IT-forensik – Windows

Forensisk analys av Windows-registret – En av de viktigaste informationskällorna inom Windows-forensik

Windows-registret är operativsystemets centrala konfigurationsdatabas och räknas till de viktigaste bevisföremålen vid en forensisk undersökning av Windows. Det lagrar information om användarkonton, installerad programvara, anslutna enheter, systeminställningar och en mängd andra konfigurationsuppgifter. Mycket av denna information bevaras även efter att filer har raderats eller program har avinstallerats.

Begär en icke-bindande offert

I samband med en professionell IT-forensisk undersökning betraktas registret aldrig isolerat. Istället korreleras dess innehåll med andra artefakter, såsom Master File Table (MFT), USN-journalen, händelseloggar eller webbläsardata, för att objektivt utvärdera tekniska samband.

Varför LanCologne?

Sedan starten har LanCologne främst ägnat sig åt professionell IT-forensik. Våra medarbetare har årtionden av erfarenhet inom informationsteknik och bistår företag, advokater, privatpersoner samt regelbundet även domstolar med teknisk utredning av komplexa digitala ärenden.

Analysen utförs i princip uteslutande på en forensisk kopia eller en forensisk avbildning. Det ursprungliga bevismaterialet förblir oförändrat och förvaras på ett sätt som säkerställer bevisvärdet.

Våra tjänster

Vi analyserar bland annat registerhiv som SYSTEM, SOFTWARE, SAM, SECURITY samt de användarspecifika filerna NTUSER.DAT och UsrClass.dat. Vi utvärderar till exempel information om användarinloggningar, programkörningar, anslutna USB-enheter, autostart-poster och andra relevanta registerobjekt.

Typiska användningsområden

•Rekonstruktion av användaraktiviteter
•Översikt över installerad programvara
•Analys av anslutna USB-enheter
•Undersökning av autostart-poster
•Anklagelser om datastöld och manipulation
•Incidenthantering
•Rättsliga och utomrättsliga utlåtanden

Så här går en forensisk undersökning av registret till

Efter att en forensisk avbildning har skapats läses de relevanta registerhivarna ut och analyseras. Därefter görs en korrelation med ytterligare Windows-artefakter. Alla iakttagelser dokumenteras på ett överskådligt sätt och utvärderas tekniskt för att möjliggöra en objektiv rekonstruktion av händelseförloppet.

Varför är Windows-registret så viktigt?

Registret innehåller omfattande information om ett Windows-systems tillstånd och användning. Det gör det ofta möjligt att dra slutsatser om användaraktiviteter och systemkonfigurationer och är därför en av de viktigaste informationskällorna inom Windows-forensik. Men det är först genom en samlad utvärdering av alla relevanta artefakter som man kan få meningsfulla resultat.

Vanliga frågor

Vad är Windows-registret?+
Den centrala konfigurationsdatabasen i Windows-operativsystemet.
Vilka registerfiler undersöks?+
Beroende på frågeställningen kan det bland annat handla om SYSTEM, SOFTWARE, SAM, SECURITY, NTUSER.DAT och UsrClass.dat.
Arbetar man med originalet?+
Nej. Undersökningen utförs uteslutande på en forensisk kopia eller en forensisk avbildning.
Kan registret på egen hand bevisa en omständighet?+
Nej. Den analyseras alltid tillsammans med andra digitala spår.

LanCologne – Windows-forensik i Köln

Behöver ni en professionell analys av Windows-registret eller andra Windows-komponenter? LanCologne hjälper er att säkerhetskopiera digitala bevis på ett rättsligt godtagbart sätt och att utvärdera komplexa Windows-system på ett spårbart sätt.

Kontakta oss nu