IT-forenzika – Windows

Forenzična analiza pomnilniških izpisov sistema Windows – analiza začasnih podatkov iz delovnega pomnilnika

Delovni pomnilnik (RAM) med delovanjem vsebuje številne začasne podatke, ki se po izklopu sistema izgubijo. Izpisi pomnilnika omogočajo analizo stanja pomnilnika v trenutku zajema in lahko nudijo namige o tekočih procesih, omrežnih povezavah, naloženih gonilnikih ali zlonamerni programski opremi.

Takšen posnetek pomnilnika se imenuje tudi »RAM-dump«. Glede na trenutek, ko je bila narejena varnostna kopija, lahko poleg tekočih procesov in aktivnih omrežnih povezav vsebuje tudi dešifrirane podatke, naložene module in komponente zlonamerne programske opreme.

Nezavezujoča poizvedba

Strokovna analiza se nikoli ne izvaja ločeno. Šele povezava z artefakti datotečnega sistema, podatki iz registra, dnevniki dogodkov, datotekami prednalaganja in drugimi digitalnimi sledmi omogoča zanesljivo tehnično oceno.

Zakaj LanCologne?

Od ustanovitve se podjetje LanCologne osredotoča predvsem na profesionalno IT-forenziko. Naši zaposleni imajo več desetletij izkušenj na področju informacijske tehnologije in pomagajo podjetjem, odvetnikom, posameznikom ter redno tudi sodiščem pri tehničnem raziskovanju zapletenih digitalnih primerov.

Preiskava se izvaja izključno na forenzični kopiji oziroma forenzičnem odtisu. Odtisi pomnilnika se arhivirajo na način, ki zagotavlja dokazno vrednost, vsi koraki preiskave pa se dokumentirajo na način, ki omogoča sledljivost. Izvirni dokazni material ostane nespremenjen in se hrani na način, ki zagotavlja dokazno vrednost.

Naše storitve

Analiza posnetkov delovnega pomnilnika, preiskava tekočih procesov, omrežnih povezav, DLL-datotek, ročajev, vbrizganega kode, kazalcev zlonamerne programske opreme ter popolna dokumentacija vseh korakov preiskave.

Tipična področja uporabe

•Odziv na incidente
•Preiskave zlonamerne programske opreme in rootkitov
•Analiza tekočih procesov
•Rekonstrukcija prehodnih stanj sistema
•Postopki na področju delovnega prava
•Sodna mnenja

Tako poteka analiza

Po zanesljivem varnostnem kopiranju delovnega pomnilnika se ustrezne pomnilniške strukture analizirajo in povežejo z drugimi artefakti sistema Windows.

Zakaj so pomnilniški izpisi pomembni?

Lahko vsebujejo informacije, ki po ponovnem zagonu ali izklopu sistema niso več na voljo. Zato pri mnogih preiskavah predstavljajo pomembno dopolnilo k trajnim artefaktom na nosilcih podatkov.

Pogosta vprašanja

Katere informacije lahko vsebujejo pomnilniški izpisi?+
Glede na situacijo med drugim tekoče procese, omrežne povezave, pomnilniške objekte in druge začasne podatke.
Ali je varnostna kopija pomnilnika RAM vedno mogoča?+
Ne. To predpostavlja, da je sistem še vedno vklopljen in da je mogoče izvesti forenzično ustrezno varnostno kopijo.
Ali se dela z izvirnim nosilcem podatkov?+
Ne. Analizira se izključno forenzična kopija oziroma forenzični odtis; odtisi pomnilnika se shranijo ločeno.
Ali so sami izpisi pomnilnika zadostni za izvedensko mnenje?+
Ne. Vedno se analizirajo skupaj z drugimi artefakti sistema Windows.

LanCologne – Forenzična analiza sistema Windows v Kölnu

Potrebujete strokovno analizo pomnilniških izpisov sistema Windows ali drugih artefaktov sistema Windows? LanCologne vam nudi podporo pri pridobivanju digitalnih dokazov, ki so sprejemljivi na sodišču, ter pri objektivni analizi kompleksnih sistemov Windows.

Stopite v stik zdaj