Складіть модель доведення факту викрадення документів через USB-накопичувач на основі 4 артефактів.

Question

Answer

Створити дамп пам’яті через Userdump, вилучити всі файли .edb та проаналізувати журнал подій Event ID 4688.

Answer

Зіставити записи у USBSTOR, ParentIdPrefix, MountedDevices та списки відкритих файлів у RecentDocs.

Answer

Проаналізувати лог-файли Skype у базі main.db, перевірити службовий процес svchost та вимкнути BitLocker.

Answer

Перевірити параметр ClearPageFileAtShutdown, виконати doskey /history, очистити kEш Teams та запустити promqry.

Crowdly