IT Forensics – Windows

Forensic analysis of Windows Defender Application Control (WDAC) – Understanding application policies

Windows Defender Application Control (WDAC) ermöglicht die Kontrolle, welche Anwendungen auf einem Windows-System ausgeführt werden dürfen. Richtlinien, Ereignisprotokolle und weitere Artefakte können Hinweise auf blockierte oder zugelassene Anwendungen sowie sicherheitsrelevante Konfigurationsänderungen liefern.

Enquire without obligation

Im Rahmen einer professionellen IT-forensischen Untersuchung werden WDAC-Artefakte niemals isoliert bewertet. Erst die Korrelation mit Ereignisprotokollen, Registry-Daten, Dateisystemartefakten, Microsoft Defender und weiteren digitalen Spuren ermöglicht eine belastbare technische Bewertung.

Why LanCologne?

Since its foundation, LanCologne has specialised in professional IT forensics. Our staff have decades of experience in the field of information technology and provide support to businesses, solicitors, private individuals and, on a regular basis, the courts.

The examination is carried out exclusively on a forensic copy or a forensic image. The original evidence remains unchanged and is stored in a manner that preserves its evidential integrity.

Our services

Analysis of WDAC policies, evaluation of relevant event logs, correlation with other Windows artefacts, and comprehensive documentation of all investigation steps.

Typical areas of application

•Incident Response
•Malware investigations
•Analysis of security policies
•Corporate Forensics
•Compliance audits
•Expert reports for the courts

This is how the analysis works

Once a forensic image has been created, WDAC-related artefacts are identified, analysed and technically categorised alongside other digital traces.

Warum sind WDAC-Artefakte wichtig?

They enable you to track which applications have been executed or blocked in accordance with the applicable policies, and assist in reconstructing security-related events.

Frequently Asked Questions

Welche Daten werden untersucht?+
Unter anderem Richtlinien, Ereignisprotokolle und Konfigurationsinformationen.
Lassen sich blockierte Programme nachweisen?+
Je nach vorhandenen Protokollen und Artefakten können entsprechende Hinweise vorhanden sein.
Is the original system being examined?+
No. Only a forensic copy or forensic image is analysed.
Sind WDAC-Artefakte allein ausreichend?+
Nein. Sie werden stets gemeinsam mit weiteren digitalen Spuren bewertet.

LanCologne – Windows Forensics in Cologne

LanCologne supports you in carrying out a legally admissible analysis of Windows Defender Application Control and the objective reconstruction of security-related system events.

Get in touch now