IT-forensik – Windows

Forensisk analys av Windows-minnesdump – Utvärdering av flyktiga data från arbetsminnet

Arbetsminnet (RAM) innehåller under drift en mängd flyktig information som går förlorad när systemet stängs av. Minnesdumpningar gör det möjligt att analysera minnets tillstånd vid tidpunkten för säkerhetskopieringen och kan ge ledtrådar om pågående processer, nätverksanslutningar, laddade drivrutiner eller skadlig programvara.

En sådan minnesavbildning kallas även för RAM-dump. Beroende på när säkerhetskopian togs kan den, förutom pågående processer och aktiva nätverksanslutningar, även innehålla dekrypterade data, laddade moduler och skadlig programvara.

Begär en icke-bindande offert

En professionell analys genomförs aldrig isolerat. Det är först genom att korrelera resultaten med artefakter i filsystemet, registerdata, händelseloggar, prefetch-filer och andra digitala spår som en tillförlitlig teknisk utvärdering blir möjlig.

Varför LanCologne?

Sedan starten har LanCologne främst ägnat sig åt professionell IT-forensik. Våra medarbetare har årtionden av erfarenhet inom informationsteknik och bistår företag, advokater, privatpersoner samt regelbundet även domstolar med teknisk utredning av komplexa digitala ärenden.

Undersökningen utförs uteslutande på en forensisk kopia eller en forensisk avbildning. Minneavbildningar säkerhetskopieras på ett bevissäkert sätt och alla steg i undersökningen dokumenteras på ett spårbart sätt. Det ursprungliga bevismaterialet förblir oförändrat och förvaras på ett bevissäkert sätt.

Våra tjänster

Analys av minnesavbildningar, undersökning av aktiva processer, nätverksanslutningar, DLL-filer, handtag, injicerad kod, indikatorer på skadlig programvara samt fullständig dokumentation av alla steg i undersökningen.

Typiska användningsområden

•Incidenthantering
•Undersökningar av skadlig programvara och rootkits
•Analys av pågående processer
•Rekonstruktion av flyktiga systemtillstånd
•Förfaranden enligt arbetsrätten
•Rättsliga utlåtanden

Så här går analysen till

Efter att arbetsminnet har säkerhetskopierats på ett bevisbart sätt analyseras de relevanta minnesstrukturerna och korreleras med ytterligare Windows-artefakter.

Varför är minnesdumpningar viktiga?

De kan innehålla information som inte längre är tillgänglig efter en omstart eller när systemet stängs av. Därför utgör de i många utredningar ett viktigt komplement till de beständiga artefakterna på datamedierna.

Vanliga frågor

Vilken information kan minnesdumpningar innehålla?+
Beroende på situationen kan det bland annat handla om pågående processer, nätverksanslutningar, lagringsobjekt och andra flyktiga data.
Är det alltid möjligt att göra en RAM-säkerhetskopia?+
Nej. Det förutsätter att systemet fortfarande är påslaget och att en säkerhetskopiering som uppfyller de kriminaltekniska kraven kan genomföras.
Används originalmediet?+
Nej. Det är endast en forensisk kopia eller en forensisk avbildning som analyseras; minnesavbildningar säkerhetskopieras separat.
Räcker det med minnesdumpningar för att utfärda ett utlåtande?+
Nej. De analyseras alltid tillsammans med andra Windows-artefakter.

LanCologne – Windows-forensik i Köln

Behöver ni en professionell analys av Windows-minnesdump eller andra Windows-artefakter? LanCologne hjälper er med att säkerhetskopiera digitala bevis på ett rättsligt godtagbart sätt samt med att objektivt utvärdera komplexa Windows-system.

Kontakta oss nu