IT-forenzika – Windows

Forenzična analiza dnevnika USN – sledenje spremembam v sistemih Windows

Dnevnik USN (Update Sequence Number Journal) je pomemben artefakt datotečnega sistema NTFS. V njem se beležijo številne spremembe datotek in map, zato lahko ponudi dragocene informacije o operacijah z datotekami. V okviru profesionalne forenzike sistema Windows se dnevnik USN analizira skupaj z drugimi artefakti, da se tehnične poteke čim bolj popolno rekonstruirajo.

Nezavezujoča poizvedba

Podatkov, ki so navedeni v reviji USN Journal, se nikoli ne ocenjujejo ločeno. Šele na podlagi povezave z glavno datoteko (Master File Table – MFT), registrom sistema Windows, dnevniki dogodkov in drugimi artefakti je mogoče priti do zanesljivih tehničnih ugotovitev.

Zakaj LanCologne?

Od ustanovitve se podjetje LanCologne osredotoča predvsem na profesionalno IT-forenziko. Naši zaposleni imajo več desetletij izkušenj na področju informacijske tehnologije in pomagajo podjetjem, odvetnikom, posameznikom ter redno tudi sodiščem pri tehničnem raziskovanju zapletenih digitalnih primerov.

Preiskava se načeloma izvaja izključno na forenzični kopiji oziroma forenzičnem odtisu. Izvirni dokazni material ostane nespremenjen in se hrani na način, ki zagotavlja njegovo dokazno vrednost.

Naše storitve

Analiziramo vpise iz dnevnika USN, jih povežemo z drugimi artefakti sistema Windows in na pregleden način dokumentiramo vse tehnične ugotovitve. Na ta način je pogosto mogoče spremembe datotek, premestitve ali izbrisane datoteke časovno umestiti ter jih primerjati z drugimi digitalnimi sledmi.

Tipična področja uporabe

•Sum izbrisa podatkov
•Obnova sprememb v datotekah
•kraja podatkov
•Obtožbe o manipulaciji
•Odziv na incidente
•Postopki na področju delovnega prava
•Sodno dokazovanje

Tako poteka analiza v reviji USN

Po izdelavi forenzične kopije se prebere dnevnik USN in se skupaj z drugimi artefakti datotečnega sistema analizira. Rezultati se tehnično ovrednotijo, medsebojno povežejo in v celoti dokumentirajo. Cilj je objektivna rekonstrukcija relevantnih dogodkov na podlagi sledljivih digitalnih sledi.

Zakaj je revija USN Journal tako pomembna?

Dnevnik USN lahko beleži spremembe datotek in map ter s tem pogosto zagotavlja pomembne informacije o časovnem poteku dogodkov znotraj sistema Windows. Skupaj z drugimi dokazi predstavlja bistven del sodobnih forenzičnih preiskav sistema Windows.

Pogosta vprašanja

Kaj je revija USN?+
NTFS-artefakt, ki beleži številne spremembe datotek in map.
Ali se preiskuje izvirni sistem?+
Ne. Analizira se izključno forenzična kopija oziroma forenzični odtis.
Ali lahko revija USN sama po sebi dokaže dejstvo?+
Ne. Vedno se ocenjuje skupaj z drugimi artefakti.
Ali je revija USN na voljo na vsakem sistemu Windows?+
Na mnogih sistemih NTFS je ta funkcija na voljo, vendar je dejanska razpoložljivost odvisna od posamezne konfiguracije sistema.

LanCologne – Forenzična analiza sistema Windows v Kölnu

Potrebujete strokovno analizo dnevnika USN ali drugih elementov sistema Windows? LanCologne vam pomaga pri sodno veljavnem zavarovanju digitalnih dokazov in pregledni analizi kompleksnih sistemov Windows.

Stopite v stik zdaj