IT-rikostutkinta – Windows

ShellBags-tiedostojen rikostekninen analyysi – kansioihin kohdistuvien pääsyjen ja käyttäjien toimien rekonstruointi

ShellBag-tiedostot kuuluvat Windows-rikostutkinnan erityisen arvokkaisiin todistusaineistoihin. Ne syntyvät Windows Explorerin käytön seurauksena ja sisältävät tietoja käyttäjän avaamista kansioista. Vaikka kansiot olisi myöhemmin poistettu tai tallennusvälineet poistettu, ShellBag-merkinnät voivat tietyissä olosuhteissa edelleen olla olemassa ja tarjota tärkeitä vihjeitä käyttäjän aiemmasta toiminnasta.

Pyydä sitoumukseton tarjous

Ammattimaisessa IT-rikostutkinnassa ShellBag-tiedostoja ei koskaan arvioida erillään muista tekijöistä. Vasta niiden yhteinen analysointi muiden todisteiden, kuten Windows-rekisterin, LNK-tiedostojen, Jump List -luetteloiden, Master File Table (MFT) -taulukon tai USN-lokin, kanssa mahdollistaa tapahtumien luotettavan teknisen rekonstruoinnin.

Miksi LanCologne?

Perustamisestaan lähtien LanCologne on keskittynyt ammattimaiseen IT-rikostutkintaan. Henkilökunnallamme on vuosikymmenten kokemus tietotekniikan alalta, ja he avustavat yrityksiä, asianajajia, yksityishenkilöitä sekä säännöllisesti myös tuomioistuimia monimutkaisten digitaalisten tapausten teknisessä selvittämisessä.

Tutkimus suoritetaan periaatteessa yksinomaan rikosteknologisella kopiolla tai rikosteknologisella kuvalla. Alkuperäinen todistusaineisto säilyy muuttumattomana ja sitä säilytetään todistusaineiston turvallisuutta vaalivalla tavalla.

Palvelumme

Analysoimme ShellBag-merkintöjä, rekonstruoimme kansioihin kohdistuneita pääsyjä ja arvioimme saatuja tietoja suhteessa muihin Windows-artefakteihin. Tämän avulla käyttäjien toiminnot voidaan usein sijoittaa ajallisesti ja dokumentoida jäljitettävällä tavalla.

Tyypillisiä käyttökohteita

•Avoimien kansioiden palauttaminen
•Ulkoisten tallennusvälineiden tarkastus
•Tietovarkaus
•Manipulointisyytökset
•Tapahtumien hallinta
•Työoikeudelliset menettelyt
•Oikeudelliset asiantuntijalausunnot

Näin ShellBag-rikostutkinta etenee

Kun rikostekninen kopio on luotu, analysoidaan ne rekisteriosat, joihin Windows tallentaa ShellBag-tietoja. Tämän jälkeen tulokset yhdistetään muihin digitaalisiin jälkiin ja dokumentoidaan kattavasti, jotta voidaan suorittaa objektiivinen tekninen arviointi.

Miksi ShellBag-laukut ovat niin tärkeitä?

ShellBags-tiedostot sisältävät usein viitteitä siitä, mitä kansioita käyttäjä on avannut tai selannut. Näin ne voivat olla tärkeä apu käyttäjän toimien rekonstruoinnissa. Kuten kaikkien rikosteknisten todisteiden kohdalla, niiden merkitys tulee kuitenkin esiin vasta, kun kaikki asiaankuuluvat digitaaliset jäljet on arvioitu kokonaisuudessaan.

Usein kysyttyjä kysymyksiä

Mitä ovat ShellBags?+
Rekisterin jäämät, jotka sisältävät tietoja Windowsin Resurssienhallinnassa avoinna olevista kansioista.
Tutkitaanko alkuperäistä järjestelmää?+
Ei. Analysoidaan yksinomaan rikostekninen kopio tai rikostekninen kuvantaminen.
Voivatko ShellBags-ohjelmat löytää myös poistetut kansiot?+
Ne voivat antaa viitteitä aiemmin avatuista kansioista. Tekninen arviointi tehdään aina kokonaiskontekstissa.
Riittävätkö ShellBags-laukut yksinään asiantuntijalausunnon laatimiseen?+
Ei. Niitä analysoidaan aina yhdessä muiden Windows-artefaktien kanssa.

LanCologne – Windows-rikostutkinta Kölnissä

Tarvitsetteko ammattimaista analyysia ShellBags-tiedostoista tai muista Windows-artefakteista? LanCologne auttaa teitä oikeudenkäyntikelpoisten digitaalisten todisteiden turvaamisessa sekä monimutkaisten Windows-järjestelmien objektiivisessa arvioinnissa.

Ota yhteyttä nyt