IT-forensik – Windows

Forensisk analys av Windows Hosts-filen – Spåra manuella namnupplösningar

Hosts-filen möjliggör lokal koppling av värdnamn till IP-adresser och används av Windows innan en DNS-förfrågan görs. Ändringar i denna fil kan ha legitima administrativa syften, men kan också tyda på manipulation eller skadlig programvara.

Begär en icke-bindande offert

En professionell analys utförs aldrig isolerat. Det är först genom att korrelera resultaten med DNS-data, registerdata, händelseloggar, webbläsardata och andra digitala spår som man kan göra en tillförlitlig teknisk utvärdering.

Varför LanCologne?

Sedan starten har LanCologne främst ägnat sig åt professionell IT-forensik. Våra medarbetare har årtionden av erfarenhet inom informationsteknik och bistår företag, advokater, privatpersoner samt regelbundet även domstolar med teknisk utredning av komplexa digitala ärenden.

Undersökningen utförs uteslutande på en forensisk kopia eller en forensisk avbildning. Det ursprungliga bevismaterialet förblir oförändrat och förvaras på ett sätt som säkerställer bevisvärdet.

Våra tjänster

Vi analyserar innehållet, tidsstämplarna och eventuella ändringar i hosts-filen och utvärderar dessa tillsammans med andra Windows-artefakter. Samtliga steg i undersökningen dokumenteras på ett överskådligt sätt.

Typiska användningsområden

•Incidenthantering
•Undersökningar av skadlig programvara och nätfiske
•Analys av eventuella systemmanipulationer
•Rekonstruktion av nätverksaktiviteter
•Rättsliga utlåtanden
•Förfaranden enligt arbetsrätten

Så här går analysen till

Efter att en forensisk avbildning har skapats analyseras hosts-filen tillsammans med tillhörande systemartefakter. Därefter genomförs den övergripande tekniska utvärderingen.

Varför är Hosts-filen viktig?

Ändringar i hosts-filen kan påverka namnupplösningen. Huruvida en ändring är relevant framgår först efter en samlad utvärdering av alla tillgängliga digitala spår.

Vanliga frågor

Vilken information finns i Hosts-filen?+
Den innehåller lokala kopplingar mellan värdnamn och IP-adresser.
Är förändringar alltid misstänkta?+
Nej. Ändringar kan vara både berättigade och tekniskt påfallande och måste bedömas i sitt sammanhang.
Kommer det ursprungliga systemet att undersökas?+
Nej. Det är uteslutande en forensisk kopia eller en forensisk avbildning som analyseras.
Räcker det med enbart Hosts-filen för en utlåtande?+
Nej. Den analyseras alltid tillsammans med andra Windows-artefakter.

LanCologne – Windows-forensik i Köln

Behöver ni en professionell analys av Windows Hosts-filen eller andra Windows-artefakter? LanCologne hjälper er att säkerhetskopiera digitala bevis på ett sätt som håller i domstol samt att objektivt utvärdera komplexa Windows-system.

Kontakta oss nu