IT-forenzika – Windows

Forenzična analiza koša v sistemu Windows ($Recycle.Bin) – sledenje izbrisanih datotek

Koš v sistemu Windows je pomemben dokazni element v forenziki sistema Windows. Pri brisanju datotek prek koša se ustvarijo metapodatki, ki omogočajo sklepanje o prvotni lokaciji shranjevanja, času brisanja in drugih informacijah o datoteki. Te informacije lahko pomembno prispevajo k rekonstrukciji dejanskega stanja.

V najnovejših različicah sistema Windows se koš nahaja v skritem sistemskem imeniku $Recycle.Bin. Glede na različico sistema Windows je iz njega mogoče rekonstruirati metapodatke, kot so prvotna lokacija shranjevanja, velikost datoteke in čas izbrisa. V analizo so vključene tudi morebitne kopije Volume Shadow Copies.

Nezavezujoča poizvedba

V okviru strokovne forenzične preiskave IT se koš nikoli ne analizira ločeno. Šele povezava z drugimi artefakti, kot so Master File Table (MFT), USN Journal, Windows Registry, dnevniki dogodkov in datoteke LNK, omogoča zanesljivo tehnično oceno.

Zakaj LanCologne?

Od ustanovitve se podjetje LanCologne osredotoča predvsem na profesionalno IT-forenziko. Naši zaposleni imajo več desetletij izkušenj na področju informacijske tehnologije in pomagajo podjetjem, odvetnikom, posameznikom ter redno tudi sodiščem pri tehničnem raziskovanju zapletenih digitalnih primerov.

Preiskava se izvaja izključno na forenzični kopiji oziroma forenzičnem odtisu. Izvirni dokazni material ostane nespremenjen in se hrani na način, ki zagotavlja njegovo dokazno vrednost.

Naše storitve

Analiziramo podatke iz koša, rekonstruiramo postopke brisanja in rezultate povežemo z drugimi digitalnimi sledmi. Vsi koraki preiskave so jasno dokumentirani.

Tipična področja uporabe

•Obnova izbrisanih datotek
•kraja podatkov
•Preiskava obtožb o manipulaciji
•Odziv na incidente
•Postopki na področju delovnega prava
•Sodna mnenja

Tako poteka forenzična preiskava koša za smeti

Po izdelavi forenzične kopije se analizirajo ustrezni artefakti iz koša. Nato sledi primerjava z drugimi artefakti sistema Windows, da se postopke brisanja časovno in tehnično umestijo.

Zakaj je koš za smeti pomemben s forenzičnega vidika?

Metapodatki, shranjeni v košu, lahko nudijo dragocene informacije o postopkih brisanja. Njihova informativna vrednost pa se pokaže šele ob celoviti analizi vseh relevantnih artefaktov preiskovanega sistema.

Pogosta vprašanja

Katere informacije vsebuje koš v sistemu Windows?+
Med drugim metapodatki o prvotni lokaciji shranjevanja, velikosti datoteke in času izbrisa.
Ali se preiskuje izvirni sistem?+
Ne. Analizira se izključno forenzična kopija oziroma forenzični odtis.
Ali je mogoče pregledati že izpraznjene koše za papir?+
Glede na razpoložljive podatke lahko dodatne informacije zagotovijo tudi drugi artefakti ali sledi v datotečnem sistemu.
Ali je analiza koša za smeti sama po sebi zadostna za izvedensko mnenje?+
Ne. Vedno se ocenjuje skupaj z drugimi artefakti sistema Windows.

LanCologne – Forenzična analiza sistema Windows v Kölnu

Potrebujete strokovno analizo koša v sistemu Windows ali drugih elementov sistema Windows? LanCologne vam nudi podporo pri sodno veljavnem zavarovanju digitalnih dokazov ter objektivni analizi kompleksnih sistemov Windows.

Stopite v stik zdaj