IT-forensik – Windows

Forensisk analys av Windows Prefetch-filer – identifiera tecken på programkörningar

Windows Prefetch-Dateien gehören zu den wichtigsten Artefakten einer Windows-forensischen Untersuchung. Sie werden vom Betriebssystem angelegt, um den Start häufig genutzter Programme zu beschleunigen. Gleichzeitig liefern sie wertvolle Informationen darüber, welche Anwendungen auf einem System ausgeführt wurden und wann diese zuletzt gestartet wurden.

Begär en icke-bindande offert

Im Rahmen einer professionellen IT-forensischen Untersuchung werden Prefetch-Dateien niemals isoliert betrachtet. Erst die gemeinsame Auswertung mit weiteren Artefakten wie der Windows Registry, den Event Logs, der Master File Table (MFT), dem USN Journal oder LNK-Dateien ermöglicht eine objektive Bewertung der vorhandenen digitalen Spuren.

Varför LanCologne?

Sedan starten har LanCologne främst ägnat sig åt professionell IT-forensik. Våra medarbetare har årtionden av erfarenhet inom informationsteknik och bistår företag, advokater, privatpersoner samt regelbundet även domstolar med teknisk utredning av komplexa digitala ärenden.

Analysen utförs i princip uteslutande på en forensisk kopia eller en forensisk avbildning. Det ursprungliga bevismaterialet förblir oförändrat och förvaras på ett sätt som säkerställer bevisvärdet.

Våra tjänster

Vi analyserar Windows-prefetch-filer, rekonstruerar programkörningar, utvärderar tidsuppgifter och korrelerar resultaten med andra Windows-artefakter. Målet är en spårbar teknisk rekonstruktion av relevanta användar- och systemaktiviteter.

Typiska användningsområden

•Bevis på genomförda program
•Undersökning av eventuell skadlig programvara
•Rekonstruktion av användaraktiviteter
•Incidenthantering
•Anklagelser om manipulation
•Förfaranden enligt arbetsrätten
•Rättsliga utlåtanden

So läuft eine Prefetch-forensische Untersuchung ab

Efter att en forensisk avbildning har skapats analyseras befintliga prefetch-filer och jämförs med andra artefakter. Resultaten ordnas kronologiskt och placeras i utredningens övergripande sammanhang. Samtliga steg i utredningen dokumenteras fullständigt.

Warum sind Prefetch-Dateien so wichtig?

Prefetch-filer ger ofta värdefull information om huruvida och när program har körts på ett Windows-system. Deras informativitet framgår dock först genom en samlad utvärdering av alla relevanta artefakter. Enskilda prefetch-poster får därför inte utvärderas isolerat.

Vanliga frågor

Was sind Windows-Prefetch-Dateien?+
Vom Betriebssystem erzeugte Dateien, die Informationen über Programmausführungen enthalten.
Kommer det ursprungliga systemet att undersökas?+
Nein. Die Untersuchung erfolgt ausschließlich auf einer forensischen Kopie beziehungsweise einem forensischen Abbild.
Können Prefetch-Dateien fehlen?+
Ja. Je nach Windows-Version, Systemeinstellungen oder Nutzung können Prefetch-Dateien fehlen oder nur eingeschränkt vorhanden sein.
Reichen Prefetch-Dateien für ein Gutachten aus?+
Nej. De analyseras alltid tillsammans med andra Windows-artefakter.

LanCologne – Windows-forensik i Köln

Behöver ni en professionell analys av Windows-prefetch-filer eller andra Windows-artefakter? LanCologne hjälper er med att säkerhetskopiera digitala bevis på ett sätt som håller i domstol samt med att objektivt utvärdera komplexa Windows-system.

Kontakta oss nu