IT-forensik – Windows

Forensisk analys av Windows-teckensnittscachen – ledtrådar om användning av dokument och program

Der Windows Font Cache dient der Optimierung der Darstellung installierter Schriftarten. Die zugehörigen Cache-Dateien können im Rahmen einer IT-forensischen Untersuchung zusätzliche Hinweise auf die Nutzung bestimmter Anwendungen, Dokumente oder Schriftarten liefern.

Begär en icke-bindande offert

Der Font Cache besitzt in der Regel keinen eigenständigen Beweiswert. Seine Bedeutung ergibt sich vielmehr aus der Korrelation mit weiteren Artefakten wie Dateisystemspuren, Prefetch-Dateien, Jump Lists, Registry-Einträgen und Ereignisprotokollen. Erst die Gesamtauswertung ermöglicht eine belastbare technische Bewertung.

Varför LanCologne?

Sedan starten har LanCologne främst ägnat sig åt professionell IT-forensik. Våra medarbetare har flera decenniers erfarenhet inom informationsteknik och bistår företag, advokater, privatpersoner samt regelbundet även domstolar.

Undersökningen utförs uteslutande på en forensisk kopia eller en forensisk avbildning. Det ursprungliga bevismaterialet förblir oförändrat och förvaras på ett sätt som säkerställer bevisvärdet.

Våra tjänster

Analys av fontcache-filerna, utvärdering av installerade teckensnitt, korrelation med andra Windows-artefakter samt fullständig dokumentation av samtliga undersökningssteg.

Typiska användningsområden

•Dokumentanalys
•Rekonstruktion av användaraktiviteter
•Undersökningar av skadlig programvara
•Företagsforensik
•Förfaranden enligt arbetsrätten
•Rättsliga utlåtanden

Så här går analysen till

Efter att en forensisk avbildning har skapats identifieras och utvärderas befintliga artefakter i teckensnittscachen, varefter de tekniskt klassificeras tillsammans med andra digitala spår.

Warum ist der Font Cache wichtig?

Teckensnittscachen kan ge ytterligare ledtrådar om användningen av vissa program eller dokument och kompletterar därmed den övergripande rekonstruktionen av en digital händelse.

Vanliga frågor

Welche Informationen enthält der Font Cache?+
Je nach Windows-Version Informationen über zwischengespeicherte Schriftarten und deren Nutzung.
Kann daraus ein Dokument eindeutig nachgewiesen werden?+
Nein. Der Font Cache besitzt für sich genommen keinen eindeutigen Beweiswert und wird immer im Gesamtkontext bewertet.
Kommer det ursprungliga systemet att undersökas?+
Nej. Det är uteslutande en forensisk kopia eller en forensisk avbildning som analyseras.
Ist der Font Cache gerichtsrelevant?+
Er kann als ergänzendes Artefakt Bestandteil einer umfassenden forensischen Bewertung sein.

LanCologne – Windows-forensik i Köln

LanCologne hjälper er att genomföra en rättsligt hållbar analys av Windows-teckensnittscachen och en objektiv rekonstruktion av digitala användaraktiviteter.

Kontakta oss nu