IT-forensik – Windows

Forensisk analys av Windows Device Metadata Cache – Indikationer på identifierad hårdvara

Windows lagrar metadata för identifierade hårdvaruenheter i den så kallade Device Metadata Cache. Beroende på enhetstyp och Windows-version kan information lagras där som gör det möjligt att dra slutsatser om ansluten hårdvara och hur den är integrerad.

Begär en icke-bindande offert

Inom ramen för en professionell IT-forensisk undersökning betraktas dessa artefakter aldrig isolerat. Först genom att korrelera dem med USB-artefakter, SetupAPI-protokoll, MountPoints2, registerdata och andra digitala spår blir det möjligt att göra en tillförlitlig teknisk utvärdering.

Varför LanCologne?

Sedan starten har LanCologne främst ägnat sig åt professionell IT-forensik. Våra medarbetare har flera decenniers erfarenhet inom informationsteknik och bistår företag, advokater, privatpersoner samt regelbundet även domstolar.

Undersökningen utförs uteslutande på en forensisk kopia eller en forensisk avbildning. Det ursprungliga bevismaterialet förblir oförändrat och förvaras på ett sätt som säkerställer bevisvärdet.

Våra tjänster

Analys av Device Metadata Cache, identifiering av upptäckta enheter, korrelation med ytterligare Windows-artefakter samt fullständig dokumentation av alla undersökningssteg.

Typiska användningsområden

•USB-forensik
•Undersökning av externa datamedier
•Incidenthantering
•Företagsforensik
•Förfaranden enligt arbetsrätten
•Rättsliga utlåtanden

Så här går analysen till

Efter att en forensisk avbildning har skapats analyseras de relevanta cachefilerna och tillhörande artefakter och korreleras tekniskt med ytterligare digitala spår.

Varför är enheten metadata-cachen viktig?

Den kan ge ytterligare information om tidigare identifierad hårdvara och kompletterar därmed rekonstruktionen av ett systems enhetshistorik.

Vanliga frågor

Vilka enheter kan registreras?+
Beroende på systemet kan det bland annat handla om USB-enheter, skrivare, kameror eller annan kompatibel hårdvara.
Räcker cacheminnet i sig som bevis?+
Nej. Den utvärderas alltid tillsammans med andra kriminaltekniska bevisföremål.
Kommer det ursprungliga systemet att undersökas?+
Nej. Det är uteslutande en forensisk kopia eller en forensisk avbildning som analyseras.
Är enheten Metadata Cache rättsligt relevant?+
Det kan utgöra ett kompletterande bevismaterial inom ramen för en omfattande IT-forensisk utredning.

LanCologne – Windows-forensik i Köln

LanCologne hjälper er att genomföra en rättsligt hållbar analys av Windows Device Metadata Cache och en objektiv rekonstruktion av ansluten hårdvara.

Kontakta oss nu