Informática forense – Windows

Análise forense do Amcache – Indícios relativos a programas e atividades do sistema

A base de dados Amcache é um dos elementos mais importantes de uma investigação forense do Windows. Contém informações sobre programas e ficheiros executáveis detetados num sistema Windows. Dependendo do sistema operativo e do contexto, pode fornecer pistas valiosas sobre as aplicações instaladas ou em execução.

Pedido de informação sem compromisso

Uma análise profissional nunca é realizada de forma isolada. Só a correlação com outros artefactos do Windows, como ficheiros de pré-busca, o Registo do Windows, registos de eventos, a Tabela Mestra de Ficheiros (MFT) ou o Diário USN, permite uma avaliação técnica fiável.

Porquê o LanCologne?

Desde a sua fundação, a LanCologne dedica-se principalmente à informática forense profissional. Os nossos colaboradores possuem décadas de experiência na área das tecnologias da informação e prestam apoio a empresas, advogados, particulares e, regularmente, também a tribunais, na investigação técnica de casos digitais complexos.

A análise é, em princípio, realizada exclusivamente numa cópia forense ou numa imagem forense. A prova original permanece inalterada e é guardada de forma a garantir a sua integridade probatória.

Os nossos serviços

Analisamos a base de dados Amcache, avaliamos as entradas relativas a programas e ficheiros executáveis e cruzamos as informações obtidas com outros vestígios digitais. Todas as conclusões são documentadas de forma compreensível e enquadradas no contexto global da investigação.

Áreas de aplicação típicas

•Análise dos programas instalados
•Reconstrução de possíveis execuções do programa
•Análise de software malicioso
•Resposta a Incidentes
•Acusações de manipulação
•Processos em matéria de direito do trabalho
•Pareceres judiciais

É assim que decorre uma análise forense da Amcache

Após a criação de uma cópia de segurança forense, a base de dados Amcache é lida e analisada. Os resultados são correlacionados com outros artefactos e avaliados quanto ao seu valor forense. Todas as etapas da investigação são integralmente documentadas.

Por que é que o Amcache é tão importante?

O Amcache pode fornecer informações importantes sobre programas que existiam ou foram detetados num sistema Windows. No entanto, o valor técnico destas informações depende sempre de cada caso específico e só se determina através da análise conjunta de todos os artefactos relevantes.

Perguntas frequentes

O que é o Amcache?+
Uma base de dados do Windows com informações sobre programas e ficheiros executáveis.
Trabalha-se com o original?+
Não. A análise é efetuada exclusivamente sobre uma cópia forense ou uma imagem forense.
O Amcache consegue detetar programas eliminados?+
Dependendo de cada caso específico, os registos históricos podem fornecer indicações sobre programas anteriores.
O Amcache, por si só, é suficiente para um parecer?+
Não. A avaliação é sempre realizada em conjunto com outros artefactos do Windows.

LanCologne – Análise forense do Windows em Colónia

Precisa de uma análise profissional da base de dados Amcache ou de outros artefactos do Windows? A LanCologne presta-lhe apoio na obtenção de provas digitais com valor processual e na avaliação objetiva de sistemas Windows complexos.

Entre em contacto connosco agora