Windows.edb-Parser im Vergleich: SIDR, ESEDatabaseView
Ein fairer Vergleich von Parsern für den Windows-Search-Index: SIDR, WinSearchDBAnalyzer, ESEDatabaseView, esedbexport, sqlite3 und dieser Browser-Parser.
Blog
Artikel, Leitfäden und Updates.
Anti-Forensik gegen den Windows-Search-Index
Wie der Windows-Search-Index deaktiviert, neu erstellt, komprimiert oder gelöscht wird, welche Spuren jede Aktion hinterlässt und was ein leerer Index heißt.
Ermittlung mit dem Windows-Search-Index: ein Fallbeispiel
Ein fiktiver Einbruch auf FIN-WKS-07, durchgehend mit dem Windows-Search-Index ausgewertet: Bereitstellung, gelöschte Zugangsdaten, USB- und Cloud-Exfiltration.
Windows.edb im Dirty Shutdown: mit esentutl reparieren
Warum eine gesicherte Windows.edb im Dirty Shutdown steht, wie man das mit esentutl /mh prüft und die MSS-Protokolle mit esentutl /r auf einer Kopie nachspielt.
Windows.db-Forensik: SQLite, WAL und Gather-Datenbank
Windows-11-Suchindex-Forensik: wie Windows.db, Windows.db-wal und Windows-gather.db zusammenspielen, was das WAL verrät und wie man es nicht zerstört.
ESE-Datenbank-Forensik: Grundlagen für Ermittler
Wie eine ESE-Datenbank (JET Blue) wie Windows.edb aufgebaut ist: Header, Seiten, B+-Bäume, Katalog, Tagged Columns, Long Values und gelöschte Datensätze.
Windows-Search-Index: Spuren gelöschter Dateien
Wie der Windows-Search-Index Pfade, Metadaten und Text gelöschter Dateien bewahrt, wo jede Spur in Windows.edb und Windows.db überlebt und wie man sie prüft.
Die Eigenschaften des Windows-Search-Index erklärt
System.ItemPathDisplay, System.Search.GatherTime, System.Search.AutoSummary und die übrigen Windows-Search-Eigenschaften, die in einer Ermittlung zählen.
Windows.edb und Windows.db öffnen: Schritt für Schritt
Schritt für Schritt: einen Windows-Search-Index (Windows.edb oder Windows.db) im Browser öffnen, Markierungen lesen, filtern und als CSV exportieren.