IT Forensics – Windows

Forensic analysis of Windows Microsoft Defender for Endpoint (MDE) artefacts – tracing security events

Microsoft Defender for Endpoint (MDE) stellt umfangreiche Sicherheitsfunktionen zur Erkennung und Analyse von Angriffen bereit. Je nach eingesetzter Konfiguration entstehen lokale Artefakte, Protokolle und Metadaten, die Rückschlüsse auf erkannte Bedrohungen, Sicherheitsereignisse und Systemaktivitäten zulassen können.

Enquire without obligation

Im Rahmen einer professionellen IT-forensischen Untersuchung werden MDE-Artefakte niemals isoliert bewertet. Erst die Korrelation mit Windows-Ereignisprotokollen, Sysmon-Daten, Registry-Artefakten, Dateisystemspuren sowie weiteren digitalen Beweismitteln ermöglicht eine belastbare technische Bewertung.

Why LanCologne?

Since its foundation, LanCologne has specialised in professional IT forensics. Our staff have decades of experience in the field of information technology and provide support to businesses, solicitors, private individuals and, on a regular basis, the courts.

The examination is carried out exclusively on a forensic copy or a forensic image. The original evidence remains unchanged and is stored in a manner that preserves its evidential integrity.

Our services

Analysis of local Microsoft Defender for Endpoint artefacts, reconstruction of security-related events, correlation with other Windows artefacts, and full documentation of all investigation steps.

Typical areas of application

•Incident Response
•Ransomware investigations
•Malware analysis
•Analysis of attack chains
•Corporate Forensics
•Expert reports for the courts

This is how the analysis works

Once a forensic image has been created, any MDE artefacts are identified, analysed and technically assessed alongside other digital evidence.

Warum sind MDE-Artefakte wichtig?

They can provide valuable insights into detected security incidents, endpoint protection responses and chronological sequences. However, their significance only becomes apparent once all relevant artefacts have been analysed as a whole.

Frequently Asked Questions

Welche Informationen können MDE-Artefakte enthalten?+
Je nach Konfiguration unter anderem Hinweise auf erkannte Bedrohungen, Sicherheitsereignisse und Endpunktschutzmaßnahmen.
Sind MDE-Artefakte auf jedem Windows-System vorhanden?+
Nein. Sie stehen nur zur Verfügung, wenn Microsoft Defender for Endpoint eingesetzt wurde.
Is the original system being examined?+
No. Only a forensic copy or forensic image is analysed.
Reichen MDE-Artefakte allein für ein Gutachten aus?+
Nein. Sie werden stets gemeinsam mit weiteren digitalen Spuren bewertet.

LanCologne – Windows Forensics in Cologne

LanCologne supports you in carrying out legally admissible analyses of Microsoft Defender for Endpoint and in the objective evaluation of complex IT forensic investigations.

Get in touch now