IT-forensisch onderzoek – Windows

Forensische analyse van Windows-geheugendumps – Tijdelijke gegevens uit het werkgeheugen evalueren

Het werkgeheugen (RAM) bevat tijdens het gebruik talrijke vluchtige gegevens die verloren gaan zodra het systeem wordt uitgeschakeld. Met geheugendumps kan de toestand van het geheugen op het moment van de opslag worden geanalyseerd; deze kunnen aanwijzingen geven over actieve processen, netwerkverbindingen, geladen stuurprogramma’s of schadelijke software.

Zo’n geheugenafbeelding wordt ook wel een RAM-dump genoemd. Afhankelijk van het tijdstip waarop de back-up is gemaakt, kan deze naast actieve processen en actieve netwerkverbindingen ook ontsleutelde gegevens, geladen modules en malware-componenten bevatten.

Vrijblijvend informeren

Een professionele analyse vindt nooit op zichzelf plaats. Pas door de correlatie met artefacten uit het bestandssysteem, registergegevens, gebeurtenislogboeken, prefetch-bestanden en andere digitale sporen is een betrouwbare technische beoordeling mogelijk.

Waarom LanCologne?

Sinds de oprichting richt LanCologne zich voornamelijk op professionele IT-forensiek. Onze medewerkers beschikken over tientallen jaren ervaring op het gebied van informatietechnologie en ondersteunen bedrijven, advocaten, particulieren en regelmatig ook rechtbanken bij het technisch onderzoek naar complexe digitale kwesties.

Het onderzoek vindt uitsluitend plaats op een forensische kopie of een forensische afspiegeling. Geheugenafspiegelingen worden op een bewijsveilige manier opgeslagen en alle onderzoeksstappen worden op een traceerbare manier gedocumenteerd. Het originele bewijsmateriaal blijft ongewijzigd en wordt op een bewijsveilige manier bewaard.

Onze diensten

Analyse van RAM-afbeeldingen, onderzoek naar actieve processen, netwerkverbindingen, DLL’s, handles, geïnjecteerde code, malware-indicatoren en volledige documentatie van alle onderzoeksstappen.

Typische toepassingsgebieden

•Incidentrespons
•Onderzoek naar malware en rootkits
•Analyse van lopende processen
•Reconstructie van vluchtige systeemtoestanden
•Arbeidsrechtelijke procedures
•Gerechtelijke deskundigenrapporten

Zo verloopt de analyse

Nadat het werkgeheugen op een betrouwbare manier is vastgelegd, worden de relevante geheugenstructuren geanalyseerd en in verband gebracht met andere Windows-artefacten.

Waarom zijn geheugendumps belangrijk?

Ze kunnen informatie bevatten die na het opnieuw opstarten of uitschakelen van het systeem niet meer beschikbaar is. Daardoor vormen ze bij veel onderzoeken een belangrijke aanvulling op de persistente artefacten op opslagmedia.

Veelgestelde vragen

Welke informatie kan een geheugendump bevatten?+
Afhankelijk van de situatie gaat het onder andere om lopende processen, netwerkverbindingen, opslagobjecten en andere vluchtige gegevens.
Is een RAM-back-up altijd mogelijk?+
Nee. Hiervoor is het noodzakelijk dat het systeem nog is ingeschakeld en dat er een forensisch bruikbare back-up kan worden gemaakt.
Wordt er met het originele gegevensdrager gewerkt?+
Nee. Er wordt uitsluitend een forensische kopie of een forensische image geanalyseerd; geheugenimages worden apart opgeslagen.
Zijn memory dumps op zich voldoende voor een rapport?+
Nee. Ze worden altijd samen met andere Windows-artefacten geanalyseerd.

LanCologne – Windows-forensisch onderzoek in Keulen

Heeft u een professionele analyse nodig van Windows-geheugendumps of andere Windows-artefacten? LanCologne ondersteunt u bij het op een rechtsgeldige manier vastleggen van digitaal bewijsmateriaal en bij de objectieve analyse van complexe Windows-systemen.

Nu contact opnemen