IT-Forensik – Windows

Forenzična analiza datotek prednalaganja v sistemu Windows – prepoznavanje znakov izvajanja programov

Windows Prefetch-Dateien gehören zu den wichtigsten Artefakten einer Windows-forensischen Untersuchung. Sie werden vom Betriebssystem angelegt, um den Start häufig genutzter Programme zu beschleunigen. Gleichzeitig liefern sie wertvolle Informationen darüber, welche Anwendungen auf einem System ausgeführt wurden und wann diese zuletzt gestartet wurden.

Nezavezujoča poizvedba

Im Rahmen einer professionellen IT-forensischen Untersuchung werden Prefetch-Dateien niemals isoliert betrachtet. Erst die gemeinsame Auswertung mit weiteren Artefakten wie der Windows Registry, den Event Logs, der Master File Table (MFT), dem USN Journal oder LNK-Dateien ermöglicht eine objektive Bewertung der vorhandenen digitalen Spuren.

Zakaj LanCologne?

Od ustanovitve se podjetje LanCologne osredotoča predvsem na profesionalno IT-forenziko. Naši zaposleni imajo več desetletij izkušenj na področju informacijske tehnologije in pomagajo podjetjem, odvetnikom, posameznikom ter redno tudi sodiščem pri tehničnem raziskovanju zapletenih digitalnih primerov.

Analiza se načeloma izvaja izključno na forenzični kopiji oziroma forenzičnem odtisu. Izvirni dokazni material ostane nespremenjen in se hrani na način, ki zagotavlja njegovo dokazno vrednost.

Naše storitve

Analiziramo datoteke prednalaganja sistema Windows, rekonstruiramo izvajanje programov, ovrednotimo časovne podatke in povežemo rezultate z drugimi artefakti sistema Windows. Cilj je pregledna tehnična rekonstrukcija relevantnih dejavnosti uporabnikov in sistema.

Tipična področja uporabe

•Dokazilo o izvedenih programih
•Preiskava morebitne zlonamerne programske opreme
•Rekonstrukcija dejavnosti uporabnikov
•Odziv na incidente
•Obtožbe o manipulaciji
•Postopki na področju delovnega prava
•Sodna mnenja

So läuft eine Prefetch-forensische Untersuchung ab

Po izdelavi forenzične kopije se analizirajo obstoječe datoteke prednalaganja in se primerjajo z drugimi artefakti. Rezultati se razvrstijo po časovnem zaporedju in vključijo v splošni kontekst preiskave. Vsi koraki preiskave se v celoti dokumentirajo.

Warum sind Prefetch-Dateien so wichtig?

Datoteke Prefetch pogosto nudijo dragocene informacije o tem, ali in kdaj so bili programi izvedeni v sistemu Windows. Njihova informativna vrednost pa se pokaže šele ob celoviti analizi vseh relevantnih podatkov. Posameznih vnosov v datotekah Prefetch zato ne smemo ocenjevati ločeno.

Häufige Fragen

Was sind Windows-Prefetch-Dateien?+
Vom Betriebssystem erzeugte Dateien, die Informationen über Programmausführungen enthalten.
Wird das Originalsystem untersucht?+
Nein. Die Untersuchung erfolgt ausschließlich auf einer forensischen Kopie beziehungsweise einem forensischen Abbild.
Können Prefetch-Dateien fehlen?+
Ja. Je nach Windows-Version, Systemeinstellungen oder Nutzung können Prefetch-Dateien fehlen oder nur eingeschränkt vorhanden sein.
Reichen Prefetch-Dateien für ein Gutachten aus?+
Nein. Sie werden stets gemeinsam mit weiteren Windows-Artefakten ausgewertet.

LanCologne – Windows-Forensik in Köln

Potrebujete strokovno analizo datotek prednalaganja sistema Windows ali drugih artefaktov sistema Windows? LanCologne vam nudi podporo pri sodno veljavnem zavarovanju digitalnih dokazov ter objektivni analizi kompleksnih sistemov Windows.

Stopite v stik zdaj