Informatyka śledcza – Windows

Analiza kryminalistyczna artefaktów Windows EDR – rekonstrukcja zdarzeń związanych z bezpieczeństwem i łańcuchów ataków

Nowoczesne rozwiązania z zakresu wykrywania i reagowania na zagrożenia w punktach końcowych (EDR) rejestrują zdarzenia związane z bezpieczeństwem na urządzeniach końcowych. W zależności od producenta mogą to być informacje dotyczące procesów, połączeń sieciowych, dostępu do plików, działań użytkowników oraz wykrytych zagrożeń.

Wysyłaj zapytanie bez zobowiązań

W ramach profesjonalnego dochodzenia informatyczno-kryminalistycznego artefakty EDR nigdy nie są oceniane w oderwaniu od kontekstu. Dopiero korelacja z dziennikami zdarzeń systemu Windows, danymi Sysmon, artefaktami rejestru, śladami w systemie plików oraz innymi dowodami cyfrowymi pozwala na przeprowadzenie rzetelnej oceny technicznej.

Dlaczego LanCologne?

Od momentu powstania firma LanCologne zajmuje się przede wszystkim profesjonalną kryminalistyką informatyczną. Nasi pracownicy mają wieloletnie doświadczenie w dziedzinie technologii informacyjnych i wspierają przedsiębiorstwa, prawników, osoby prywatne, a także regularnie sądy.

Badanie przeprowadza się wyłącznie na kopii kryminalistycznej lub obrazie kryminalistycznym. Oryginalny dowód pozostaje niezmieniony i jest przechowywany w sposób zapewniający jego integralność dowodową.

Nasze usługi

Analiza lokalnych śladów EDR pochodzących od różnych producentów, rekonstrukcja łańcuchów ataków, korelacja z innymi śladami systemu Windows oraz pełna dokumentacja wszystkich etapów badania.

Typowe obszary zastosowań

•Reagowanie na incydenty
•Badania dotyczące oprogramowania ransomware
•Analizy złośliwego oprogramowania
•Zaawansowane, uporczywe zagrożenia (APT)
•Kryminalistyka korporacyjna
•Ekspertyzy sądowe

Tak przebiega analiza

Po utworzeniu obrazu kryminalistycznego identyfikuje się istniejące artefakty EDR, analizuje je i poddaje technicznej ocenie wraz z innymi śladami cyfrowymi.

Dlaczego artefakty EDR są ważne?

Mogą one dostarczyć szczegółową chronologię zdarzeń mających znaczenie dla bezpieczeństwa, co w znacznym stopniu ułatwia rekonstrukcję złożonych zdarzeń. Ocena odbywa się jednak zawsze w szerszym kontekście wszystkich dostępnych dowodów.

Najczęściej zadawane pytania

Jakie rozwiązania EDR można poddać analizie?+
Zasadniczo można analizować lokalnie dostępne artefakty różnych produktów EDR, o ile są one dostępne w systemie.
Czy dane EDR są zawsze dostępne?+
Nie. Zależy to od tego, czy odpowiednie rozwiązanie EDR było zainstalowane i aktywne.
Czy badany jest oryginalny system?+
Nie. Analizie poddawana jest wyłącznie kopia kryminalistyczna lub obraz kryminalistyczny.
Czy same artefakty EDR wystarczą do sporządzenia ekspertyzy?+
Nie. Są one zawsze oceniane łącznie z innymi śladami cyfrowymi.

LanCologne – Analiza kryminalistyczna systemu Windows w Kolonii

LanCologne wspiera Państwa w przeprowadzaniu analizy dowodów EDR spełniającej wymogi sądowe, a także w obiektywnej ocenie złożonych incydentów związanych z bezpieczeństwem informatycznym w ramach kryminalistyki komputerowej.

Skontaktuj się z nami już teraz