IT-forensik – Windows

Forensisk analys av Windows Defender Application Control (WDAC) – förstå applikationsriktlinjerna

Windows Defender Application Control (WDAC) gör det möjligt att kontrollera vilka program som får köras på ett Windows-system. Riktlinjer, händelseloggar och andra data kan ge information om blockerade eller godkända program samt säkerhetsrelaterade konfigurationsändringar.

Begär en icke-bindande offert

Inom ramen för en professionell IT-forensisk utredning utvärderas WDAC-artefakter aldrig isolerat. Först genom att korrelera dem med händelseloggar, registerdata, filsystemartefakter, Microsoft Defender och andra digitala spår blir det möjligt att göra en tillförlitlig teknisk utvärdering.

Varför LanCologne?

Sedan starten har LanCologne främst ägnat sig åt professionell IT-forensik. Våra medarbetare har flera decenniers erfarenhet inom informationsteknik och bistår företag, advokater, privatpersoner samt regelbundet även domstolar.

Undersökningen utförs uteslutande på en forensisk kopia eller en forensisk avbildning. Det ursprungliga bevismaterialet förblir oförändrat och förvaras på ett sätt som säkerställer bevisvärdet.

Våra tjänster

Analys av WDAC-riktlinjer, utvärdering av relevanta händelseloggar, korrelation med ytterligare Windows-data samt fullständig dokumentation av alla steg i undersökningen.

Typiska användningsområden

•Incidenthantering
•Undersökningar av skadlig programvara
•Analys av säkerhetsriktlinjer
•Företagsforensik
•Compliance-granskningar
•Rättsliga utlåtanden

Så här går analysen till

Efter att en forensisk avbildning har skapats identifieras och utvärderas WDAC-relaterade artefakter, och dessa klassificeras tekniskt tillsammans med övriga digitala spår.

Varför är WDAC-artefakter viktiga?

De gör det möjligt att redogöra för vilka program som har körts eller blockerats i enlighet med gällande riktlinjer och underlättar rekonstruktionen av säkerhetsrelaterade händelser.

Vanliga frågor

Vilka uppgifter granskas?+
Bland annat riktlinjer, händelseprotokoll och konfigurationsinformation.
Går det att upptäcka blockerade program?+
Beroende på vilka protokoll och artefakter som finns kan det finnas motsvarande uppgifter.
Kommer det ursprungliga systemet att undersökas?+
Nej. Det är uteslutande en forensisk kopia eller en forensisk avbildning som analyseras.
Räcker det med WDAC-artefakter i sig?+
Nej. De bedöms alltid tillsammans med andra digitala spår.

LanCologne – Windows-forensik i Köln

LanCologne hjälper er med en rättsligt hållbar analys av Windows Defender Application Control och en objektiv rekonstruktion av säkerhetsrelevanta systemhändelser.

Kontakta oss nu