IT-forensisch onderzoek – Windows

Forensische analyse van de Windows Search-database – Gecategoriseerde bestanden en zoekinformatie in kaart brengen

De Windows Search-database dient voor het snel zoeken naar bestanden en bevat – afhankelijk van de systeemconfiguratie en indexering – informatie over geïndexeerde bestanden en andere zoekgegevens. In het kader van een IT-forensisch onderzoek kunnen deze artefacten aanvullende aanwijzingen opleveren over bestaande of vroeger bestaande gegevens.

Vrijblijvend informeren

Een professionele beoordeling vindt nooit op zichzelf plaats. Pas door de correlatie met NTFS-artefacten, MFT, USN-journaal, het register, volume-schaduwkopieën en andere digitale sporen kunnen betrouwbare technische conclusies worden getrokken.

Waarom LanCologne?

Sinds de oprichting richt LanCologne zich voornamelijk op professionele IT-forensiek. Onze medewerkers beschikken over tientallen jaren ervaring op het gebied van informatietechnologie en ondersteunen bedrijven, advocaten, particulieren en regelmatig ook rechtbanken bij het technisch onderzoek naar complexe digitale kwesties.

Het onderzoek vindt uitsluitend plaats op basis van een forensische kopie of een forensische afspiegeling. Het originele bewijsmateriaal blijft ongewijzigd en wordt op een bewijsveilige manier bewaard.

Onze diensten

Analyse van de Windows Search-database, evaluatie van geïndexeerde inhoud, tijdsbepaling van relevante artefacten, correlatie met andere sporen in het bestandssysteem en het register, evenals volledige documentatie van alle onderzoeksstappen.

Typische toepassingsgebieden

•Reconstructie van bestandsvoorkomens
•Analyse van verwijderde informatie
•Incidentrespons
•Arbeidsrechtelijke procedures
•Interne bedrijfsonderzoeken
•Gerechtelijke deskundigenrapporten

Zo verloopt de analyse

Nadat er een forensische kopie is gemaakt, wordt de Search Database geëxtraheerd en geanalyseerd. De resultaten worden vervolgens technisch vergeleken met andere Windows-artefacten en beoordeeld.

Waarom is de Windows Search-database belangrijk?

Het kan aanvullende informatie over geïndexeerde bestanden opleveren en zo de reconstructie van digitale gebeurtenissen ondersteunen. De bewijskracht vloeit echter pas voort uit de totale analyse van alle relevante artefacten.

Veelgestelde vragen

Bevat elk Windows-systeem een zoekdatabase?+
Niet per se. De omvang en inhoud zijn afhankelijk van de systeemconfiguratie en de geactiveerde indexering.
Kunnen verwijderde bestanden worden opgespoord?+
Afhankelijk van de beschikbare gegevens kunnen er desbetreffende aanwijzingen zijn.
Wordt er met het originele gegevensdrager gewerkt?+
Nee. Er wordt uitsluitend een forensische kopie of een forensische afspiegeling geanalyseerd.
Is de zoekdatabase op zichzelf voldoende voor een rapport?+
Nee. Het wordt altijd samen met andere digitale sporen geanalyseerd.

LanCologne – Windows-forensisch onderzoek in Keulen

Heeft u behoefte aan een professionele analyse van de Windows Search-database of andere Windows-artefacten? LanCologne ondersteunt u bij het op een rechtsgeldige manier veiligstellen van digitaal bewijsmateriaal en bij de objectieve analyse van complexe Windows-systemen.

Nu contact opnemen