IT-rikostutkinta – Windows

Windows-muistidumpien rikostekninen analysointi – työmuistista peräisin olevien ohimenevien tietojen arviointi

Työmuisti (RAM) sisältää käytön aikana lukuisia haihtuvia tietoja, jotka katoavat järjestelmän sammuttamisen jälkeen. Muistivientitiedostot mahdollistavat muistin tilan analysoinnin tallennushetkellä ja voivat antaa viitteitä käynnissä olevista prosesseista, verkkoyhteyksistä, ladatuista ohjaimista tai haittaohjelmista.

Pyydä sitoumukseton tarjous

Ammattimainen analyysi ei koskaan tapahdu erillisenä. Vasta korrelaatio tiedostojärjestelmän artefaktien, rekisteritietojen, tapahtumalokien, esilataus-tiedostojen ja muiden digitaalisten jälkien kanssa mahdollistaa luotettavan teknisen arvioinnin.

Miksi LanCologne?

Perustamisestaan lähtien LanCologne on keskittynyt ammattimaiseen IT-rikostutkintaan. Henkilökunnallamme on vuosikymmenten kokemus tietotekniikan alalta, ja he avustavat yrityksiä, asianajajia, yksityishenkilöitä sekä säännöllisesti myös tuomioistuimia monimutkaisten digitaalisten tapausten teknisessä selvittämisessä.

Tutkimus suoritetaan yksinomaan rikosteknisellä kopiolla tai rikosteknisellä kuvalla. Muistikuvat tallennetaan todistusvoimaisesti, ja kaikki tutkimuksen vaiheet dokumentoidaan jäljitettävällä tavalla. Alkuperäinen todistusaineisto säilyy muuttumattomana ja sitä säilytetään todistusvoimaisesti.

Palvelumme

Työmuistin kuvien analysointi, käynnissä olevien prosessien, verkkoyhteyksien, DLL-tiedostojen, käsitteiden, injektoidun koodin ja haittaohjelmien indikaattoreiden tutkiminen sekä kaikkien tutkimusvaiheiden kattava dokumentointi.

Tyypillisiä käyttökohteita

•Tapahtumien hallinta
•Haittaohjelmien ja rootkit-ohjelmien tutkimukset
•Käynnissä olevien prosessien analysointi
•Haihtuvien järjestelmätilojen rekonstruointi
•Työoikeudelliset menettelyt
•Oikeudelliset asiantuntijalausunnot

Näin analyysi etenee

Kun työmuisti on varmistettu luotettavasti, asiaankuuluvat muistirakenteet analysoidaan ja niitä verrataan muihin Windows-artefakteihin.

Miksi muistidumpit ovat tärkeitä?

Ne voivat sisältää tietoja, jotka eivät ole enää käytettävissä järjestelmän uudelleenkäynnistyksen tai sammuttamisen jälkeen. Tämän vuoksi ne ovat monissa tutkimuksissa tärkeä lisä pysyviin tallennusvälineiden jälkiin.

Usein kysyttyjä kysymyksiä

Mitä tietoja muistivienteihin voi sisältyä?+
Tilanteesta riippuen muun muassa käynnissä olevat prosessit, verkkoyhteydet, tallennusobjektit ja muut väliaikaiset tiedot.
Onko RAM-varmistus aina mahdollista?+
Ei. Se edellyttää, että järjestelmä on edelleen päällä ja että siitä voidaan tehdä rikosteknisiin tutkimuksiin soveltuva varmuuskopio.
Käytetäänkö alkuperäistä tallennusvälinettä?+
Ei. Analysoidaan yksinomaan rikostekninen kopio tai rikostekninen kuva; muistikuva tallennetaan erikseen.
Riittävätkö muistivarat yksinään asiantuntijalausunnon laatimiseen?+
Ei. Niitä analysoidaan aina yhdessä muiden Windows-artefaktien kanssa.

LanCologne – Windows-rikostutkinta Kölnissä

Tarvitsetko ammattimaista analyysia Windows-muistidumpista tai muista Windows-tiedostoista? LanCologne auttaa sinua oikeudenkäyntikelpoisten digitaalisten todisteiden varmistamisessa sekä monimutkaisten Windows-järjestelmien objektiivisessa arvioinnissa.

Ota yhteyttä nyt