Unterschiede

Hier werden die Unterschiede zwischen zwei Versionen angezeigt.

--- edv:forensik:praxis [15 42 2025 20 : 42] – angelegt André Reichert-Creutz
+++ edv:forensik:praxis [08 05 2026 21 : 05] (aktuell) – [IT-Forensik: Praktischer Teil] André Reichert-Creutz
@@ Zeile 1: / Zeile 1: @@
-Forensische Toolsammlung: https://github.com/mesquidar/ForensicsTools#browser-artifacts
-====== Imaging mit FTK-Imager unter Windows ======
+{{:edv:forensik-logo.png?400|}} \\
-Der FTK Imager von AccessData ist ein Standardwerkzeug in der IT-Forensik. Er dient primär dazu, eine bit-genaue, forensisch saubere Kopie (//Image//) eines Datenträgers zu erstellen. Dieser Prozess ist die Grundlage für fast jede weitere Analyse.
-{{ :edv:forensik:ftk.png?400|}}
-Hier ist eine Anleitung zur Vorgehensweise und zu den Erkenntnissen, die man daraus zieht.
-===== 1. Vorbereitung: Die forensischen Grundsätze =====
-Bevor die Software gestartet wird, muss die Integrität des Beweismittels sichergestellt werden.
+<WRAP info>
+In diesem Teil wenden wir die theoretischen Grundsätze der Forensik auf reale Szenarien an und stellen konkrete Schritt-für-Schritt-Anleitungen für die gängigsten Werkzeuge bereit.
-Schreibschutz (Write-Blocking): Das Original-Medium (z.B. eine Festplatte) muss über einen Hardware-Write-Blocker an die forensische Workstation angeschlossen werden. Dies verhindert jegliche Schreibzugriffe und damit Veränderungen am Original-Beweismittel.
+**Nützliche Ressource:** [[https://github.com/mesquidar/ForensicsTools#browser-artifacts|Umfassende Forensische Toolsammlung (GitHub)]]
+</WRAP>
+</WRAP>
+</WRAP>
-Dokumentation: Führen Sie von Anfang an ein genaues Protokoll (Chain of Custody). Notieren Sie Datum, Zeit, beteiligte Personen und fotografieren Sie den Aufbau und das Asservat (inkl. Seriennummern).
+====== Praxis-Szenarien (Fallbeispiele) ======
-Ziel-Laufwerk: Stellen Sie sicher, dass das Ziellaufwerk, auf dem das Image gespeichert wird, leer (forensisch "gewiped") und ausreichend groß ist.
+==== Fallbeispiel 1: Der Post-Mortem Klassiker (Windows) ====
+<WRAP box>
+**Szenario:** Ein Windows-Client in der Buchhaltung verhält sich verdächtig. Der PC wurde physisch vom Netzwerk getrennt. Die Festplatte wurde ausgebaut und an das forensische Labor übergeben.
+</WRAP>
+  - **Asservierung & Schreibschutz:** Der Forensiker dokumentiert Seriennummern und Zustand (Chain of Custody). Die Platte wird über einen **Hardware Write-Blocker** angeschlossen, um Datenveränderungen physikalisch zu unterbinden.
+  - **Imaging:** Mit dem **FTK Imager** wird eine bit-genaue Kopie im **E01-Format** erstellt. Das Original wandert danach sicher in den Tresor.
+  - **Die Analyse (Der Fund):** Das Image wird in **Autopsy** geladen. Bei der Auswertung fällt auf: Der Ordner //Downloads// ist scheinbar leer. Der //PhotoRec Carver// bringt jedoch aus dem unallocated space eine gelöschte Datei namens ``invoice_2026.pdf.exe`` zum Vorschein. Der Abgleich der Zeitstempel beweist: Diese Ransomware wurde exakt 3 Minuten vor der Verschlüsselung der Benutzerdateien aus einer Phishing-Mail ausgeführt.
-===== 2. Die Imaging-Erstellung mit FTK Imager (Schritt-für-Schritt) =====
+==== Fallbeispiel 2: Enterprise Incident (RHEL 7) ====
+<WRAP box>
+**Szenario:** Auf einem RHEL 7 Server läuft eine Webanwendung (Nginx). Der Server ist ans Active Directory angebunden. Ein Angreifer hat ein AD-Konto kompromittiert und sich SSH-Zugriff verschafft. Der Vorfall wird entdeckt, während der Server noch läuft.
+</WRAP>
+  - **Live-Analyse (vor dem Shutdown):** Der Admin nutzt das ``/proc``-Verzeichnis, um flüchtige Daten im RAM zu sichern. Er findet einen verdächtigen Prozess:
+<file bash>
+# Prüfung des Binaries des Prozesses PID 8892:
+ls -l /proc/8892/exe
+# Ausgabe: lrwxrwxrwx 1 root root 0 Aug 8 22:15 /proc/8892/exe -> /tmp/.hidden/rshell (deleted)
-Der Prozess wird durch einen Assistenten in FTK Imager geführt.
+# Sichern der gelöschten Malware direkt aus dem RAM auf einen forensischen USB-Stick:
+cp /proc/8892/exe /mnt/forensic_usb/rshell_dump.bin
+sha256sum /mnt/forensic_usb/rshell_dump.bin > /mnt/forensic_usb/rshell_dump.sha256
+</file>
+  - **Log-Analyse:** Die Auswertung von ``/var/log/secure`` zeigt den SSH-Login des AD-Users. ``/var/log/nginx/access.log`` bestätigt, dass die Webanwendung nicht gehackt wurde (Passwort stammte z.B. aus Phishing). Die gelöschte ``.bash_history`` umgeht der Forensiker durch die Auswertung des **auditd**-Logs (``/var/log/audit/audit.log``), welches den Download der Reverse-Shell auf Kernelsebene dokumentiert.
-==== Schritt 1: Quelle auswählen ====
-Nach dem Start von FTK Imager wählen Sie im Menü //File -> Create Disk Image//. Sie werden aufgefordert, den Quell-Typ anzugeben.
-Source Type: Wählen Sie hier Physical Drive. Dies stellt sicher, dass der gesamte Datenträger Sektor für Sektor kopiert wird, inklusive unpartitionierter Bereiche und des Master Boot Records (MBR). Die Auswahl //Logical Drive// würde nur eine einzelne Partition (z.B. C:) sichern, was unvollständig wäre.
+====== Forensik-Playbook: Imaging ======
-==== Schritt 2: Image-Typ festlegen ====
+===== Imaging mit FTK-Imager unter Windows =====
-Sie müssen nun das Format für die Image-Datei festlegen. E01 (EnCase Evidence File) ist der De-facto-Industriestandard und wird empfohlen.
+Der FTK Imager von AccessData ist ein Standardwerkzeug. Er dient primär dazu, eine bit-genaue, forensisch saubere Kopie (//Image//) eines Datenträgers zu erstellen.
+{{ :edv:forensik:ftk.png?300|}}
-^ Image-Typ ^ Beschreibung ^ Vorteile ^
+==== 1. Vorbereitung (Forensische Grundsätze) ====
-| Raw (dd) | Eine reine, unkomprimierte 1:1-Kopie des Datenträgers. | Höchste Kompatibilität mit allen Tools. |
+  * **Schreibschutz:** Das Original-Medium muss über einen Hardware-Write-Blocker angeschlossen werden.
-| E01 | Ein komprimiertes und in Segmente aufgeteiltes Format. | Spart Speicherplatz, enthält Metadaten (Fall-Infos), interne Hash-Verifizierung (CRC32), sicher gegen Manipulation. |
+  * **Dokumentation:** Protokoll führen (Datum, Zeit, Personen, Fotos, Seriennummern).
-| SMART / AFF | Alternative Formate, seltener im Einsatz. | //Meist nicht notwendig, E01 ist die beste Wahl.// |
+  * **Ziel-Laufwerk:** Muss ausreichend groß und leer (forensisch "gewiped") sein.
-==== Schritt 3: Beweismittel-Informationen (Metadaten) ====
+==== 2. Die Image-Erstellung (Schritt-für-Schritt) ====
-Füllen Sie die nachfolgende Maske sorgfältig aus. Diese Informationen werden in die Image-Datei (bei E01) eingebettet und sind ein wichtiger Teil der Dokumentation.
+  - **Quelle wählen:** //File -> Create Disk Image//. Wählen Sie als Source Type **Physical Drive** (Sichert MBR und unpartitionierte Bereiche. //Logical Drive// würde nur Partitionen wie C: sichern).
+  - **Image-Typ:** **E01** (EnCase Evidence File) wird empfohlen. Es komprimiert, splittet in Segmente und bettet Metadaten sowie Hashwerte manipulationssicher ein. (Alternativen: //Raw/dd// oder //AFF//).
+  - **Beweismittel-Infos:** Case Number, Evidence Number (Asservat), Unique Description und Examiner ausfüllen.
+  - **Start & Verify:** Zielordner wählen. **WICHTIG:** Option //"Verify images after they are created"// aktivieren! Danach auf "Start" klicken.
-Case Number: Aktenzeichen oder Fallnummer
+==== 3. Erkenntnisse aus dem Prozess ====
+  * **Nachweis der Integrität:** FTK Imager stellt am Ende Original- und Image-Hashes (MD5/SHA1) gegenüber. Sind sie identisch, ist die 1:1-Kopie gerichtlich bewiesen.
-Evidence Number: Eindeutige Asservatennummer (z.B. 001)
+  * **Erste Image-Sichtung:** Sie können das Image im FTK Imager als //Evidence Item// laden, versteckte/gelöschte Dateien sehen, MAC-Times (Modified, Accessed, Created) prüfen oder bei Memory-Dumps nach Klartext-Passwörtern suchen.
-Unique Description: Kurze Beschreibung (z.B. "HDD aus Notebook von Max Mustermann")
-Examiner: Name des durchführenden Forensikers
-==== Schritt 4: Speicherort und Start ====
-Wählen Sie den Zielordner und den Dateinamen für das Image. Wichtig: Aktivieren Sie die Option "Verify images after they are created".
-Start: Klicken Sie auf "Start". Der Prozess beginnt nun. FTK Imager liest den gesamten Quelldatenträger und schreibt die Daten in die Zieldatei(en).
-==== Schritt 5: Abschluss und Verifizierung ====
-Nachdem das Image geschrieben wurde, startet automatisch der Verifizierungsprozess. FTK Imager liest das gerade erstellte Image erneut und berechnet dessen Hashwert.
-===== 3. Erkenntnisse aus dem Imaging-Prozess und dem Image =====
-==== Erkenntnisse aus dem //Imaging-Prozess// selbst ====
-Der reine Vorgang des Imaging liefert bereits entscheidende, gerichtsverwertbare Fakten:
-Nachweis der Integrität: Am Ende des Prozesses zeigt FTK Imager eine Zusammenfassung an. Dort werden die berechneten Hashwerte (MD5 und SHA1) des Original-Laufwerks und des erstellten Images gegenübergestellt. Wenn diese Werte identisch sind, haben Sie den mathematischen Beweis, dass Ihre Kopie eine exakte 1:1-Kopie des Originals ist. Dieser Schritt ist der wichtigste für die Gerichtsverwertbarkeit.
-Hardware-Dokumentation: Die Software protokolliert technische Details des Original-Datenträgers wie Modell, Seriennummer und Größe.
-Fehlerhafte Sektoren: FTK Imager meldet und protokolliert Lesefehler (//Bad Sectors//). Dies kann ein Hinweis auf einen physischen Defekt des Datenträgers sein.
-==== Erkenntnisse aus der //Analyse des erstellten Images// ====
-Das Image ist nun die Grundlage für die eigentliche Analyse. Mit FTK Imager selbst können Sie bereits eine erste Sichtung durchführen, ohne das Original zu gefährden:
-Sichere Dateisystem-Analyse: Sie können das Image in FTK Imager öffnen (//File -> Add Evidence Item//) und durch die Verzeichnisstruktur navigieren, als wäre es ein normales Laufwerk. Sie sehen alle Dateien, auch versteckte und Systemdateien.
-Wiederherstellung gelöschter Daten: FTK Imager zeigt gelöschte Dateien an und erlaubt deren Export. Das Image enthält auch den //unallocated space//, in dem die Inhalte dieser Dateien noch liegen.
-Vorschau und Export: Sie können Dateien direkt im Programm ansehen (Texte, Bilder etc.) und gezielt exportieren, ohne das Image zu verändern.
-Metadaten-Sichtung: Sie können grundlegende Metadaten von Dateien (Erstellt, Geändert, Letzter Zugriff - MAC-Times) einsehen.
-Suche im Arbeitsspeicher: Wenn Sie ein Image des Arbeitsspeichers (RAM) erstellt haben, können Sie dieses nach Passwörtern im Klartext, IP-Adressen, Chat-Fragmenten und anderer flüchtiger Evidenz durchsuchen.
 ----
-====== Forensisches Imaging mit Guymager unter Linux ======
+===== Forensisches Imaging mit Guymager (Linux) =====
+Guymager ist ein grafisches Werkzeug (z.B. in Kali Linux), das forensische Prinzipien strikt einhält.
-Diese Anleitung beschreibt das methodisch saubere Vorgehen zur Erstellung einer bit-genauen Kopie (//Image//) eines Datenträgers mit dem Werkzeug Guymager. Das Ziel ist nicht nur die reine Kopie, sondern die Einhaltung forensischer Prinzipien, um die Gerichtsverwertbarkeit des Images sicherzustellen.
 {{ :edv:forensik:guymager.png?400|}}
-===== 1. Vorbereitung: Die unverhandelbaren Grundlagen =====
+==== 1. Schritt-für-Schritt ====
+  - **Laufwerk wählen:** Guymager mit ``sudo guymager`` starten. Quell-Laufwerk identifizieren (z.B. ``/dev/sdb``), Rechtsklick -> //Acquire image//.
+  - **Format:** "Expert Witness Compression Format (EWF/E01)" wählen. //Split image files// auf z.B. 2048 MiB setzen.
+  - **Hash-Verifizierung:** Unter "Hash calculation" MD5 und SHA256 aktivieren. Die Option //"Verify image after acquisition"// ist **zwingend erforderlich**.
+  - **Metadaten:** Fallnummer, Asservat und Examiner ausfüllen. Prozess starten.
-Bevor Guymager gestartet wird, müssen die Rahmenbedingungen stimmen. Dieser Schritt ist entscheidend für die forensische Korrektheit.
+==== 2. Das Ergebnis (Die .info Datei) ====
+Guymager erstellt neben den Image-Dateien (``.E01``, ``.E02``) eine **.info-Datei**. Diese Textdatei ist essentiell für die Chain of Custody und enthält:
+  * Exakte Start-/Endzeiten und Hardwaredetails.
+  * Die berechneten Hashwerte (Quelle vs. Image) – der mathematische Beweis der Integrität.
+  * Protokollierte Lesefehler (Bad Sectors).
-. Physischer Schreibschutz (Write-Blocker): Das Original-Beweismittel (//Source//) muss über einen Hardware-Write-Blocker mit der forensischen Workstation verbunden werden. Dies ist die einzige Garantie dafür, dass keine Daten auf dem Original verändert werden.
+----
-. Forensisch sauberes Zielmedium (Destination): Der Datenträger, auf dem das Image gespeichert werden soll, muss ausreichend groß und nachweislich leer sein (z.B. durch einen vorherigen //Wipe//-Vorgang). Dies verhindert eine Kontamination der Beweise.
+===== Anleitung: Forensisches Imaging mit dd =====
+<WRAP danger>
+**WARNUNG:** ``dd`` ist extrem mächtig. Ein Vertauschen von Quelle (//if//) und Ziel (//of//) zerstört das Original-Beweismittel unwiderruflich! Nutzung auf eigene Gefahr.
+</WRAP>
-. Lückenlose Dokumentation: Beginnen Sie Ihr Untersuchungsprotokoll (//Chain of Custody//). Dokumentieren Sie Datum, Uhrzeit, Fallnummer, Asservatennummer, Seriennummern der Geräte (Beweismittel, Write-Blocker, Zieldatenträger) und machen Sie Fotos vom Aufbau.
+==== 1. Identifikation & Pre-Hashing ====
+<file bash>
+# 1. Gerätedateien exakt identifizieren
+lsblk -o NAME,SIZE,MODEL,SERIAL
-===== 2. Der Imaging-Prozess: Schritt-für-Schritt in Guymager =====
+# 2. Hashwert des Originals berechnen (Referenzwert dokumentieren!)
+sudo sha256sum /dev/sdb
+</file>
-Führen Sie Guymager mit administrativen Rechten aus (z.B. via sudo guymager).
+==== 2. Imaging & Post-Hashing ====
+Die Optionen ``noerror`` (ignoriert Lesefehler) und ``sync`` (füllt Lücken mit Null-Bytes, um Offsets zu wahren) sind forensisch Pflicht!
+<file bash>
+# 3. Imaging starten (mit pv für eine Fortschrittsanzeige)
+sudo dd if=/dev/sdb bs=4M conv=noerror,sync | pv | sudo dd of=/mnt/forensic_drive/image.dd
-==== Schritt 1: Quell-Laufwerk identifizieren und auswählen ====
+# 4. Hashwert der Kopie berechnen und mit dem Referenzwert vergleichen
-Guymager listet nach dem Start alle erkannten Laufwerke auf.
+sha256sum /mnt/forensic_drive/image.dd
+</file>
+Stimmen beide Hashes überein, haben Sie ein forensisch korrektes RAW-Image.
-Identifizieren Sie das korrekte Quell-Laufwerk anhand seiner Bezeichnung (z.B. /dev/sdb), Größe und des Herstellermodells. Guymager hilft dabei, indem es Systemlaufwerke der Workstation markiert, um Verwechslungen zu vermeiden.
-Klicken Sie mit der rechten Maustaste auf das Quell-Laufwerk und wählen Sie "Acquire image".
+====== Forensik-Playbook: Analyse ======
-==== Schritt 2: Imaging-Optionen konfigurieren ====
+===== Forensische Analyse mit Autopsy =====
-Ein Konfigurationsfenster öffnet sich. Hier werden alle Parameter für das forensisch saubere Image festgelegt.
+<WRAP info>
+Autopsy bietet eine GUI für die Tools des //Sleuth Kit (TSK)//.
+**Präsentation:** [[https://de.slideshare.net/slideshow/autopsy-digital-forensics-tool/145970562|Autopsy Digital Forensics Tool (SlideShare)]]
+</WRAP>
+{{ :edv:forensik:autopsy.png?400|}}
-Reiter "Format":
+==== 1. Fallanlage und Datenquelle ====
+  - **New Case:** Fallnamen (z.B. Fall-001) und Basis-Verzeichnis für Metadaten anlegen.
+  - **Data Source:** Das E01-Image auswählen und die korrekte Zeitzone des Zielsystems einstellen.
+  - **Ingest Modules:** Aktivieren Sie die Analyse-Roboter:
+    * //Recent Activity// (Bash-History, Logs)
+    * //Hash Lookup// (Gleicht Hashes mit NSRL oder Malware-Datenbanken ab)
+    * //PhotoRec Carver// (Wichtig: Stellt gelöschte Dateien aus dem unallocated space wieder her!)
-File format: Wählen Sie "Linux DD raw image" für maximale Kompatibilität oder "Expert Witness Compression Format (EWF/E01)".
+==== 2. Die Analyse (Tipps für Linux) ====
+  * **Sichten der Dateisysteme:** Prüfen Sie ``/home/<user>`` (versteckte Dateien), ``/etc/`` (Konfigurationen) und ``/var/log/`` (wer war wann eingeloggt?).
+  * **Timeline (Zeitstrahl-Analyse):** Eines der mächtigsten Tools. Visualisiert alle Dateiaktivitäten (MAC-Times). Perfekt, um Aktivitätsspitzen rund um den Tatzeitpunkt zu finden.
+  * **Ergebnisse sichten:** Unter //Results// finden sich extrahierte Web-Artefakte, Keyword-Treffer und wiederhergestellte Dateien.
-Empfehlung: E01 ist der Industriestandard. Es bietet Komprimierung, teilt das Image in handhabbare Segmente und speichert Metadaten direkt in der Datei.
+==== 3. Tagging und Berichterstellung ====
+Rechtsklicken Sie auf Funde und wählen Sie **"Tag and Comment"** (z.B. als "Beweisstück"). Über **"Generate Report"** (HTML/PDF) erstellt Autopsy am Ende automatisch ein Gutachten mit allen getaggten Dateien, deren Hashes und Ihren Kommentaren.
-Split image files: Legen Sie eine Segmentgröße fest (z.B. 2048 MiB), um das Image in kleinere Dateien aufzuteilen.
+----
-Reiter "Destination":
+===== Weitere hilfreiche Tools =====
+<WRAP group>
+<WRAP half column>
+**Windows Defender / Event Logs**
+Der Defender ist ein Schutzmechanismus, aber seine Logs (//Microsoft-Windows-Windows Defender/Operational//) sind Gold wert, um den exakten "Point of Entry" (Ersterkennung einer Malware) zu rekonstruieren.
+</WRAP>
+<WRAP half column>
+**NirLauncher**
+Eine Sammlung von >200 portablen Tools von NirSoft. Perfekt für Live-Systeme oder gemountete Images, um extrem schnell Browser-Historien, Passwörter oder USB-Verbindungsverläufe auszulesen.
+</WRAP>
+</WRAP>
-Image directory: Wählen Sie den Ordner auf Ihrem Ziel-Laufwerk.
+**Verwendung von KI-Tools**
+KI dient Forensikern zunehmend als "Trüffelschwein": Sie erkennt Anomalien in riesigen PCAP-Netzwerkmitschnitten, clustert Logfiles oder hilft beim De-obfuskieren (Entschlüsseln) verschleierter Skripte. **Aber:** Die Ergebnisse sind eine Black-Box und vor Gericht nicht gerichtsverwertbar. Die Beweisführung muss am Ende durch den Forensiker manuell und reproduzierbar (z.B. via Autopsy) nachgewiesen werden.
-Image filename: Geben Sie einen aussagekräftigen Dateinamen nach einem festen Schema ein, z.B. Fallnummer_Asservatennummer_Datum (Bsp: 2025-09-15_A01_System-HDD).
+----
+**Zurück zu:** [[edv:forensik:start|Teil 1: Theoretischer Teil]]
-Reiter "Hash calculation / verification":
-Hashes to calculate: Aktivieren Sie MD5 und mindestens SHA1 oder SHA256. Die Berechnung mehrerer Hashes erhöht die Beweiskraft.
-Verify image after acquisition: Diese Option ist zwingend erforderlich. Guymager berechnet nach dem Schreibvorgang den Hashwert des erstellten Images erneut und vergleicht ihn mit dem Hash des Originals.
-Reiter "Case information":
-Füllen Sie die Metadaten-Felder sorgfältig aus. Diese Informationen werden Teil der Log-Datei und (bei E01) des Images selbst.
-Case number: Fallnummer
-Evidence number: Asservatennummer
-Examiner: Name des Forensikers
-Description: Kurzbeschreibung des Asservats
-==== Schritt 3: Prozess starten und überwachen ====
-Klicken Sie auf "Start". Der Imaging-Prozess beginnt.
-Das Statusfenster zeigt nun in Echtzeit den Fortschritt, die Lesegeschwindigkeit, gefundene Fehler (//Bad Sectors//) und die verbleibende Zeit an.
-Warten Sie, bis der Lese- (Acquisition) und der anschließende Verifizierungs-Prozess (Verification) vollständig abgeschlossen sind.
-===== 3. Das Ergebnis: Image-Dateien und Protokoll =====
-Nach erfolgreichem Abschluss finden Sie im Zielordner:
-Die Image-Datei(en): Z.B. 2025-09-15_A01_System-HDD.E01, ...E02, usw.
-Die Info-Datei: Z.B. 2025-09-15_A01_System-HDD.info. Diese Textdatei ist ein essentieller Teil Ihrer Dokumentation.
-Die .info-Datei enthält:
-Alle von Ihnen eingegebenen Fall-Informationen.
-Genaue technische Details zum Quell-Laufwerk (Hersteller, Modell, Seriennummer).
-Den exakten Start- und Endzeitpunkt des Prozesses.
-Die berechneten Hashwerte (MD5, SHA1/256) der Quelle.
-Die berechneten Hashwerte des Images nach der Verifizierung.
-Eine Liste aller Lesefehler, falls vorhanden.
-===== 4. Abschluss: Die forensische Korrektheit sicherstellen =====
-Ein Image ist dann "forensisch korrekt" erstellt, wenn Sie die folgenden Punkte zweifelsfrei belegen können:
-Unveränderlichkeit: Der Einsatz eines Hardware-Write-Blockers hat das Original geschützt.
-Vollständigkeit: Das Image ist eine bit-genaue Kopie des Originals.
-Integrität: Der Hashwert der Quelle und der Hashwert des Images sind identisch. Dies wird in der .info-Datei von Guymager bestätigt und ist der mathematische Beweis für eine 1:1-Kopie.
-Dokumentation: Der gesamte Prozess wurde sowohl manuell im Untersuchungsprotokoll als auch automatisch durch die .info-Datei von Guymager lückenlos dokumentiert.
-Sichern Sie die erstellten Image-Dateien sowie die .info-Datei zusammen mit Ihrem Untersuchungsprotokoll als Teil der Fallakte. Die Analyse findet nun ausschließlich auf den Image-Dateien statt.