IT-forensik – Windows

Forensisk analys av Windows Search-databasen – kartlägga indexerade filer och sökinformation

Windows Search-databasen används för snabb filsökning och innehåller – beroende på systemkonfiguration och indexering – information om indexerade filer och ytterligare sökdata. Inom ramen för en IT-forensisk undersökning kan dessa artefakter ge ytterligare ledtrådar om befintliga eller tidigare befintliga data.

Begär en icke-bindande offert

En professionell utvärdering sker aldrig isolerat. Det är först genom att korrelera resultaten med NTFS-artefakter, MFT, USN-journalen, registret, volymskuggkopior och andra digitala spår som man kan dra tillförlitliga tekniska slutsatser.

Varför LanCologne?

Sedan starten har LanCologne främst ägnat sig åt professionell IT-forensik. Våra medarbetare har årtionden av erfarenhet inom informationsteknik och bistår företag, advokater, privatpersoner samt regelbundet även domstolar med teknisk utredning av komplexa digitala ärenden.

Undersökningen utförs uteslutande på en forensisk kopia eller en forensisk avbildning. Det ursprungliga bevismaterialet förblir oförändrat och förvaras på ett sätt som säkerställer bevisvärdet.

Våra tjänster

Analys av Windows Search-databasen, utvärdering av indexerat innehåll, tidsmässig klassificering av relevanta artefakter, korrelation med ytterligare spår i filsystemet och registret samt fullständig dokumentation av alla undersökningssteg.

Typiska användningsområden

•Rekonstruktion av filförekomster
•Analys av raderad information
•Incidenthantering
•Förfaranden enligt arbetsrätten
•Interna företagsutredningar
•Rättsliga utlåtanden

Så här går analysen till

Efter att en forensisk avbildning har skapats extraheras och analyseras sökdatabasen. Resultaten jämförs därefter tekniskt med ytterligare Windows-artefakter och utvärderas.

Varför är Windows Search-databasen viktig?

Den kan ge ytterligare information om indexerade filer och därmed underlätta rekonstruktionen av digitala händelser. Beviskraften framgår dock först av den samlade utvärderingen av alla relevanta artefakter.

Vanliga frågor

Innehåller varje Windows-system en sökdatabas?+
Inte nödvändigtvis. Omfattningen och innehållet beror på systemkonfigurationen och vilken indexering som är aktiverad.
Kan raderade filer spåras?+
Beroende på vilka uppgifter som finns kan det finnas motsvarande anvisningar.
Används originalmediet?+
Nej. Det är uteslutande en forensisk kopia eller en forensisk avbildning som analyseras.
Räcker det med sökdatabasen för att utarbeta ett utlåtande?+
Nej. Den analyseras alltid tillsammans med andra digitala spår.

LanCologne – Windows-forensik i Köln

Behöver ni en professionell analys av Windows Search-databasen eller andra Windows-objekt? LanCologne hjälper er med att säkerhetskopiera digitala bevis på ett rättsligt godtagbart sätt samt med att objektivt utvärdera komplexa Windows-system.

Kontakta oss nu