IT-forensik – Windows

Forensisk analys av Windows-händelseloggar – utvärdera systemhändelser på ett överskådligt sätt

Windows-händelseloggarna (Event Logs) hör till de viktigaste informationskällorna vid en Windows-forensisk utredning. Operativsystemet loggar ett stort antal säkerhetsrelaterade händelser, såsom inloggningar, systemstart, programfel, ändringar av tjänster eller säkerhetsrelaterade åtgärder. Denna information kan ge värdefulla ledtrådar om tidsförloppet för en incident.

Begär en icke-bindande offert

För att få en tillförlitlig utvärdering betraktas händelseloggar aldrig isolerat. Det är först genom korrelation med andra data, såsom Windows-registret, Master File Table (MFT), USN-journalen eller webbläsardata, som det blir möjligt att objektivt rekonstruera tekniska processer.

Varför LanCologne?

Sedan starten har LanCologne främst ägnat sig åt professionell IT-forensik. Våra medarbetare har årtionden av erfarenhet inom informationsteknik och bistår företag, advokater, privatpersoner samt regelbundet även domstolar med teknisk utredning av komplexa digitala ärenden.

Undersökningen utförs i princip uteslutande på en forensisk kopia eller en forensisk avbildning. Det ursprungliga bevismaterialet förblir oförändrat och förvaras på ett sätt som säkerställer bevisvärdet.

Våra tjänster

Vi analyserar säkerhetsrelaterade Windows-händelseloggar, granskar in- och utloggningar, systemhändelser, ändringar av tjänster samt loggade säkerhetshändelser. Alla iakttagelser jämförs med övriga digitala spår och dokumenteras på ett spårbart sätt.

Typiska användningsområden

•Utredning av obehöriga inloggningar
•Rekonstruktion av systemstart och omstart
•Analys av säkerhetsincidenter
•Incidenthantering
•Anklagelser om manipulation
•Förfaranden enligt arbetsrätten
•Rättsliga utlåtanden

Så här går en analys av händelseloggarna till

Efter att en forensisk avbildning har skapats läses de relevanta händelseloggarna ut och analyseras. De enskilda händelserna ordnas i tidsordning och korreleras med andra artefakter. På så sätt skapas en tydlig kronologi över de relevanta systemhändelserna.

Varför är Windows-händelseloggarna så viktiga?

Windows-händelseloggar dokumenterar en rad aktiviteter i operativsystemet och utgör ofta grunden för en tidsmässig rekonstruktion av en händelse. Deras informativitet framgår dock först genom en samlad utvärdering tillsammans med andra forensiska bevis.

Vanliga frågor

Vad är Windows-händelseloggar?+
Operativsystemets händelseloggar, där ett stort antal system- och säkerhetshändelser lagras.
Analyseras originaldata?+
Nej. Analysen utförs uteslutande på en forensisk kopia respektive en forensisk avbildning.
Kan händelseloggar raderas?+
Beroende på det enskilda fallet kan loggfilerna ändras eller raderas. Även sådana avvikelser kan bli föremål för en kriminalteknisk undersökning.
Räcker det med händelseloggarna för att utfärda ett utlåtande?+
Nej. De bedöms alltid tillsammans med andra föremål.

LanCologne – Windows-forensik i Köln

Behöver ni en professionell analys av Windows-händelseloggarna? LanCologne hjälper er att säkerhetskopiera digitala bevis på ett sätt som håller i domstol och att objektivt utvärdera relevanta Windows-artefakter.

Kontakta oss nu