Ermittlung mit dem Windows-Search-Index: ein Fallbeispiel
Ein fiktiver Einbruch auf FIN-WKS-07, durchgehend mit dem Windows-Search-Index ausgewertet: Bereitstellung, gelöschte Zugangsdaten, USB- und Cloud-Exfiltration.
Beiträge mit Tag: #dfir
Windows.db-Forensik: SQLite, WAL und Gather-Datenbank
Windows-11-Suchindex-Forensik: wie Windows.db, Windows.db-wal und Windows-gather.db zusammenspielen, was das WAL verrät und wie man es nicht zerstört.
ESE-Datenbank-Forensik: Grundlagen für Ermittler
Wie eine ESE-Datenbank (JET Blue) wie Windows.edb aufgebaut ist: Header, Seiten, B+-Bäume, Katalog, Tagged Columns, Long Values und gelöschte Datensätze.
Die Eigenschaften des Windows-Search-Index erklärt
System.ItemPathDisplay, System.Search.GatherTime, System.Search.AutoSummary und die übrigen Windows-Search-Eigenschaften, die in einer Ermittlung zählen.
Windows-Search-Index-Forensik: der vollständige Leitfaden
Was der Windows-Search-Index speichert, wo Windows.edb und Windows.db liegen, was das Löschen einer Datei überdauert und wie man beide Formate auswertet.