[BjörnJ]

Tänk på att om du använder datorn minskar du chansen att hitta något som blivit raderat från hårddisken. Bäst att börja med att plocka ut hårddisken och koppla den till en annan dator och på den köra något lämpligt recoveryprogram.

Man skulle även kunna tänka sig att man börjar med att köra Ghost eller liknande och göra raw-kopia (byte för byte utan att bry sig om filsystem) av hela hårddisken, så har man en backup på exakt hur det såg ut.

Sedan kan man använda kopian till undersökningen, och inte röra originalet. Bättre att originalet är orört om det är så viktigt att man är beredd att betala många tusen för att ett recoveryföretag ska leta efter något på den. De kan eventuellt även hitta information som har blivit överskriven.

[klein]

Originally posted by Kricko@May 20 2009, 01:02
Hej,

Jag är otroligt tacksam om någon kan hjälpa mig i mitt lilla detektivarbete.
Det är så att jag behöver ta reda på om en person har kopierat eller öppnat filer på en filserver.
Jag har tillgång till både filservern och den misstänkta datorn som har använts.
Kan man via loggar eller något annat se om någon via sin dator har kopierat filer, från filservern till ett usb-minne eller till datorn.
Lagras filerna temporärt på datorn innan dom överförs till stickan osv?

All hjälp är verkligen guld värd!

Windows server 2003 och Xp är operativsystemen.

Det är nog svårt. Det man bör göra i alla såna här lägen, frys "läget" gör en image på hårddisken , finns ett kommando som hetter dd eller mjukvara som hetter ghostzilla.

Sedan kan man analysera imagen, om något har blivit raderat.

[Kricko]

Tackar så mycket för er hjälp!
Datorn har inte använts sedan filerna kan ha blivit kopierade. Så förhoppningsvis hittar jag kanske nån information.
Ska kolla igenom datorn efter helgen!