Informática forense – Windows

Análise forense de artefactos do Windows Live Response – Guardar informações voláteis do sistema

Numa resposta em tempo real, são guardadas as informações de um sistema Windows ainda em funcionamento antes de o dispositivo ser desligado. Estas incluem, entre outras coisas, processos em execução, serviços, ligações de rede, utilizadores com sessão iniciada, ficheiros abertos e outras informações voláteis do sistema.

Pedido de informação sem compromisso

Uma vez que os dados voláteis podem perder-se após um reinício, a sua recolha com valor probatório constitui, nos casos adequados, uma componente importante de uma investigação forense informática. Os resultados são sempre avaliados em conjunto com os artefactos dos suportes de dados.

Porquê o LanCologne?

Desde a sua fundação, a LanCologne dedica-se principalmente à informática forense profissional. Os nossos colaboradores contam com décadas de experiência na área das tecnologias da informação e prestam apoio a empresas, advogados, particulares e, regularmente, também a tribunais.

A análise é realizada exclusivamente numa cópia forense ou numa imagem forense. A prova original permanece inalterada e é guardada de forma a garantir a sua integridade probatória.

Os nossos serviços

Arquivamento de dados voláteis, análise de processos em execução, ligações de rede e serviços, correlação com imagens de RAM, artefactos do Registo, de eventos e do sistema de ficheiros, bem como documentação completa.

Áreas de aplicação típicas

•Resposta a Incidentes

•Ransomware

•Análises de malware

•Casos de abuso de informação privilegiada

•Perícia empresarial

•Pareceres judiciais

É assim que se realiza a análise

Antes do encerramento do sistema, as informações voláteis são guardadas com ferramentas forenses adequadas. Em seguida, procede-se à análise, em conjunto com todos os restantes vestígios digitais.

Por que é que o Live Response é importante?

Muitas informações relevantes para a segurança existem exclusivamente no sistema em funcionamento e deixam de estar disponíveis após um reinício.

Perguntas frequentes

Quando é que se realiza uma resposta em tempo real?+

Quando o sistema ainda estiver a funcionar e for necessário guardar informações voláteis.

A «Live Response» substitui a análise forense de suportes de dados?+

Não. Ambos os procedimentos complementam-se.

O trabalho é feito diretamente no original?+

Apenas na medida do tecnicamente necessário para guardar dados voláteis de forma a garantir a validade probatória. A análise subsequente é realizada exclusivamente com base nos dados forenses guardados.

A «Live Response» faz sentido em todos os casos?+

Não. Isso depende da questão concreta e das provas disponíveis.