Informática forense – Windows

Análise forense do ficheiro swapfile.sys do Windows – Análise de artefactos de memória adicionais

Para além dos ficheiros pagefile.sys e hiberfil.sys, o Windows utiliza também, em sistemas modernos, o ficheiro swapfile.sys. Este serve, em particular, para a gestão de determinadas áreas de memória das aplicações modernas do Windows e pode — dependendo do estado do sistema e da utilização — conter outras informações relevantes do ponto de vista forense.

Pedido de informação sem compromisso

No âmbito de uma investigação forense informática profissional, o ficheiro swapfile.sys nunca é analisado isoladamente. Só a análise conjunta com imagens da memória de trabalho, o ficheiro pagefile.sys, o ficheiro hiberfil.sys, os dados do Registo e outros artefactos do Windows permite uma avaliação técnica fundamentada.

Porquê o LanCologne?

Desde a sua fundação, a LanCologne dedica-se principalmente à informática forense profissional. Os nossos colaboradores contam com décadas de experiência na área das tecnologias da informação e prestam apoio a empresas, advogados, particulares e, regularmente, também a tribunais.

A análise é realizada exclusivamente numa cópia forense ou numa imagem forense. A prova original permanece inalterada e é guardada de forma a garantir a sua integridade probatória.

Os nossos serviços

Análise do ficheiro swapfile.sys, correlação com outros artefactos de memória, reconstrução das relações técnicas e documentação completa de todas as etapas da investigação.

Áreas de aplicação típicas

•Resposta a Incidentes
•Análises de malware
•Reconstrução das atividades do utilizador
•Perícia empresarial
•Processos em matéria de direito do trabalho
•Pareceres judiciais

É assim que se realiza a análise

Após a criação de uma imagem forense, o ficheiro swapfile.sys é identificado e analisado juntamente com outros artefactos de memória e do sistema de ficheiros.

Por que é que o ficheiro swapfile.sys é importante?

Pode conter informações complementares que não se encontram, ou já não se encontram na íntegra, noutros artefactos de memória. No entanto, o seu significado só se revela a partir da análise global.

Perguntas frequentes

O ficheiro swapfile.sys existe em todos os sistemas Windows?+
Depende da versão e da configuração do Windows.
Substitui o ficheiro pagefile.sys?+
Não. Ambos os ficheiros desempenham funções diferentes no âmbito da gestão de memória.
O trabalho é feito diretamente no original?+
Não. A análise é efetuada exclusivamente sobre uma cópia forense ou uma imagem forense.
O ficheiro swapfile.sys, por si só, é suficiente para uma perícia?+
Não. É sempre avaliada em conjunto com outros vestígios digitais.

🔗 Temas relacionados

LanCologne – Análise forense do Windows em Colónia

A LanCologne presta-lhe apoio na análise, com validade judicial, de artefactos de memória do Windows e em investigações forenses complexas na área das tecnologias da informação.

Entre em contacto connosco agora