DIGITAL FORENSICS:How to analyze WebCacheV01.dat

When you visit any website, a web browser writes internet history. In Internet Explorer 10 or 11, you can find the history logs stored in WebCacheV01.dat file. This file is an ESE database, also known as the Jet Blue engine. This file is located under

 C:\Users\USERNAME\AppData\Local\Microsoft\Windows\WebCache. WebCacheV01.dat

Export >  WebCacheV01.dat 

• Local file access may still be tracked within browser history; this is specifically the case when a browser is used to view a local copy of a PDF, SVG, etc.
• Note that local file access will also appear within %LocalAppData%\Microsoft\ Windows\WebCache\WebCacheV01.dat; look for entries like file:///X:/path/to/file, where “X” is the drive letter on which the file was accessed

Open Osforensics  > ESEDB Viewer

ESEDB viewer to view and analyze the contents of ESE DB (.edb) database files, a common storage format used by various Microsoft applications

These files can be examined manually, for example, with a hex viewer, or can be parsed automatically with Digital Forensic tools. Here is the WebCacheV01.dat file parsed with ESEDB viewer:

URL 

Access Time

Port 

อ้างอิง  BrowsingHistoryView

            Extracting internet history

            Forensic analysis of the ESE database in Internet Explorer

หมายเหตุ:เนื้อหาในเว็บไซต์นี้มีขึ้นเพื่อวัตถุประสงค์ในการให้ข้อมูลและเพื่อการศึกษาเท่านั้น

* หากมีข้อมูลข้อผิดพลาดประการใด ขออภัยมา ณ ที่นี้ด้วย  รบกวนแจ้ง Admin เพื่อแก้ไขต่อไป
ขอบคุณครับ

#WindowsForensic #ComputerForensics #dfir #forensics #digitalforensics #computerforensic #investigation #cybercrime #fraud #MagnetForensic

Digital Forensic Data Acquisition Course 

       วันนี้แอดจะมาแนะนำ Course  หลักสูตรเก็บรวบรวมพยานหลักฐานดิจิทัลภาคปฎิบัติ  สำหรับช่างเทคนิคทางนิติวิทยาศาสตร์ดิจิทัลที่ต้องการเรียนรู้ วิธีการได้มาซึ่งข้อมูลทางนิติวิทยาศาสตร์ดิจิทัล และหลักการจัดการและการเก็บรักษาหลักฐานดิจิทัล และสามารถนำไปทำงานได้จริง

เป็นการรวบรวมและกู้คืนข้อมูล ในระหว่างการสืบสวนทางนิติวิทยาศาสตร์ดิจิทัลเรียกว่าการได้มาซึ่งข้อมูล อาชญากรรมทางไซเบอร์มักเกี่ยวข้องกับการแฮ็กหรือความเสียหายของข้อมูล นักวิเคราะห์ทางนิติวิทยาศาสตร์ดิจิทัลจำเป็นต้องรู้วิธีเข้าถึง และกู้คืนข้อมูลนั้น ตลอดจนวิธีปกป้องข้อมูลเพื่อการจัดการในอนาคต สิ่งนี้เกี่ยวข้องกับ(forensics Image)การสร้างภาพทางนิติวิทยาศาสตร์จากอุปกรณ์ดิจิทัลและเทคโนโลยีคอมพิวเตอร์อื่นๆ

ผู้ตรวจสอบคอมพิวเตอร์จะต้องได้รับการฝึกอบรมเกี่ยวกับวิธีการได้มาซึ่งข้อมูล (Data Acquisition) เนื่องจากสถานการณ์ที่แตกต่างกันอาจต้องใช้เทคนิคที่แตกต่างกัน ผู้ตรวจสอบทางนิติวิทยาศาสตร์ดิจิทัลจำเป็นต้องทราบวิธีการได้มาซึ่งข้อมูลประเภทต่างๆ และควรรู้ว่าเมื่อใดควรเลือกใช้วิธีใดวิธีหนึ่ง เหนือสิ่งอื่นใด พวกเขาต้องแน่ใจว่าวิธีการที่เลือกไม่ทำให้หลักฐานที่เป็นปัญหาเสียหาย ท่านสามารถเรียนรู้ได้จากหลักสูตรนี้

การพิสูจน์หลักฐานดิจิทัลจะใช้ในการกู้คืนและตรวจสอบหลักฐานดิจิทัลที่จะใช้ในศาลสำหรับคดีอาชญากรรม รวมถึงการฉ้อโกง การจารกรรม การสะกดรอยตามทางไซเบอร์ การโจรกรรมข้อมูล หรืออาชญากรรมรุนแรง หลักฐานทางนิติวิทยาศาสตร์ดิจิทัลถือเป็นมาตรฐานเดียวกับหลักฐานทางกายภาพ ซึ่งหมายความว่าจะต้องเป็นของจริง ยอมรับได้ และได้มาอย่างน่าเชื่อถือ สิ่งสำคัญคือผู้เชี่ยวชาญด้านการพิสูจน์หลักฐานดิจิทัลต้องเข้าใจความท้าทายด้านเทคนิค กฎหมาย และการบริหารที่ต้องเผชิญกับการพิสูจน์หลักฐานของข้อมูล เพื่อปกป้องข้อมูลที่รวบรวมได้ก่อนที่จะถูกส่งไปวิเคราะห์เพื่อให้แน่ใจว่าหลักฐานจะอยู่ในชั้นศาล

หลักสูตรนี้เหมาะกับใคร

ผู้เชี่ยวชาญทางไซเบอร์ ,เจ้าหน้าที่จัดเก็บหลักฐานทางดิจิทัล ,ช่างเทคนิคไอที ที่มีความรุ้เบื่้องต้นเกี่ยวกับแนวคิดทางนิติวิทยาศาสตร์ดิจิทัล ทุกคนที่อยากเริ่มต้นสายอาชีพ Digital forensics ,Incident Response

Course content

• Identification & Seizure of Digital Equipment
• Evidence Handling & Chain of Custody
• Identifying Electronic Sources of Evidence
• Seizure of Electronic Devices
• Forensic Acquisitions
• Source Integrity
• Forensic Image
• Forensic Clone
• FTK Imager
• Hash Values(Digital fingerprint)
• Advance Acquisitions Techniques
• Acquisition of Network Share
• Remote Network Acquisition Tools
• Processing Data Centers with RAID Systems
• Dealing with Live Systems
• Capturing RAM Memory
• How to Create a USB Bootable Drive

Mobile Forensic Acquisitions Tools

Photo by: Orionforensics 

Forensic Acquisitions

Photo by: Orionforensics 

Photo by: Orionforensics 

 

* ผู้ปฎิบัติงานในสถานที่เกิดเหตุ ควรผ่านการฝึกอบรม และมีความรู้ เพื่อประโยชน์ในการเก็บรวบรวมหรือสำเนาพยานหลักฐานให้ถูกต้องครบถ้วน

อ่านเพิ่มเติม: 

• Seized Forensic data collection
• การถ่ายภาพในที่เกิดเหตุ 
• การปฎิบัติงานในสถานที่เกิดเหตุ 
• การตรวจค้นและยึดพยานหลักฐานดิจิทัล 
• การตรวจยึดพยานหลักฐานทางคอมพิวเตอร์
• วิธียึดคอมพิวเตอร์
• วิธีการปฏิบัติต่อของกลางประเภทอุปกรณ์คอมพิวเตอร์ และอุปกรณ์อิเลคทรอนิกส์ เพื่อนำส่งตรวจพิสูจน์

ความเข้าใจเกี่ยวกับ ห่วงโซ่การคุ้มครอง-พยานหลักฐาน (chain of custody) รายงานทางนิติวิทยาศาสตร์

อ้างอิง:   Digital Forensic Data Acquisition Course 

หมายเหตุ:เนื้อหาในเว็บไซต์นี้มีขึ้นเพื่อวัตถุประสงค์ในการให้ข้อมูลและเพื่อการศึกษาเท่านั้น

* หากมีข้อมูลข้อผิดพลาดประการใด ขออภัยมา ณ ที่นี้ด้วย  รบกวนแจ้ง Admin เพื่อแก้ไขต่อไป
ขอบคุณครับ

#WindowsForensic #ComputerForensics #dfir #forensics #digitalforensics #computerforensic #investigation #cybercrime #fraud #MagnetForensic