IT-forensik – Windows

Forensisk analys av Windows-filen swapfile.sys – Utvärdering av ytterligare minnesartefakter

Neben der pagefile.sys und der hiberfil.sys verwendet Windows auf modernen Systemen zusätzlich die Datei swapfile.sys. Sie dient insbesondere der Verwaltung bestimmter Speicherbereiche moderner Windows-Anwendungen und kann – abhängig von Systemzustand und Nutzung – weitere forensisch relevante Informationen enthalten.

Begär en icke-bindande offert

Im Rahmen einer professionellen IT-forensischen Untersuchung wird die swapfile.sys niemals isoliert betrachtet. Erst die gemeinsame Auswertung mit Arbeitsspeicherabbildern, pagefile.sys, hiberfil.sys, Registry-Daten und weiteren Windows-Artefakten ermöglicht eine fundierte technische Bewertung.

Varför LanCologne?

Sedan starten har LanCologne främst ägnat sig åt professionell IT-forensik. Våra medarbetare har flera decenniers erfarenhet inom informationsteknik och bistår företag, advokater, privatpersoner samt regelbundet även domstolar.

Undersökningen utförs uteslutande på en forensisk kopia eller en forensisk avbildning. Det ursprungliga bevismaterialet förblir oförändrat och förvaras på ett sätt som säkerställer bevisvärdet.

Våra tjänster

Analys av swapfile.sys, korrelation med andra minnesartefakter, rekonstruktion av tekniska samband samt fullständig dokumentation av alla undersökningssteg.

Typiska användningsområden

•Incidenthantering

•Undersökningar av skadlig programvara

•Rekonstruktion av användaraktiviteter

•Företagsforensik

•Förfaranden enligt arbetsrätten

•Rättsliga utlåtanden

Så här går analysen till

Efter att en forensisk avbildning har skapats identifieras filen swapfile.sys och analyseras tillsammans med andra minnes- och filsystemrelaterade artefakter.

Warum ist die swapfile.sys wichtig?

Den kan innehålla kompletterande information som inte finns, eller inte längre finns i sin helhet, i andra arkivföremål. Dess betydelse framgår dock först ur den samlade utvärderingen.