Windows at kiber krimanistika Forensic(Kompyuter kriminalistikasi)si sub'ektlari quyidagilardir

1) ma’lumot yig'ish;
2) yig’ilgan ma’lumot tadqiqot;
3) yig’ilgan ma’lumot tahlil qilish;
4) taqdimot.
Birinchi bosqichda axborotning o'zi ham, kompyuter axborot tashuvchilari ham yig'iladi. To'plam ma'lumotlar va ob'ektlarning manbalari va kelib chiqishini ko'rsatuvchi atribut (teglash) bilan birga bo'lishi kerak. To'plash jarayoni ma'lumotlarning xavfsizligi va yaxlitligini (o'zgarmasligini), ayrim hollarda esa uning maxfiyligini ta'minlashi kerak. Yig'ishda ba'zan qisqa muddatli (o'zgaruvchan) ma'lumotlarni tuzatish uchun maxsus choralar ko'rish kerak bo'ladi, masalan, joriy tarmoq ulanishlari yoki kompyuterning operativ xotirasi tarkibi.
Ikkinchi bosqichda to'plangan ma'lumotlar (tashuvchi ob'ektlar) bo'yicha ekspert tekshiruvi o'tkaziladi. U ommaviy axborot vositalaridan ma'lumot olish / o'qish, dekodlash va undan tegishli narsalarni chiqarishni o'z ichiga oladi. Ba'zi tadqiqotlar turli darajada avtomatlashtirilishi mumkin. Ammo mutaxassis bu bosqichda hali ham boshi va qo'llari bilan ishlashi kerak. Bunda tekshirilayotgan ommaviy axborot vositalaridan olingan ma’lumotlarning yaxlitligi ham ta’minlanishi kerak.
Uchinchi bosqichda ekspert yoki mutaxassisga berilgan savollarga javob olish uchun tanlangan ma’lumotlar tahlil qilinadi. Tahlil faqat ishonchliligi tasdiqlangan ilmiy usullardan foydalanishi kerak.
To'rtinchi bosqich tadqiqot va tahlil natijalarini qonun hujjatlarida belgilangan va mutaxassis bo'lmaganlar uchun tushunarli shaklda ro'yxatdan o'tkazishni o'z ichiga oladi.
Kompyuter kriminalistikasi asosiy vositalari
1) AccessDataForensicToolkit - kompyuter kriminalistikasini o'tkazish, xotira qoldig'ini tahlil qilish uchun dasturiy ta'minot, kuchli qidiruv vositasidan foydalanadi, ma'lumotlarni arxivlaydi va sud ekspertizasi doirasida kompyuterni to'liq o'rganishni amalga oshiradi;
2) BrowserForensicTool - turli brauzerlardan foydalanuvchi harakatlari haqida ma'lumot olish vositasi;
3) TheSleuthKit (TSK) - ixtiyoriy fayl tizimlaridagi ma'lumotlarni tahlil qilish uchun mo'ljallangan konsol dasturlari kutubxonasi. Ushbu dasturiy ta'minotdan foydalanib, tergovchilar tergov paytida olingan tasvirlardan yoki jonli tizimlardan o'chirilgan ma'lumotlarni aniqlashlari va tiklashlari mumkin;
4) EncryptedDiskDetector - asosiy yuklash maydonida disk shifrlash imzosi / imzosi yordamida mahalliy kompyuterda yashirin shifrlangan TrueCrypt, PGP va Bitlocker hajmlarini topishga yordam beradigan dastur.
https://belkasoft.com
http://sleuthkit.org
https://accessdata.com
https://www.magnetforensics.com
https://www.cellebrite.com
Tools for Windows OS forensics : https://www.osforensics.com/
RAM capture – Memory forensics framework : https://www.volatilityfoundation.org/