IT-forenzika – Windows

Poglobljena forenzična analiza datoteke pagefile.sys v sistemu Windows – Rekonstrukcija vsebine pomnilnika v izmenjavi

Die Datei pagefile.sys dient Windows als virtueller Speicher. Während des laufenden Betriebs können Speicherbereiche des Arbeitsspeichers in diese Datei ausgelagert werden. Dadurch können sich – abhängig von Nutzung, Speicherverwaltung und Systemzustand – Informationen befinden, die bei einer klassischen Dateisystemanalyse nicht unmittelbar sichtbar sind.

Nezavezujoča poizvedba

Im Rahmen einer professionellen IT-forensischen Untersuchung wird die pagefile.sys gemeinsam mit weiteren Speicher- und Dateisystemartefakten ausgewertet. Erst die Korrelation aller Spuren ermöglicht eine belastbare technische Bewertung.

Zakaj LanCologne?

Od ustanovitve se podjetje LanCologne osredotoča predvsem na profesionalno IT-forenziko. Naši zaposleni imajo več desetletij izkušenj na področju informacijske tehnologije in pomagajo podjetjem, odvetnikom, posameznikom ter redno tudi sodiščem pri tehničnem raziskovanju zapletenih digitalnih primerov.

Preiskava se izvaja izključno na forenzični kopiji oziroma forenzičnem odtisu. Izvirni dokazni material ostane nespremenjen in se hrani na način, ki zagotavlja njegovo dokazno vrednost.

Naše storitve

Analiza datoteke pagefile.sys glede na fragmente dokumentov, ostanke procesov, pomnilniške objekte in druge pomembne artefakte, korelacija s slikami pomnilnika RAM, datoteko hiberfil.sys, registrom, artefakti datotečnega sistema in uporabnikov ter popolna dokumentacija vseh korakov preiskave.

Tipična področja uporabe

•Odziv na incidente
•Preiskave zlonamerne programske opreme in rootkitov
•Rekonstrukcija dejavnosti uporabnikov
•Analiza prehodnih podatkov
•Postopki na področju delovnega prava
•Sodna mnenja

Tako poteka analiza

Po izdelavi forenzične kopije se datoteka pagefile.sys izvleče in preuči s pomočjo specializiranih forenzičnih orodij. Rezultati se nato primerjajo z drugimi digitalnimi sledmi.

Warum ist die pagefile.sys wichtig?

Datoteka za izlaganje lahko vsebuje podatke, ki jih v delovnem pomnilniku ni več. Zato lahko predstavlja pomembno dopolnilo k analizi pomnilnika RAM in klasični forenziki datotečnega sistema.

Pogosta vprašanja

Welche Informationen können in der pagefile.sys enthalten sein?+
Je nach Systemzustand unter anderem Fragmente von Dokumenten, Speicherinhalten, Prozessen oder weiteren Anwendungsdaten.
Ist die Auslagerungsdatei immer vorhanden?+
Nicht zwingend. Größe und Nutzung hängen von der Windows-Konfiguration und dem verfügbaren Arbeitsspeicher ab.
Ali se preiskuje izvirni sistem?+
Ne. Analizira se izključno forenzična kopija oziroma forenzični odtis.
Reicht die pagefile.sys allein für ein Gutachten aus?+
Ne. Vedno se ocenjuje skupaj z drugimi artefakti sistema Windows.

LanCologne – Forenzična analiza sistema Windows v Kölnu

Potrebujete strokovno analizo datoteke za izmenjavo pomnilnika sistema Windows ali drugih artefaktov sistema Windows? LanCologne vam nudi podporo pri sodno veljavnem zagotavljanju digitalnih dokazov ter objektivni analizi kompleksnih sistemov Windows.

Stopite v stik zdaj