Fortgeschrittene forensische Informatik - Exam

Aufgabe 1)

Stelle Dir vor, Du wirst angeheuert, um eine forensische Untersuchung auf einem Unternehmensserver durchzuführen. Der Server ist bereits heruntergefahren, und Dein Ziel ist es, eine bitgenaue Kopie des Datenträgers zu erstellen, um die Daten zu analysieren, ohne deren Integrität zu beeinträchtigen.

a)

Beschreibe die Methoden und Schritte, die Du bei der Durchführung einer Dead-Akquise anwenden würdest. Stelle sicher, dass Du auch die Rolle von Schreibblockern in diesem Prozess erklärst und warum sie essentiell sind.

Lösung:

Methoden und Schritte zur Durchführung einer Dead-Akquise Eine Dead-Akquise bezieht sich auf die Erfassung und Analyse digitaler Daten von einer ausgeschalteten Maschine. Hier sind die Schritte und Methoden, die Du anwenden solltest:

• Vorbereitung
  • Erstelle eine Checkliste mit allen notwendigen Werkzeugen und Geräten.
  • Stelle sicher, dass Du rechtlich befugt bist, die forensische Untersuchung durchzuführen.
  • Bringe alle notwendigen Dokumente und Genehmigungen mit.
• Hardware-Verbindung
  • Verbinde einen Schreibblocker zwischen den Datenträger (Evidenz-Datenträger) und Dein forensisches Analysegerät. Schreibblocker sind essentiell, da sie verhindern, dass Daten auf dem Datenträger verändert werden, was die Integrität der Beweise schützt.
  • Überprüfe, ob der Schreibblocker korrekt funktioniert.
• Erstellung der bitgenauen Kopie
  • Verwende spezialisierte Software (z.B. FTK Imager, EnCase, dd), um eine bitgenaue Kopie des Datenträgers zu erstellen. Eine bitgenaue Kopie bedeutet, dass jede einzelne Informationseinheit (Bit) exakt dupliziert wird.
  • Stelle sicher, dass während des Kopiervorgangs keine Daten geschrieben oder verändert werden.
• Hash-Wert Berechnung
  • Berechne den Hash-Wert (z.B. mittels MD5 oder SHA-256) des Originaldatenträgers und der erstellten Kopie. Dies dient zur Überprüfung der Integrität der kopierten Daten.
  • Dokumentiere und verifiziere die Hash-Werte um zu bestätigen, dass die Kopie exakt dem Original entspricht.
• Dokumentation
  • Notiere alle Schritte und verwendeten Werkzeuge sorgfältig in einem forensischen Untersuchungsbericht.
  • Dokumentiere auch alle Hash-Werte und andere relevante Informationen.
  • Stelle sicher, dass alle Daten sicher und vertraulich behandelt werden.
  • Sorge für eine Kette von Beweismitteln, um sicherzustellen, dass die Beweise später vor Gericht anerkannt werden können.

Durch diese sorgfältigen und durchdachten Schritte stellst Du sicher, dass die Datenerfassung und -analyse ohne Beeinträchtigung der Datenintegrität durchgeführt wird.

b)

Angenommen, Du hast nun eine bitgenaue Kopie des Datenträgers erstellt. Wie würdest Du mithilfe von Hashing-Algorithmen (wie MD5 oder SHA-1) die Integrität der erstellten Kopie verifizieren? Zeige die Formel zur Berechnung eines Hashwertes und erkläre den Prozess.

Lösung:

Verifizierung der Integrität der erstellten Kopie mittels Hashing-Algorithmen Nachdem Du eine bitgenaue Kopie des Datenträgers erstellt hast, ist der nächste Schritt die Verifizierung der Integrität dieser Kopie. Dies geschieht durch den Einsatz von Hashing-Algorithmen wie MD5 oder SHA-1. Hier ist, wie Du den Prozess angehen würdest:

• Berechnung des Hashwertes des Originaldatenträgers Bevor du eine Kopie anfertigst, berechnest du den Hashwert des Originaldatenträgers. Dies kann wie folgt ausgeführt werden:

   md5sum /pfad/zum/originaldatenträger 

  Dabei wird der Hashwert des ursprünglichen Datenträgers erzeugt, den Du später mit der Kopie vergleichen wirst.
• Berechnung des Hashwertes der erstellten Kopie Nach der Erstellung der bitgenauen Kopie berechnest Du den Hashwert der Kopie mithilfe desselben Algorithmus, den Du für den Originaldatenträger verwendet hast:

   md5sum /pfad/zur/datenträgerkopie 

• Vergleich der Hashwerte Nach der Berechnung der Hashwerte des Originaldatenträgers und der Kopie vergleichst Du die beiden Hashwerte. Wenn die Hashwerte identisch sind, bedeutet dies, dass die Kopie exakt dem Original entspricht und somit die Integrität der Kopie gewährleistet ist.

Formel zur Berechnung eines Hashwertes Bei der Anwendung eines Hashing-Algorithmus wie MD5 oder SHA-1 wird eine mathematische Funktion verwendet, die eine Eingabedatei oder -nachricht in eine Zeichenfolge einer festen Länge umwandelt. Zum Beispiel, um die Berechnung eines SHA-1 Hashwertes zu veranschaulichen, wird folgende Formel verwendet: = Anzahl der Blöcke m = Nachricht H0, H1, ..., Hn-1 = Initiale Hash-Werte. Der Hash-Wert wird durch die kollaborative Berechnung der initialen Hash-Werte mit allen Blöcken der Nachricht mittels der SHA-1 Standardoperationen berechnet

• SHA-1 Hashfunktion: Nach der Initialisierung von H0 und m0, wird die SHA-1 Hashfunktion durch n Pseudo Hash Prozesse berechnet, um Hn
  • Initial: H0 = SHA-1(m0)
  • Pseudo Hash: H(i-1) + SHA-1(m(i) + H(i-1)) für i = 1, ..., n
  • Resultat: Hn
  Zum Abschluss wird der finale 160-bit Hash-Wert Hn als SHA-1 Hashwert veröffentlichtZusammengefasst umfasst der Prozess:
  • Initiale Berechnung des Hashwertes des Originaldatenträgers
  • Erstellung einer bitgenauen Kopie
  • Berechnung des Hashwertes der Datenträgerkopie
  • Vergleich der beiden Hashwerte zur Sicherstellung der Datenintegrität
  Indem Du diese Schritte befolgst, stellst Du sicher, dass die Kopie die gleiche Datenintegrität wie der Originaldatenträger besitzt.

  c)

  Erläutere die Vor- und Nachteile von Deines gewählten Tools zur Image-Erstellung (z.B. FTK Imager, EnCase oder dd) und warum es sich für Deine forensische Untersuchung besonders eignet. Stelle eine begründete Wahl zwischen zwei der genannten Tools dar.

  Lösung:

  Vor- und Nachteile von FTK Imager und dd zur Image-Erstellung In der forensischen Untersuchung eines Unternehmensservers sind FTK Imager und dd zwei der gängigsten Tools zur Erstellung einer bitgenauen Kopie des Datenträgers. Nachfolgend werden die Vor- und Nachteile beider Tools erläutert und eine begründete Wahl dargestellt:

  • FTK Imager
    • Vorteile:
      • Intuitive Benutzeroberfläche: FTK Imager bietet eine benutzerfreundliche grafische Oberfläche, die es auch weniger erfahrenen Anwendern ermöglicht, forensische Images zu erstellen.
      • Unterstützung mehrerer Dateiformate: Es kann Images in verschiedenen Formaten wie E01, AFF und DD erstellen, was Flexibilität bietet.
      • Vorschau-Funktion: FTK Imager ermöglicht eine Dateivorschau, bevor das Image erstellt wird, was hilfreich sein kann, um relevante Daten schnell zu identifizieren.
      • Zusätzliche Werkzeuge: Bietet integrierte Funktionen wie die Berechnung von Hashwerten und das Erstellen von Berichten.
    • Nachteile:
      • Ressourcenintensiv: Benötigt mehr Rechenressourcen und kann auf Systemen mit geringer Leistung langsamer arbeiten.
      • Kompatibilität: Läuft primär auf Windows-Systemen, was die Nutzung auf anderen Plattformen einschränkt.
  • dd
    • Vorteile:
      • Kommandozeilenbasiert: Sehr leistungsfähig und flexibel für Benutzer, die mit der Kommandozeile vertraut sind.
      • Plattformunabhängig: Läuft auf fast allen Unix-basierten Systemen, einschließlich Linux und macOS.
      • Minimale Ressourcenanforderungen: Benötigt kaum Systemressourcen und funktioniert gut auf älteren oder weniger leistungsfähigen Systemen.
      • Integration: Kann leicht in Skripte und automatisierte Prozesse integriert werden.
    • Nachteile:
      • Fehlende Benutzerfreundlichkeit: Hat keine grafische Benutzeroberfläche, was die Nutzung für unerfahrene Benutzer erschwert.
      • Keine direkten Vorschau-Funktionen: Bietet keine Möglichkeit zur Dateivorschau vor der Image-Erstellung.
      • Manueller Aufwand: Erfordert genaue Kenntnisse der Kommandozeilenoptionen und kann anfällig für Benutzerfehler sein.
  Begründete Wahl zwischen FTK Imager und dd Für die forensische Untersuchung eines Unternehmensservers würde ich FTK Imager wählen. Hier ist der Grund:
  • Die grafische Benutzeroberfläche von FTK Imager macht es einfacher, die Genauigkeit des Prozesses zu gewährleisten, insbesondere in stressigen oder zeitkritischen Situationen.
  • Die Möglichkeit, eine Vorschau der Daten anzuzeigen, bevor das Image erstellt wird, kann helfen, relevante Informationen schneller zu identifizieren und somit den gesamten Untersuchungsprozess zu beschleunigen.
  • FTK Imager bietet integrierte Funktionen wie die Berechnung von Hashwerten und die Erstellung detaillierter Berichte, was die Dokumentation und Verifizierung der Datenintegrität erleichtert.
  Obgleich dd leistungsfähig und flexibel ist, erfordert es ein höheres Maß an Fachwissen und ist anfälliger für Benutzerfehler, was insbesondere für weniger erfahrene Techniker problematisch sein kann. Daher ist FTK Imager für diese spezifische forensische Untersuchung die bessere Wahl.

  d)

  Stelle Dir vor, während der Analyse entdeckst Du, dass wichtige Informationen nur im Arbeitsspeicher (RAM) des Servers vorhanden waren und durch das Herunterfahren verloren gingen. Welche Methoden oder Tools würdest Du als alternativen Ansatz in Betracht ziehen, um in zukünftigen Fällen sicherzustellen, dass solche Daten nicht verloren gehen? Erkläre den Unterschied zwischen Live-Akquise und Dead-Akquise in diesem Zusammenhang.

  Lösung:

  Methoden und Tools zur Sicherstellung, dass Arbeitsspeicher-Daten (RAM) nicht verloren gehen Wenn während der Analyse festgestellt wird, dass wichtige Informationen nur im Arbeitsspeicher (RAM) des Servers vorhanden waren und durch das Herunterfahren verloren gingen, ist es notwendig, in der Zukunft alternative Ansätze zu nutzen, um solche Daten zu sichern. Hierbei spielt der Unterschied zwischen Live-Akquise und Dead-Akquise eine entscheidende Rolle.

  • Live-Akquise vs. Dead-Akquise
    • Live-Akquise: Bei der Live-Akquise wird der Server im laufenden Betrieb untersucht. Diese Methode erlaubt es, den flüchtigen Speicher (RAM) zu erfassen, der wichtige Informationen wie aktive Prozesse, Netzwerkverbindungen, geöffnete Dateien und vieles mehr enthalten kann.
      • Einsatz von Tools wie:
        • Volatility: Eine weit verbreitete RAM-Analyse-Software, die zahlreiche Plugins für die Analyse von Speicherbildern bietet.
        • FTK Imager: Auch für die RAM-Akquise verfügbar und ermöglicht das Erfassen von Speicherinhalten im laufenden Betrieb.
        • DumpIt: Ein einfach zu bedienendes Tool zum Erstellen von Speicherabbildern unter Windows.
    • Vorteile: Erfassung flüchtiger Daten, die nach einem Neustart oder Herunterfahren verloren gehen. Ermöglicht die detaillierte Analyse des aktuellen Zustands eines Systems.
    • Nachteile: Erhöhtes Risiko, dass durch laufende Prozesse Daten verändert oder verloren gehen. Kann schwieriger sein, die Originalität und Integrität der Daten zu gewährleisten.
  • Dead-Akquise: Bei der Dead-Akquise wird der Server im ausgeschalteten Zustand untersucht. Diese Methode ist sicherer hinsichtlich der Integrität von dauerhaft gespeicherten Daten (z.B. auf Festplatten), erfasst jedoch keine flüchtigen Daten wie den Inhalt des RAM.
    • Vorteile: Keine laufenden Prozesse, die Daten verändern könnten, höhere Beweissicherheit hinsichtlich der Unveränderlichkeit der Daten.
    • Nachteile: Verlust flüchtiger Daten, die nur im Arbeitsspeicher existieren.
• Empfohlener alternativer Ansatz: Um sicherzustellen, dass Daten aus dem Arbeitsspeicher nicht verloren gehen, sollte eine kombinierte Methode eingesetzt werden, die beide Akquisetypen berücksichtigt:
  • Stoppen neuer Veränderungen: Sobald der Verdacht auf einer forensischen Untersuchung besteht, sollte der Zugang zum System eingeschränkt werden, um Änderungen so gering wie möglich zu halten.
  • Erfassung des flüchtigen Speichers: Nutze ein geeignetes Tool zur Live-Akquise, wie z.B. Volatility oder FTK Imager, um den Arbeitsspeicher (RAM) abzubilden.

   volatility -f memory_dump.raw --profile=Win7SP1x64 pslist 

• Abschalten des Systems für eine Dead-Akquise: Nach der Sicherung des RAM kann das System heruntergefahren und eine traditionelle Dead-Akquise der Festplatten durchgeführt werden.
• Dokumentation der Schritte: Dokumentiere alle durchgeführten Schritte und die verwendete Software, um die Integrität und Nachvollziehbarkeit der Daten zu gewährleisten.

Indem Du sowohl die Live-Akquise als auch die Dead-Akquise nutzt, erhöhst Du die Chancen, alle relevanten Daten, einschließlich flüchtiger RAM-Informationen, sicherzustellen.

Aufgabe 2)

Angenommen, ein IT-Forensiker untersucht einen Laptop, der möglicherweise in einer Straftat verwendet wurde. Auf dem Laptop befinden sich mehrere verdächtige Dateien, darunter Textdokumente, Bilder und verschlüsselte Archive. Der IT-Forensiker muss die digitalen Beweise verifizieren und validieren, um deren Integrität und Eignung sicherzustellen. Dabei nutzt er verschiedene forensische Tools und Protokolle.

a)

Beschreibe den Prozess der Verifizierung von digitalen Beweisen unter Verwendung kryptografischer Hashes. Nutze dabei ein Beispiel, bei dem die Datei \texttt{example.txt} auf ihre Integrität überprüft wird. Zeige den Ablauf vom Erstellen bis zum Vergleich des Hashes mit mindestens einer Befehlszeilen-Anweisung (z.B. unter Verwendung von \texttt{sha256sum}) und erkläre die Bedeutung der einzelnen Schritte.

Lösung:

Die Verifizierung von digitalen Beweisen unter Verwendung kryptografischer Hashes ist ein wesentlicher Prozess in der IT-Forensik, um die Integrität der Daten sicherzustellen. Hier ist ein detaillierter Ablauf, wie dieser Prozess durchgeführt wird, insbesondere am Beispiel der Datei example.txt:

• Erstellen des Hash-Werts der Originaldatei: Der erste Schritt besteht darin, einen Hash-Wert der Datei example.txt zu erstellen. Ein kryptografischer Hash ist eine Einwegfunktion, die eine Datei in einen einzigartigen, fixierten Hash-Wert (z.B. eine Hexadezimalzahl) umwandelt. Dies kann mittels des Befehls

   sha256sum example.txt 

  erfolgen. Der Befehl erzeugt dann einen Hash-Wert für die Datei. Bedeutung: Dieser Wert dient als digitaler Fingerabdruck für die Datei und bleibt unverändert, solange der Dateiinhalte nicht verändert wird.
• Speichern des Hash-Werts: Nachdem der Hash-Wert erzeugt wurde, wird dieser sicher gespeichert. Er dient als Referenz, um die Integrität der Datei zu einem späteren Zeitpunkt zu überprüfen.
• Überprüfen der Datei-Integrität: Angenommen, die Datei example.txt wird zu einem späteren Zeitpunkt erneut überprüft, um festzustellen, ob sie unverändert blieb. Dafür wird wieder der Befehl

   sha256sum example.txt 

  ausgeführt. Der neu generierte Hash-Wert wird dann mit dem ursprünglich gespeicherten Hash-Wert verglichen. Bedeutung: Ein unveränderter Hash-Wert zeigt an, dass der Dateiinhalte seit ihrer ursprünglichen Überprüfung nicht verändert wurde. Ein unterschiedlicher Wert hingegen weist darauf hin, dass die Datei geändert wurde.

Zusammenfassend zeigt dieser Prozess, wie kryptografische Hashes die Integrität von digitalen Beweisen sicherstellen, indem sie als unveränderliche Fingerabdrücke der Dateien fungieren und somit eine einfache Möglichkeit zur Verifizierung bieten.

b)

Diskutiere die Bedeutung der Beweisvalidierung im Kontext der forensischen Informatik. Erläutere, welche Faktoren bei der Validierung von digitalen Beweisen berücksichtigt werden müssen und gib konkrete Beispiele dazu. Achte sowohl auf inhaltliche als auch auf rechtliche Gesichtspunkte.

Lösung:

Die Validierung von digitalen Beweisen ist ein zentraler Schritt in der forensischen Informatik, da sie sicherstellt, dass die gesammelten Beweismittel verlässlich und vor Gericht zulässig sind. Die Validierung umfasst mehrere Aspekte, die sowohl inhaltliche als auch rechtliche Gesichtspunkte berücksichtigen.

• Integrität der Beweise: Der wichtigste Faktor ist die Integrität der Beweise. Dies bedeutet, dass die digitalen Daten seit ihrer Erhebung nicht verändert wurden. Dies wird üblicherweise durch kryptografische Hashes erreicht, wie im vorherigen Beispiel erläutert. Die Verwendung von Hash-Werten gewährleistet, dass jede Änderung an den Daten sofort erkannt wird.
• Authentizität: Die Beweise müssen auch authentisch sein, was bedeutet, dass ihre Quelle eindeutig und vertrauenswürdig ist. Ein IT-Forensiker muss sicherstellen, dass die Daten genau so stammen, wie er sie präsentiert. Dies erfordert oft die Dokumentation der gesamten Beweismittelkette (Chain of Custody), die die Handhabung der Beweise vom Zeitpunkt der Sammlung bis zur Präsentation im Gericht detailliert beschreibt.
• Reproduzierbarkeit: Forensische Methoden müssen reproduzierbar sein. Dies bedeutet, dass andere Experten unter denselben Bedingungen dieselben Ergebnisse erzielen sollten. Dies wird durch die Verwendung standardisierter Tools und Protokolle erreicht.
• Rechtliche Gesichtspunkte: Digitale Beweise müssen den rechtlichen Anforderungen entsprechen, um vor Gericht zulässig zu sein. Dies schließt die Einhaltung von Datenschutzgesetzen und die Berücksichtigung der Rechte des Beschuldigten ein. Beispielsweise kann das Durchsuchen eines Computers ohne entsprechenden richterlichen Beschluss die Beweise vor Gericht unzulässig machen.
• Dokumentation und Berichterstattung: Eine gründliche Dokumentation der Vorgehensweise und Ergebnisse ist entscheidend. Jeder Schritt der Beweiserhebung und -analyse muss detailliert dokumentiert sein, um die Transparenz und Nachvollziehbarkeit zu gewährleisten. Dies umfasst die Verwendung spezieller forensischer Software, die die Untersuchungen und ihre Ergebnisse automatisiert protokolliert.

Ein konkretes Beispiel für die Validierung könnte die Untersuchung eines Bildes im Zusammenhang mit einem Cyberkriminalitätsfall sein:

• Das Bild wird von einem forensischen Tool analysiert und dabei wird ein Hash-Wert erstellt.
• Die Ursprungszeit und der Ort des Bildes werden überprüft anhand der Metadaten des Bildes.
• Die gesamten Arbeitsschritte werden dokumentiert, um später im Gericht darlegen zu können, dass das Bild authentisch und unverändert ist.
• Rechtsberater könnten sicherstellen, dass alle Schritte gemäß den rechtlichen Anforderungen durchgeführt wurden.

Zusammengefasst erfordert die Validierung von digitalen Beweisen eine sorgfältige Berücksichtigung von sowohl technischen als auch rechtlichen Aspekten. Nur so kann sichergestellt werden, dass die Beweise vor Gericht Bestand haben und zur Aufklärung des Falls beitragen.

c)

Erkläre das Konzept der Chain of Custody und ihre Bedeutung in der IT-Forensik. Beschreibe ein Szenario, in dem die lückenlose Dokumentation der Chain of Custody eine entscheidende Rolle spielt und wie das Versäumnis dieser Dokumentation die Untersuchung und mögliche Gerichtsfälle beeinflussen könnte.

Lösung:

Das Konzept der Chain of Custody (Beweismittelkette) ist ein kritischer Aspekt in der IT-Forensik, der sicherstellt, dass digitale Beweise von der Erhebung bis zur Präsentation im Gericht ordnungsgemäß dokumentiert und gesichert werden. Diese Kette dokumentiert jede Interaktion mit den Beweisen, einschließlich wer wann auf sie zugegriffen hat und was mit ihnen gemacht wurde.

• Bedeutung: Die Chain of Custody gewährleistet die Integrität und Authentizität der Beweise, indem sie nachweist, dass die Beweise nicht verfälscht oder manipuliert wurden. Diese Dokumentation ist entscheidend, um die Beweise vor Gericht zulässig zu machen.
• Komponenten der Chain of Custody: Eine vollständige Chain of Custody umfasst die folgenden Komponenten:
  • Identifizierung der Beweise: Eine eindeutige Kennzeichnung der Beweise, beispielsweise durch Seriennummern oder Beschreibungen.
  • Erhebung: Details darüber, wann, wo und von wem die Beweise erhoben wurden.
  • Transport und Lagerung: Dokumentation des Transports und der Lagerung der Beweise, um zu bestätigen, dass sie in einem sicheren und unveränderten Zustand bleiben.
  • Analyse: Aufzeichnung der Analyse- und Untersuchungsprotokolle, einschließlich der verwendeten Tools und Methoden.
  • Verantwortlichkeit: Eine Aufzeichnung der Personen, die zu jedem Zeitpunkt Zugang zu den Beweisen hatten.

Ein Szenario, in dem die lückenlose Dokumentation der Chain of Custody entscheidend ist, könnte wie folgt aussehen:

Szenario: Untersuchung eines Cyberangriffs Ein IT-Forensiker untersucht einen Laptop, der für einen Cyberangriff verwendet wurde. Der Laptop wird von der Polizei sichergestellt und an das Forensik-Labor übergeben.

• Erfassung und Dokumentation: Der IT-Forensiker dokumentiert das Datum, die Uhrzeit und die Umstände der Sicherstellung des Laptops. Diese Informationen werden in einem Chain of Custody-Formular festgehalten.
• Transport und Lagerung: Der Laptop wird in einem gesicherten Behälter transportiert und in einem sicheren Raum gelagert. Jede Bewegung des Laptops wird dokumentiert.
• Forensische Analyse: Während der Analyse dokumentiert der Forensiker alle Schritte, die er unternimmt, einschließlich der verwendeten Tools und Techniken.
• Lückenlose Aufzeichnung: Im gesamten Prozess werden alle Personen, die Zugang zum Laptop haben, und alle durchgeführten Maßnahmen lückenlos aufgezeichnet.

Folgen einer fehlenden Chain of Custody: Wenn die Chain of Custody nicht lückenlos dokumentiert wird, können die Beweise vor Gericht leicht angefochten werden. Zum Beispiel:

• Die Verteidigung könnte behaupten, dass die Beweise manipuliert wurden.
• Der Richter könnte die Beweise als unzuverlässig zurückweisen.
• Der gesamte Fall könnte gefährdet sein, weil die Integrität der Beweise nicht gewährleistet werden kann.

Zusammengefasst ist die Chain of Custody entscheidend für die Integrität und Zulässigkeit digitaler Beweise in der IT-Forensik. Eine lückenlose Dokumentation ist unerlässlich, um sicherzustellen, dass die Beweise vor Gericht Bestand haben.

d)

Stelle dar, wie forensische Software-Tools wie EnCase oder FTK bei der Verifizierung und Validierung von digitalen Beweisen eingesetzt werden. Führe eine Analyse durch, in der Du mindestens zwei Funktionen solcher Tools beschreibst, die für den IT-Forensiker von besonderer Bedeutung sind. Diskutiere auch mögliche Einschränkungen oder Herausforderungen bei der Nutzung dieser Tools.

Lösung:

Forensische Software-Tools wie EnCase und FTK (Forensic Toolkit) sind essentielle Werkzeuge in der IT-Forensik zur Verifizierung und Validierung von digitalen Beweisen. Diese Tools bieten eine Vielzahl von Funktionen, die IT-Forensikern helfen, Beweise effizient und zuverlässig zu untersuchen. Nachfolgend eine Analyse von zwei dieser Funktionen sowie eine Diskussion über mögliche Einschränkungen und Herausforderungen.

• Dateisystem-Analyse: Sowohl EnCase als auch FTK ermöglichen eine tiefgehende Analyse des Dateisystems eines Computers. Dies umfasst das Identifizieren, Extrahieren und Analysieren von Dateien, einschließlich gelöschter Daten, versteckter Dateien und verschlüsselter Archive. Der IT-Forensiker kann so verdächtige Dateien, wie die erwähnten Textdokumente, Bilder und verschlüsselte Archive, lokalisieren und analysieren. Bedeutung: Diese Funktion ist entscheidend, um versteckte oder manipulierte Beweise aufzuspüren und sicherzustellen, dass nichts übersehen wird.
• Hashing und Integritätsprüfung: EnCase und FTK bieten Funktionen zum Erstellen und Vergleichen kryptografischer Hashes. Diese Hashes werden verwendet, um die Integrität der Beweise zu überprüfen, indem sie sicherstellen, dass die Dateien seit ihrer Erhebung nicht verändert wurden. Beispielsweise kann der IT-Forensiker den Hash-Wert einer Datei berechnen und ihn mit einem vorher gespeicherten Hash-Wert vergleichen. Bedeutung: Diese Funktion ist für die Validierung der Beweise unerlässlich, da sie Manipulationen erkennt und die Authentizität der Daten bestätigt.

Mögliche Einschränkungen und Herausforderungen: Diese fortschrittlichen Tools bieten zahlreiche Vorteile, jedoch gibt es auch einige Herausforderungen:

• Komplexität und Lernkurve: Die Nutzung von EnCase und FTK erfordert eine gründliche Schulung und Erfahrung. Die Komplexität der Tools kann für weniger erfahrene Nutzer eine Herausforderung darstellen.
• Kosten: EnCase und FTK sind kostenintensive Softwarelösungen. Dies kann für kleinere Organisationen oder Einzelpersonen eine Einschränkung darstellen.
• Skalierbarkeit: Während diese Tools leistungsfähige Funktionen bieten, können große Datenmengen und komplexe Untersuchungen zu Leistungsproblemen führen. Die Bearbeitung und Analyse großer Datenmengen erfordert leistungsfähige Hardware und kann zeitaufwendig sein.
• Rechtliche und ethische Aspekte: Der Zugriff auf und die Analyse von privaten oder sensiblen Daten müssen gemäß den geltenden Gesetzen und ethischen Richtlinien durchgeführt werden. IT-Forensiker müssen sicherstellen, dass sie bei ihren Untersuchungen keine Datenschutzrichtlinien oder individuellen Rechte verletzen.

Zusammenfassend bieten Forensik-Tools wie EnCase und FTK eine Vielzahl von Funktionen, die IT-Forensikern bei der Verifizierung und Validierung digitaler Beweise unterstützen. Trotz ihrer Komplexität und einiger Herausforderungen sind sie aufgrund ihrer Leistungsfähigkeit und Zuverlässigkeit unverzichtbare Werkzeuge in der digitalen Forensik.

Aufgabe 3)

Ein bekannter Technologieunternehmen bemerkt verdächtige Aktivitäten in seinem Netzwerk. Deine Aufgabe ist es, eine forensische Untersuchung und Analyse der möglichen Cyberangriffe durchzuführen, um die Ursache, den Umfang und die Auswirkungen zu bestimmen. Verwende die gegebenen Techniken zur Analyse von Cyberangriffen, um die folgenden Aufgaben zu lösen.

a)

Analysiere die Logfiles sowohl des Systems als auch der Anwendungen, um verdächtige Aktivitäten zu identifizieren. Beschreibe, welche spezifischen Arten von Einträgen Du überprüfen würdest und warum.

Lösung:

Bei der Analyse von Logfiles sowohl des Systems als auch der Anwendungen gibt es bestimmte Arten von Einträgen, die besonders gründlich überprüft werden sollten, um verdächtige Aktivitäten zu identifizieren. Hier sind einige spezifische Arten von Einträgen, die Du beachten solltest, sowie die Gründe dafür:

• Anmeldeversuche: Überprüfe die Logfiles auf fehlgeschlagene und wiederholte Anmeldeversuche. Diese können darauf hindeuten, dass jemand versucht hat, sich unberechtigt Zugang zu verschaffen. Ein hoher Anstieg von fehlgeschlagenen Anmeldeversuchen könnte ein Hinweis auf Brute-Force-Angriffe sein.
• Anmeldungen zu unüblichen Zeiten: Achte auf erfolgreiche Anmeldungen zu ungewöhnlichen Zeiten, z.B. mitten in der Nacht. Dies könnte darauf hinweisen, dass ein Angreifer Zugang zum System erhalten hat und diesen zu Zeiten nutzt, in denen weniger Überwachung stattfindet.
• System- und Anwendungskonfigurationen: Suche nach Änderungen in System- und Anwendungskonfigurationen, insbesondere solchen, die ohne ordnungsgemäße Autorisierung durchgeführt wurden. Unautorisierte Änderungen könnten darauf hindeuten, dass ein Angreifer versucht, Hintertüren einzurichten.
• Veränderungen an Dateien: Prüfe, ob wichtige oder systemkritische Dateien verändert, erstellt oder gelöscht wurden. Angreifer könnten solche Dateien manipulieren, um Malware zu installieren oder ihre Spuren zu verwischen.
• Netzwerkaktivitäten: Analysiere die Logfiles auf verdächtige Netzwerkaktivitäten, wie ungewöhnlich hohe Datenübertragungen oder Verbindungen zu unbekannten oder verdächtigen IP-Adressen. Solche Aktivitäten könnten auf Datenexfiltration oder Command-and-Control-Kommunikation hinweisen.
• Fehlermeldungen und Warnungen: Suche nach wiederholten Fehlern und Warnungen in den Logfiles der Anwendungen. Fehlermeldungen können Aufschluss über misslungene Angriffsversuche geben oder darauf hinweisen, dass Anwendungen ausgenutzt wurden.
• Admin-Aktivitäten: Überprüfe die Aktionen von Benutzerkonten mit Administratorrechten. Ungewöhnliche oder unerklärliche Aktivitäten von Admin-Konten können ein Hinweis auf kompromittierte Konten sein.
• Anwendungs-Logs: Bei speziellen Anwendungen, wie z.B. Webservern oder Datenbanken, achte auf ungewöhnliche Anfragen, SQL-Injection-Versuche, Cross-Site-Scripting (XSS) usw.

Jede dieser Kategorien kann Aufschluss darüber geben, ob ein System kompromittiert wurde und wie ein Angreifer vorgegangen ist. Eine sorgfältige und gründliche Überprüfung hilft dabei, die Ursache und den Umfang des Vorfalls zu bestimmen.

b)

Führe eine Netzwerkverkehrsanalyse durch. Erkläre, wie Du durch Überwachung und Analyse des Datenverkehrs anomale Muster oder verdächtige Verbindungen erkennen würdest. Welche Werkzeuge und Methoden würdest Du anwenden?

Lösung:

Eine Netzwerkverkehrsanalyse ist entscheidend, um anomale Muster und verdächtige Verbindungen zu erkennen, die auf einen möglichen Cyberangriff hinweisen. Im Folgenden erkläre ich, wie Du eine solche Analyse durchführen kannst und welche Werkzeuge und Methoden dabei hilfreich sind:

• Netzwerk-Traffic-Erfassung: Zunächst musst Du den gesamten Netzwerkverkehr erfassen. Dies geschieht typischerweise durch den Einsatz von Netzwerk-Sniffern oder Protokoll-Analyse-Tools wie Wireshark oder tshark. Diese Tools ermöglichen die detaillierte Erfassung und Inspektion des Datenverkehrs.
  • Wireshark: Ein weit verbreitetes Tool zur Protokollanalyse, das eine grafische Benutzeroberfläche bietet und in Echtzeit Netzwerkpakete erfasst und analysiert.
  • tshark: Die Kommandozeilen-Version von Wireshark, die sich gut für automatisierte Analysen und Skripte eignet.
• Datenverkehr analysieren: Nach dem Erfassen des Datenverkehrs musst Du die Daten analysieren. Hierbei suchst Du nach anomalen Mustern oder verdächtigen Verbindungen. Einige wichtige Analysemethoden und -werkzeuge sind:
  • Anomale Netzwerkmuster erkennen: Achte auf ungewöhnliche Muster, wie plötzlich stark angestiegener Datenverkehr, ungewöhnlich hohe Anzahl von ausgehenden Verbindungen zu bestimmten IP-Adressen oder Ports, und Verbindungen zu bekannten bösartigen IP-Adressen.
  • Signaturbasierte Erkennung: Verwende Tools wie Snort oder Suricata, die auf vordefinierten Signaturen basieren, um bekannten Angriffsmustern zu erkennen. Diese Tools durchsuchen Pakete nach bekannten Angriffssignaturen.
  • Verhaltensbasierte Erkennung: Nutze maschinelles Lernen oder Anomalieerkennungssysteme, die untypisches Verhalten im Netzwerk identifizieren können, z.B. durch das Anlegen von Baselines für normalen Netzwerkverkehr und das Erkennen von Abweichungen.
• Analyse von Netzwerkprotokollen: Insbesondere Protokolle wie DNS, HTTP, HTTPS, FTP, und SMTP müssen genau untersucht werden. HTTP- und HTTPS-Verkehr kann zum Beispiel Command-and-Control Kommunikation einer Malware beinhalten, während DNS-Protokolle für Datenexfiltration genutzt werden können.
  • Verwende Bro/Zeek zur Netzwerküberwachung auf Protokollebene, um detaillierte Einblicke in die Netzwerkprotokolle zu erhalten.
• Flow-basierte Analyse: Nutze NetFlow- oder sFlow-Daten, um Flussinformationen zu untersuchen. Diese Daten bieten eine aggregierte Ansicht des Netzwerkverkehrs und helfen, große Datenmengen zu analysieren. Tools wie nfdump und ElastiFlow sind hilfreich für die Analyse von NetFlow-Daten.
• Bösartige Aktivitäten korrelieren: Nutze SIEM (Security Information and Event Management)-Systeme wie Splunk oder ELK Stack, um verschiedene Datenquellen zu korrelieren, Ereignisse zentral zu sammeln und verdächtige Aktivitäten zu erkennen.

Durch die Kombination dieser Werkzeuge und Methoden kannst Du ein umfassendes Bild des Netzwerkverkehrs erhalten, anomale Muster erkennen und verdächtige Aktivitäten identifizieren. Diese Analyse hilft dabei, das Ausmaß und die Auswirkungen eines Cyberangriffs besser zu verstehen und entsprechende Gegenmaßnahmen zu ergreifen.

c)

Nutze die Technik der Mustererkennung, um bekannte Angriffsvektoren zu identifizieren. Zeige auf, wie du Algorithmen und maschinelles Lernen einsetzen würdest, um die Erkennung zu optimieren. Berechne exemplarisch den Erfolg eines Algorithmus mit einer Trefferaussage von 95 % bei einem Testdatensatz, der aus 1000 Proben besteht, von denen 50 tatsächlich Angriffe sind. Wie viele Angriffe und Fehlalarme (false positives) würdest Du erwarten?

Lösung:

Die Technik der Mustererkennung ermöglicht es, bekannte Angriffsvektoren zu identifizieren und verdächtige Aktivitäten effektiv zu erkennen. Durch den Einsatz von Algorithmen und maschinellem Lernen kann diese Erkennung optimiert und automatisiert werden. Im Folgenden erläutere ich, wie Du solche Algorithmen einsetzen und deren Erfolg berechnen kannst.

• Verwendung von Algorithmen und maschinellem Lernen: Algorithmen zur Mustererkennung und maschinelles Lernen können verschiedene Arten von Angriffsvektoren erkennen:
• Überwachtes Lernen: Algorithmen wie Entscheidungsbäume, zufällige Wälder (Random Forests), und neuronale Netze können trainiert werden, um Merkmale von bekannten Angriffen zu erkennen. Hierbei werden Trainingsdaten, die sowohl normale als auch bösartige Aktivitäten enthalten, verwendet.
• Unüberwachtes Lernen: Techniken wie Clustering (z.B. K-Means) und Anomalieerkennung können eingesetzt werden, um unbekannte Angriffsvektoren zu identifizieren, indem sie ungewöhnliche Muster und Abweichungen vom normalen Verhalten erkennen.
• Erfolg eines Klassifikationsalgorithmus berechnen: Angenommen, Du verwendest einen Klassifikationsalgorithmus mit einer Treffergenauigkeit (Precision) von 95 %. Die Treffergenauigkeit beschreibt den Anteil der korrekt als Angriffe identifizierten Proben im Verhältnis zu allen als Angriffe klassifizierten Proben:

Gegeben sind:

• 1000 Proben insgesamt
• 50 davon sind tatsächlich Angriffe (d.h. 5 % der Proben)
• 95 % Treffergenauigkeit

Der Algorithmus erkennt korrekt 95 % der tatsächlichen Angriffe. Das bedeutet:

• Anzahl der korrekt erkannten Angriffe: 0.95 * 50 = 47.5

Da Du keine halben Angriffe haben kannst, wirst Du in der Regel auf 48 aufrunden.

Fehlalarme (False Positives) berechnen: Fehlalarme sind normale Aktivitäten, die fälschlicherweise als Angriffe klassifiziert werden. Angenommen, der Algorithmus klassifiziert insgesamt 950 der nicht-Angriffe korrekt. Dann bedeutet das:

Anzahl der Fehlalarme: 1000 - (947 korrekt klassifizierte nicht-Angriffe + 47 korrekt erkannte Angriffe) = 1000 - 994 = 6

Das bedeutet:
• Korrekt erkannte Angriffe (True Positives): 47 bis 48

• Fehlalarme (False Positives): 6

Diese Berechnungen zeigen, wie viele Angriffe und Fehlalarme Du bei einer Treffergenauigkeit von 95 % und einem gegebenen Testdatensatz von 1000 Proben erwarten kannst. Durch die kontinuierliche Verbesserung des Algorithmus und das Training mit umfangreicheren und diversifizierten Datensätzen kann die Erkennungsrate weiter optimiert werden.

Aufgabe 4)

Spurensicherung in virtuellen UmgebungenSpurensicherung in virtuellen Umgebungen bezieht sich auf die Sammlung und Analyse digitaler Beweismittel in einer virtuellen Infrastruktur, z.B. in virtuellen Maschinen oder Cloud-Diensten.

• Verwendung spezialisierter Tools zur Erstellung forensischer Snapshots und Datenträgerabbilder.
• Erheben von Speicherabbildern zur Analyse flüchtiger Daten.
• Analyse von Metadaten zur Rückverfolgung von Änderungen und Aktivitäten.
• Wichtigkeit von Integrität und Beweissicherungsmaßnahen bei Sicherung und Analyse der Daten (z.B. Hash-Werte).
• Sicherung von Logs und Ereignisprotokollen zur Nachverfolgung von Systemaktivitäten.

a)

Beschreibe den gesamten Prozess der Spurensicherung in einer virtuellen Umgebung einer Cloud-Infrastruktur. Inklusive der Schritte zur Erstellung forensischer Snapshots und Datenträgerabbilder sowie der Sicherung und Analyse der Datenintegrität, zum Beispiel durch Verwendung von Hash-Werten. Erläutere, warum diese Maßnahmen notwendig sind und welche Probleme bei der Spurensicherung in virtuellen Umgebungen auftreten können.

Lösung:

Prozess der Spurensicherung in einer virtuellen Umgebung einer Cloud-Infrastruktur Die Spurensicherung in einer virtuellen Cloud-Umgebung umfasst mehrere Schritte, um sicherzustellen, dass digitale Beweismittel korrekt gesammelt und analysiert werden. Hier ist eine detaillierte Beschreibung des gesamten Prozesses:

• Erfassung forensischer Snapshots und Datenträgerabbilder: Es werden spezialisierte Tools verwendet, um Snapshots und Abbildungen der virtuellen Maschinen (VMs) zu erstellen. Diese beinhalten sowohl den Zustand der VM zu einem bestimmten Zeitpunkt als auch Abbildungen der Datenspeicher (Festplatten).
  • Ein Snapshot ist eine Momentaufnahme des laufenden Systems, die als Ausgangspunkt für die Untersuchung dient.
  • Ein Datenträgerabbild ist eine exakte Kopie des gesamten Inhalts eines Datenträgers zu einem bestimmten Zeitpunkt, die verwendet wird, um eine detaillierte Analyse durchzuführen.
• Erhebung von Speicherabbildern: Das Sammeln von Speicherabbildern (RAM-Abbildern) hilft bei der Analyse flüchtiger Daten, die im Arbeitsspeicher gespeichert sind. Diese Daten können temporäre Informationen wie laufende Prozesse, Netzwerkverbindungen und geöffnete Dateien enthalten.
• Analyse von Metadaten: Metadaten werden analysiert, um die Aktivitäten und Änderungen in der Cloud-Infrastruktur nachzuvollziehen. Hierbei werden Attribute wie Erstellungs- und Änderungszeiten von Dateien untersucht, um ein Bewegungsprofil des Täters zu erstellen.
• Sicherung der Datenintegrität: Um die Integrität der gesicherten Daten zu gewährleisten, werden Beweissicherungsmaßnahmen wie Hash-Werte verwendet.
  • Hash-Werte wie MD5 oder SHA-256 werden erstellt, um sicherzustellen, dass die Daten nach ihrer Erfassung nicht verändert wurden.
  • Diese Werte werden vor und nach der Sicherung berechnet, um die Konsistenz zu überprüfen.
• Sicherung von Logs und Ereignisprotokollen: Logs und Ereignisprotokolle werden gespeichert, um Systemaktivitäten nachzuverfolgen. Diese Protokolle enthalten wichtige Informationen über Benutzerzugriffe und Systemereignisse, die zur Analyse und Korrelation von Aktivitäten verwendet werden können.

Notwendigkeit dieser Maßnahmen:

• Integrität und Authentizität: Durch die Verwendung von Hash-Werten und die Sicherung aller relevanten Daten kann die Integrität und Authentizität der Beweise gewährleistet werden. Dies ist besonders wichtig, um sicherzustellen, dass die gesammelten Beweise vor Gericht anerkannt werden.
• Nachvollziehbarkeit: Die Erfassung detaillierter Metadaten und Logs ermöglicht eine vollständige Rückverfolgung von Aktivitäten und Änderungen innerhalb der virtuellen Umgebung.

Herausforderungen bei der Spurensicherung in virtuellen Umgebungen:

• Flüchtigkeit der Daten: Flüchtige Daten im Arbeitsspeicher können schnell verloren gehen, weshalb eine rasche Erfassung entscheidend ist.
• Komplexität der Cloud-Umgebungen: Die dynamische und verteilte Natur von Cloud-Umgebungen kann die Identifizierung und Sicherung aller relevanten Datenquellen erschweren.
• Mehrbenutzerumgebungen: In Cloud-Umgebungen, die von mehreren Nutzern geteilt werden, kann es schwierig sein, zwischen zulässigen und unzulässigen Aktivitäten zu unterscheiden.

b)

Angenommen, Du erstellst ein Speicherabbild einer virtuellen Maschine. Erkläre, warum das Erheben von Speicherabbildern essentiell für die Analyse flüchtiger Daten ist. Stelle sicher, dass Du den Prozess der Speicherabbildung beschreibst und die Bedeutung der Metadatenanalyse für die Rückverfolgung von Änderungen und Aktivitäten erläuterst. Wie können Änderungen festgestellt werden, und warum ist dabei die Sicherstellung der Datenintegrität von so hoher Bedeutung?

Lösung:

Die Bedeutung des Erhebens von Speicherabbildern Das Erheben von Speicherabbildern (RAM-Abbildern) einer virtuellen Maschine ist ein essentieller Schritt in der forensischen Analyse. Dieses Vorgehen ist entscheidend, weil flüchtige Daten im Arbeitsspeicher nach einem Neustart der Maschine verloren gehen. Diese Daten können temporäre, aber wichtige Informationen wie laufende Prozesse, geöffnete Netzwerkverbindungen und temporär gespeicherte Daten enthalten. Hier ist eine detaillierte Beschreibung des Prozesses und die Bedeutung der Metadatenanalyse: Prozess der Speicherabbildung:

• Identifizierung der Zielmaschine: Zuerst wird die virtuelle Maschine, deren Speicher abgebildet werden soll, identifiziert.
• Verwendung spezialisierter Tools: Forensische Tools wie Volatility, FTK Imager oder LiME (Linux Memory Extractor) werden verwendet, um den Inhalt des Arbeitsspeichers zu erfassen.
• Erstellen des Speicherabbilds: Das Tool erstellt ein vollständiges Abbild des Arbeitsspeichers und speichert es als Datei (meistens im RAW-Format).
• Sicherung des Speicherabbilds: Das erstellte Speicherabbild wird sicher gespeichert, vorzugsweise auf einem schreibgeschützten Medium, um seine Integrität zu bewahren. Hash-Werte wie MD5 oder SHA-256 werden erzeugt, um die Integrität des Abbilds zu überprüfen.

Bedeutung der Metadatenanalyse:

• Rückverfolgung von Änderungen und Aktivitäten: Metadaten enthalten wichtige Informationen über die Erstellungs-, Änderungs- und Zugriffszeiten von Dateien und Prozessen. Diese Daten können verwendet werden, um die Abfolge von Aktivitäten und Änderungen auf der virtuellen Maschine nachzuvollziehen.
• Identifizierung von Anomalien: Durch den Vergleich von Metadaten können ungewöhnliche Aktivitäten oder Änderungen, die auf einen Sicherheitsvorfall hinweisen könnten, identifiziert werden.

Feststellung von Änderungen:

• Hash-Wert-Vergleich: Durch den Vergleich von Hash-Werten (z.B. MD5, SHA-256) vor und nach der Datensicherung kann festgestellt werden, ob Änderungen an den Daten vorgenommen wurden. Wenn die Hash-Werte identisch sind, bedeutet das, dass die Daten unverändert geblieben sind.
• Log-Analyse: Logs und Ereignisprotokolle können analysiert werden, um Änderungen und Aktivitäten auf der virtuellen Maschine nachzuverfolgen. Diese Protokolle enthalten Informationen über Systemereignisse, Benutzeraktivitäten und Konfigurationsänderungen.

Bedeutung der Sicherstellung der Datenintegrität:

• Verlässlichkeit von Beweismitteln: Die Integrität der gesammelten Beweismittel ist entscheidend, um sicherzustellen, dass diese vor Gericht verwertbar sind. Änderungen oder Manipulationen würden die Beweiskraft beeinträchtigen.
• Verhinderung von Manipulation: Durch die Generierung und Überprüfung von Hash-Werten wird sichergestellt, dass die Daten nach der Erfassung nicht manipuliert wurden. Dies ist wichtig, um die Glaubwürdigkeit und Authentizität der Beweismittel zu bewahren.