IT-forenzika – Windows

Forenzična analiza artefaktov Windows COM – raziskovanje komponent in sistemskih dejavnosti

Model Component Object Model (COM) je osrednji del operacijskega sistema Windows. Številne aplikacije in sistemske komponente registrirajo COM-objekte, CLSID-je in druge vnose, ki lahko v okviru IT-forenzične preiskave zagotovijo pomembne informacije o nameščeni programski opremi, konfiguracijah ali spremembah sistema.

Nezavezujoča poizvedba

COM-artefakte se nikoli ne ocenjujejo ločeno. Šele na podlagi korelacije z registrskimi panji, datotekami za prednalaganje, dnevniki dogodkov, artefakti datotečnega sistema in drugimi digitalnimi sledmi je mogoče doseči zanesljivo tehnično razvrstitev.

Zakaj LanCologne?

Od ustanovitve se podjetje LanCologne osredotoča predvsem na profesionalno IT-forenziko. Naši zaposleni imajo več desetletij izkušenj na področju informacijske tehnologije in nudijo podporo podjetjem, odvetnikom, posameznikom ter redno tudi sodiščem.

Preiskava se izvaja izključno na forenzični kopiji oziroma forenzičnem odtisu. Izvirni dokazni material ostane nespremenjen in se hrani na način, ki zagotavlja njegovo dokazno vrednost.

Naše storitve

Analiza COM-registracij, CLSID-jev, ProgID-jev in z njimi povezanih elementov registra, korelacija z drugimi elementi sistema Windows ter popolna dokumentacija vseh korakov preiskave.

Tipična področja uporabe

•Analize zlonamerne programske opreme
•Odziv na incidente
•Raziskava mehanizmov obstojnosti
•Forenzika programske opreme
•Forenzična preiskava v podjetjih
•Sodna mnenja

Tako poteka analiza

Po izdelavi forenzične kopije se vnosi v registru, povezani s COM, in drugi artefakti analizirajo ter skupaj z drugimi digitalnimi dokazi tehnično ovrednotijo.

Zakaj so COM-artefakti pomembni?

Lahko zagotovijo podatke o nameščenih komponentah, spremembah v sistemu ali zlorabljenih COM-objektih ter s tem pomagajo pri rekonstrukciji varnostnega incidenta.

Pogosta vprašanja

Kateri COM-artefakti se preučujejo?+
Med drugim CLSID-je, ProgID-je, registracije InProcServer in druge vpise v registru, povezane s COM.
Ali so COM-artefakti sami po sebi dokazni?+
Ne. Vedno se jih ocenjuje v povezavi z drugimi digitalnimi sledmi.
Ali delate na izvirnem sistemu?+
Ne. Analizira se izključno forenzična kopija oziroma forenzični odtis.
Ali so COM-artefakti pomembni za preiskave zlonamerne programske opreme?+
Da. Nekateri zlonamerni programi uporabljajo COM-tehnologije ali za seboj puščajo ustrezne sledi.

LanCologne – Forenzična analiza sistema Windows v Kölnu

LanCologne vam pomaga pri sodno veljavni analizi artefaktov Windows COM in objektivni rekonstrukciji zapletenih IT-forenzičnih primerov.

Stopite v stik zdaj