IT-forenzika – Windows

Forenzična analiza Amcache – znaki, ki kažejo na programe in sistemsko aktivnost

Podatkovna baza Amcache spada med pomembne dokaze v forenzični preiskavi sistema Windows. Vsebuje informacije o programih in izvedljivih datotekah, ki so bile zaznane v sistemu Windows. Glede na operacijski sistem in okoliščine lahko iz nje izhajajo dragocene informacije o nameščenih ali zagnanih aplikacijah.

Nezavezujoča poizvedba

Strokovna analiza se nikoli ne izvaja ločeno. Šele korelacija z drugimi elementi sistema Windows, kot so datoteke prednalaganja (Prefetch), register sistema Windows, dnevniki dogodkov, glavna datotečna tabela (MFT) ali dnevnik USN, omogoča zanesljivo tehnično oceno.

Zakaj LanCologne?

Od ustanovitve se podjetje LanCologne osredotoča predvsem na profesionalno IT-forenziko. Naši zaposleni imajo več desetletij izkušenj na področju informacijske tehnologije in pomagajo podjetjem, odvetnikom, posameznikom ter redno tudi sodiščem pri tehničnem raziskovanju zapletenih digitalnih primerov.

Preiskava se načeloma izvaja izključno na forenzični kopiji oziroma forenzičnem odtisu. Izvirni dokazni material ostane nespremenjen in se hrani na način, ki zagotavlja njegovo dokazno vrednost.

Naše storitve

Analiziramo bazo podatkov Amcache, ocenjujemo vnose o programih in izvedljivih datotekah ter pridobljene ugotovitve primerjamo z drugimi digitalnimi sledmi. Vse ugotovitve so jasno dokumentirane in umeščene v splošni kontekst preiskave.

Tipična področja uporabe

•Analiza nameščenih programov
•Rekonstrukcija možnih izvedb programa
•Preiskava zlonamerne programske opreme
•Odziv na incidente
•Obtožbe o manipulaciji
•Postopki na področju delovnega prava
•Sodna mnenja

Tako poteka forenzična preiskava z uporabo metode Amcache

Po izdelavi forenzične kopije se izberejo podatki iz baze podatkov Amcache in se jih analizira. Rezultati se povežejo z drugimi dokazi in se ocenijo glede na njihovo forenzično vrednost. Vsi koraki preiskave se v celoti dokumentirajo.

Zakaj je Amcache tako pomemben?

Amcache lahko zagotovi pomembne informacije o programih, ki so bili prisotni ali so bili zaznani v sistemu Windows. Tehnična zanesljivost pa je vedno odvisna od posameznega primera in se pokaže šele na podlagi skupne analize vseh relevantnih artefaktov.

Pogosta vprašanja

Kaj je Amcache?+
Baza podatkov sistema Windows z informacijami o programih in izvedljivih datotekah.
Ali se dela z izvirnikom?+
Ne. Analizira se izključno forenzična kopija oziroma forenzični odtis.
Ali lahko Amcache odkrije izbrisane programe?+
Glede na posamezen primer lahko zgodovinski vnosi nudijo namige o preteklih programih.
Ali zadostuje samo Amcache za izdelavo strokovnega mnenja?+
Ne. Ocena se vedno izvede skupaj z drugimi artefakti sistema Windows.

LanCologne – Forenzična analiza sistema Windows v Kölnu

Potrebujete strokovno analizo podatkovne baze Amcache ali drugih artefaktov sistema Windows? LanCologne vam nudi podporo pri sodno veljavnem zavarovanju digitalnih dokazov in objektivni analizi kompleksnih sistemov Windows.

Stopite v stik zdaj