicherheitsrelevante Ereignisse wie Malware-Erkennungen, Quarantänemaßnahmen und Scanvorgänge. Je nach Systemzustand entstehen dabei unterschiedliche Protokolle und Artefakte, die im Rahmen einer forensischen Untersuchung ausgewertet werden können.

Enquire without obligation

Im Rahmen einer professionellen IT-forensischen Untersuchung werden Defender-Artefakte niemals isoliert bewertet. Erst die Korrelation mit Ereignisprotokollen, Dateisystemartefakten, Registry-Daten, Prefetch, Amcache und weiteren digitalen Spuren ermöglicht eine belastbare technische Bewertung.

Why LanCologne?

Since its foundation, LanCologne has specialised in professional IT forensics. Our staff have decades of experience in the field of information technology and provide support to businesses, solicitors, private individuals and, on a regular basis, the courts.

The examination is carried out exclusively on a forensic copy or a forensic image. The original evidence remains unchanged and is stored in a manner that preserves its evidential integrity.

Our services

Analysis of Defender logs, evaluation of detections and quarantine information, correlation with other Windows artefacts, and full documentation of all investigation steps.

Typical areas of application

•Incident Response
•Malware analysis
•Investigation of security incidents
•Corporate Forensics
•Compliance audits
•Expert reports for the courts

This is how the analysis works

Once a forensic image has been created, relevant Defender artefacts are identified, analysed and technically categorised alongside other digital traces.

Warum sind Defender-Artefakte wichtig?

They can provide information on detected threats, protective measures and security-related system events, and help to reconstruct the timeline of an incident.

Frequently Asked Questions

Welche Informationen können ausgewertet werden?+
Unter anderem Scanereignisse, Malware-Erkennungen, Quarantäneinformationen und Konfigurationsdaten.
Sind gelöschte Bedrohungen immer nachvollziehbar?+
Die Aussagekraft hängt von den vorhandenen Artefakten und Protokollen ab.
Is the original system being examined?+
No. Only a forensic copy or forensic image is analysed.
Reichen Defender-Artefakte allein aus?+
Nein. Sie werden stets gemeinsam mit weiteren digitalen Spuren bewertet.

🔗 Related topics

LanCologne – Windows Forensics in Cologne

LanCologne supports you in carrying out a legally admissible analysis of Microsoft Defender Antivirus artefacts and the objective reconstruction of security-related system events.

Get in touch now