IT forenzika – Windows

Forenzička analiza ShellBags – rekonstrukcija pristupa mapama i aktivnosti korisnika

ShellBagovi su među najvrjednijim artefaktima u forenzičkoj istrazi sustava Windows. Stvaraju se pomoću Windows Explorera i sadrže informacije o mapama koje je korisnik otvorio. Čak i ako su mape naknadno izbrisane ili su mediji za pohranu uklonjeni, unosi ShellBag-a mogu i dalje biti prisutni u određenim okolnostima i pružiti važne tragove o prethodnoj aktivnosti korisnika.

Upitajte bez obaveze

U kontekstu profesionalne IT forenzičke istrage, ShellBags se nikada ne procjenjuju izolirano. Tek njihovom analizom u kombinaciji s drugim artefaktima – poput Windows registra, LNK datoteka, jump lista, Master File Table (MFT) ili USN Journala – moguće je izvršiti pouzdanu tehničku rekonstrukciju događaja.

Zašto LanCologne?

Od osnutka se LanCologne specijalizirao za profesionalnu IT forenziku. Naše osoblje ima desetljeća iskustva u području informacijske tehnologije te pomaže tvrtkama, odvjetnicima, privatnim osobama i, na redovitoj osnovi, sudovima u tehničkoj istrazi složenih digitalnih pitanja.

Ispitivanje se, načelno, provodi isključivo na forenzičkoj kopiji ili forenzičkoj slici. Izvorni dokaz ostaje nepromijenjen i pohranjuje se na način koji očuva njegov dokazni integritet.

Naše usluge

Analiziramo unose u ShellBag, rekonstruiramo pristupe mapama i procjenjujemo dobivene informacije u suradnji s drugim Windows artefaktima. To nam često omogućuje da aktivnosti korisnika smjestimo u kronološki kontekst i dokumentiramo ih na tragući način.

Tipična područja primjene

•Rekonstrukcija otvorenih mapa
•Pregled vanjskih medija za pohranu podataka
•Krađa podataka
•Navodi o manipulaciji
•Odgovor na incident
•Postupci iz radnog prava
•Stručna mišljenja za sudove

Ovo je način na koji se provodi forenzička analiza ShellBaga.

Nakon što je izrada forenzičke slike dovršena, analiziraju se relevantne sekcije registra u kojima Windows pohranjuje informacije o ShellBag. Rezultati se zatim koreliraju s drugim digitalnim dokazima i u potpunosti dokumentiraju kako bi se omogućila objektivna tehnička procjena.

Zašto su ShellBags toliko važni?

ShellBags često daju naznake o tome koje je mape korisnik otvorio ili pregledao. Kao takvi, mogu značajno doprinijeti rekonstrukciji aktivnosti korisnika. Međutim, kao i kod svih forenzičkih artefakata, njihova važnost postaje očita tek kroz sveobuhvatnu analizu svih relevantnih digitalnih tragova.

Često postavljana pitanja

Što su ShellBags?+
Registry artefakti koji sadrže informacije o otvorenim mapama u Windows Exploreru.
Promatra li se izvorni sustav?+
Ne. Analizira se samo forenzička kopija ili forenzička slika.
Može li ShellBags također otkriti izbrisane mape?+
Mogu pružiti informacije o mapama koje su prethodno bile otvorene. Tehnička procjena uvijek se provodi u cjelokupnom kontekstu.
Jesu li ShellBags sami dovoljni za stručno mišljenje?+
Ne. Uvijek se analiziraju zajedno s drugim Windows artefaktima.

LanCologne – Windows forenzika u Kölnu

Trebate li profesionalnu analizu ShellBags ili drugih Windows artefakata? LanCologne vam može pomoći u forenzički ispravnom očuvanju digitalnih dokaza i objektivnoj analizi složenih Windows sustava.

Kontaktirajte nas odmah