IT-forensisch onderzoek – Windows

Het Windows-slaapstandbestand (hiberfil.sys) forensisch analyseren

Het bestand hiberfil.sys wordt door Windows gebruikt om de inhoud van het werkgeheugen op te slaan wanneer de computer in de slaapstand wordt gezet. Vanuit forensisch oogpunt kan het waardevolle informatie bevatten over actieve processen, geopende toepassingen, netwerkverbindingen en andere inhoud van het geheugen. Welke gegevens daadwerkelijk aanwezig zijn, hangt af van de betreffende systeemstatus en het gebruik van de computer.

Vrijblijvend informeren

In het kader van een professioneel IT-forensisch onderzoek wordt het bestand hiberfil.sys nooit afzonderlijk geanalyseerd. Pas de correlatie met andere artefacten, zoals RAM-afbeeldingen, het pagefile.sys-bestand, het Windows-register, gebeurtenislogboeken, prefetch-bestanden en de Master File Table (MFT), maakt een betrouwbare technische beoordeling mogelijk.

Waarom LanCologne?

Sinds de oprichting richt LanCologne zich voornamelijk op professionele IT-forensiek. Onze medewerkers beschikken over tientallen jaren ervaring op het gebied van informatietechnologie en ondersteunen bedrijven, advocaten, particulieren en regelmatig ook rechtbanken bij het technisch onderzoek naar complexe digitale kwesties.

Het onderzoek vindt uitsluitend plaats op basis van een forensische kopie of een forensische afspiegeling. Het originele bewijsmateriaal blijft ongewijzigd en wordt op een bewijsveilige manier bewaard.

Onze diensten

We analyseren het ruststandbestand, halen relevante geheugeninformatie eruit en vergelijken de resultaten met andere digitale sporen. Alle onderzoeksstappen worden op een traceerbare manier gedocumenteerd en technisch beoordeeld.

Typische toepassingsgebieden

•Reconstructie van lopende processen
•Onderzoek naar schadelijke software
•Incidentrespons
•Analyse van geopende applicaties
•Diefstal van gegevens
•Gerechtelijke deskundigenrapporten

Zo verloopt de analyse van hiberfil.sys

Nadat er een forensische kopie is gemaakt, wordt het slaapstandbestand geanalyseerd. Vervolgens wordt de verkregen informatie gekoppeld aan andere Windows-artefacten en in de algemene context van het onderzoek geplaatst.

Waarom is het bestand hiberfil.sys belangrijk?

Het slaapstandbestand kan geheugeninformatie bevatten die anders, bij uitgeschakelde systemen, niet meer beschikbaar zou zijn. De betekenis ervan komt echter pas naar voren uit de totale analyse van alle relevante digitale sporen.

Veelgestelde vragen

Wat is hiberfil.sys?+
Het Windows-bestand waarin het werkgeheugen wordt opgeslagen tijdens de slaapstand.
Wordt het originele systeem onderzocht?+
Nee. Er wordt uitsluitend een forensische kopie of een forensische afspiegeling geanalyseerd.
Bevat het bestand hiberfil.sys altijd bruikbare informatie?+
Nee. De inhoud hangt af van de systeemstatus en van het feit of de slaapstand is gebruikt.
Is het bestand hiberfil.sys op zichzelf voldoende voor een expertise?+
Nee. Het wordt altijd samen met andere Windows-artefacten geanalyseerd.

LanCologne – Windows-forensisch onderzoek in Keulen

Heeft u een professionele analyse nodig van het bestand hiberfil.sys of andere Windows-artefacten? LanCologne ondersteunt u bij het op een voor de rechtbank geldige manier vastleggen van digitaal bewijsmateriaal en bij de objectieve analyse van complexe Windows-systemen.

Nu contact opnemen