| FOTO | AUTO | EDV | AUDIO |

Unterschiede

Hier werden die Unterschiede zwischen zwei Versionen angezeigt.

Link zu dieser Vergleichsansicht

Beide Seiten der vorigen RevisionVorhergehende Überarbeitung
Nächste Überarbeitung		Vorhergehende Überarbeitung
edv:forensik:praxis [15 48 2025 20 : 48] – [4. Abschluss: Die forensische Korrektheit sicherstellen] André Reichert-Creutzedv:forensik:praxis [08 05 2026 21 : 05] (aktuell) – [IT-Forensik: Praktischer Teil] André Reichert-Creutz
Zeile 1: Zeile 1:
-Forensische Toolsammlung: https://github.com/mesquidar/ForensicsTools#browser-artifacts 
  
  
-====== Imaging mit FTK-Imager unter Windows ====== +{{:edv:forensik-logo.png?400|}} \\
-Der FTK Imager von AccessData ist ein Standardwerkzeug in der IT-Forensik. Er dient primär dazu, eine bit-genaue, forensisch saubere Kopie (//Image//) eines Datenträgers zu erstellen. Dieser Prozess ist die Grundlage für fast jede weitere Analyse. +
-{{ :edv:forensik:ftk.png?300|}} +
-Hier ist eine Anleitung zur Vorgehensweise und zu den Erkenntnissen, die man daraus zieht. +
-===== 1. Vorbereitung: Die forensischen Grundsätze =====+
  
-Bevor die Software gestartet wird, muss die Integrität des Beweismittels sichergestellt werden.+<WRAP info> 
 +In diesem Teil wenden wir die theoretischen Grundsätze der Forensik auf reale Szenarien an und stellen konkrete Schritt-für-Schritt-Anleitungen für die gängigsten Werkzeuge bereit.
  
-Schreibschutz (Write-Blocking): Das Original-Medium (z.B. eine Festplatte) muss über einen Hardware-Write-Blocker an die forensische Workstation angeschlossen werden. Dies verhindert jegliche Schreibzugriffe und damit Veränderungen am Original-Beweismittel.+**Nützliche Ressource:** [[https://github.com/mesquidar/ForensicsTools#browser-artifacts|Umfassende Forensische Toolsammlung (GitHub)]] 
 +</WRAP> 
 +</WRAP> 
 +</WRAP>
  
-Dokumentation: Führen Sie von Anfang an ein genaues Protokoll (Chain of Custody). Notieren Sie Datum, Zeit, beteiligte Personen und fotografieren Sie den Aufbau und das Asservat (inkl. Seriennummern).+====== Praxis-Szenarien (Fallbeispiele) ======
  
-Ziel-Laufwerk: Stellen Sie sicher, dass das Ziellaufwerk, auf dem das Image gespeichert wird, leer (forensisch "gewiped") und ausreichend groß ist.+==== Fallbeispiel 1: Der Post-Mortem Klassiker (Windows) ==== 
 +<WRAP box> 
 +**Szenario:** Ein Windows-Client in der Buchhaltung verhält sich verdächtig. Der PC wurde physisch vom Netzwerk getrennt. Die Festplatte wurde ausgebaut und an das forensische Labor übergeben. 
 +</WRAP> 
 +  - **Asservierung & Schreibschutz:** Der Forensiker dokumentiert Seriennummern und Zustand (Chain of Custody). Die Platte wird über einen **Hardware Write-Blocker** angeschlossen, um Datenveränderungen physikalisch zu unterbinden. 
 +  - **Imaging:** Mit dem **FTK Imager** wird eine bit-genaue Kopie im **E01-Format** erstellt. Das Original wandert danach sicher in den Tresor. 
 +  - **Die Analyse (Der Fund):** Das Image wird in **Autopsy** geladen. Bei der Auswertung fällt auf: Der Ordner //Downloads// ist scheinbar leer. Der //PhotoRec Carver// bringt jedoch aus dem unallocated space eine gelöschte Datei namens ``invoice_2026.pdf.exe`` zum Vorschein. Der Abgleich der Zeitstempel beweist: Diese Ransomware wurde exakt 3 Minuten vor der Verschlüsselung der Benutzerdateien aus einer Phishing-Mail ausgeführt.
  
-===== 2. Die Imaging-Erstellung mit FTK Imager (Schritt-für-Schritt) =====+==== Fallbeispiel 2: Enterprise Incident (RHEL 7) ==== 
 +<WRAP box> 
 +**Szenario:** Auf einem RHEL 7 Server läuft eine Webanwendung (Nginx). Der Server ist ans Active Directory angebunden. Ein Angreifer hat ein AD-Konto kompromittiert und sich SSH-Zugriff verschafft. Der Vorfall wird entdeckt, während der Server noch läuft. 
 +</WRAP> 
 +  - **Live-Analyse (vor dem Shutdown):** Der Admin nutzt das ``/proc``-Verzeichnis, um flüchtige Daten im RAM zu sichern. Er findet einen verdächtigen Prozess: 
 +<file bash> 
 +# Prüfung des Binaries des Prozesses PID 8892: 
 +ls -l /proc/8892/exe 
 +# Ausgabe: lrwxrwxrwx 1 root root 0 Aug 8 22:15 /proc/8892/exe -> /tmp/.hidden/rshell (deleted)
  
-Der Prozess wird durch einen Assistenten in FTK Imager geführt.+# Sichern der gelöschten Malware direkt aus dem RAM auf einen forensischen USB-Stick: 
 +cp /proc/8892/exe /mnt/forensic_usb/rshell_dump.bin 
 +sha256sum /mnt/forensic_usb/rshell_dump.bin > /mnt/forensic_usb/rshell_dump.sha256 
 +</file> 
 +  - **Log-Analyse:** Die Auswertung von ``/var/log/secure`` zeigt den SSH-Login des AD-Users. ``/var/log/nginx/access.log`` bestätigt, dass die Webanwendung nicht gehackt wurde (Passwort stammte z.B. aus Phishing). Die gelöschte ``.bash_history`` umgeht der Forensiker durch die Auswertung des **auditd**-Logs (``/var/log/audit/audit.log``), welches den Download der Reverse-Shell auf Kernelsebene dokumentiert.
  
-==== Schritt 1: Quelle auswählen ==== 
-Nach dem Start von FTK Imager wählen Sie im Menü //File -> Create Disk Image//. Sie werden aufgefordert, den Quell-Typ anzugeben. 
  
-Source Type: Wählen Sie hier Physical Drive. Dies stellt sicher, dass der gesamte Datenträger Sektor für Sektor kopiert wird, inklusive unpartitionierter Bereiche und des Master Boot Records (MBR). Die Auswahl //Logical Drive// würde nur eine einzelne Partition (z.B. C:) sichern, was unvollständig wäre.+====== Forensik-Playbook: Imaging ======
  
-==== Schritt 2: Image-Typ festlegen ==== +===== Imaging mit FTK-Imager unter Windows ===== 
-Sie müssen nun das Format für die Image-Datei festlegen. E01 (EnCase Evidence File) ist der De-facto-Industriestandard und wird empfohlen.+Der FTK Imager von AccessData ist ein Standardwerkzeug. Er dient primär dazu, eine bit-genaue, forensisch saubere Kopie (//Image//) eines Datenträgers zu erstellen. 
 +{{ :edv:forensik:ftk.png?300|}}
  
-^ Image-Typ ^ Beschreibung ^ Vorteile ^ +==== 1. Vorbereitung (Forensische Grundsätze) ==== 
-| Raw (dd) | Eine reine, unkomprimierte 1:1-Kopie des Datenträgers. | Höchste Kompatibilität mit allen Tools. | +  * **Schreibschutz:** Das Original-Medium muss über einen Hardware-Write-Blocker angeschlossen werden. 
-| E01 | Ein komprimiertes und in Segmente aufgeteiltes Format. | Spart Speicherplatz, enthält Metadaten (Fall-Infos), interne Hash-Verifizierung (CRC32), sicher gegen Manipulation. | +  * **Dokumentation:** Protokoll führen (Datum, Zeit, Personen, Fotos, Seriennummern). 
-| SMART / AFF | Alternative Formate, seltener im Einsatz. | //Meist nicht notwendig, E01 ist die beste Wahl.// |+  * **Ziel-Laufwerk:** Muss ausreichend groß und leer (forensisch "gewiped") sein.
  
-==== Schritt 3: Beweismittel-Informationen (Metadaten) ==== +==== 2. Die Image-Erstellung (Schritt-für-Schritt) ==== 
-Füllen Sie die nachfolgende Maske sorgfältig aus. Diese Informationen werden in die Image-Datei (bei E01) eingebettet und sind ein wichtiger Teil der Dokumentation.+  - **Quelle wählen:** //File -> Create Disk Image//. Wählen Sie als Source Type **Physical Drive** (Sichert MBR und unpartitionierte Bereiche. //Logical Drive// würde nur Partitionen wie C: sichern). 
 +  - **Image-Typ:** **E01** (EnCase Evidence File) wird empfohlen. Es komprimiert, splittet in Segmente und bettet Metadaten sowie Hashwerte manipulationssicher ein. (Alternativen: //Raw/dd// oder //AFF//). 
 +  - **Beweismittel-Infos:** Case Number, Evidence Number (Asservat), Unique Description und Examiner ausfüllen. 
 +  - **Start & Verify:** Zielordner wählen. **WICHTIG:** Option //"Verify images after they are created"// aktivieren! Danach auf "Start" klicken.
  
-Case Number: Aktenzeichen oder Fallnummer +==== 3. Erkenntnisse aus dem Prozess ==== 
- +  * **Nachweis der Integrität:** FTK Imager stellt am Ende Original- und Image-Hashes (MD5/SHA1) gegenüber. Sind sie identisch, ist die 1:1-Kopie gerichtlich bewiesen. 
-Evidence Number: Eindeutige Asservatennummer (z.B. 001) +  * **Erste Image-Sichtung:** Sie können das Image im FTK Imager als //Evidence Item// laden, versteckte/gelöschte Dateien sehen, MAC-Times (Modified, Accessed, Created) prüfen oder bei Memory-Dumps nach Klartext-Passwörtern suchen.
- +
-Unique Description: Kurze Beschreibung (z.B. "HDD aus Notebook von Max Mustermann") +
- +
-Examiner: Name des durchführenden Forensikers +
- +
-==== Schritt 4: Speicherort und Start ==== +
-Wählen Sie den Zielordner und den Dateinamen für das Image. Wichtig: Aktivieren Sie die Option "Verify images after they are created". +
- +
-Start: Klicken Sie auf "Start". Der Prozess beginnt nun. FTK Imager liest den gesamten Quelldatenträger und schreibt die Daten in die Zieldatei(en). +
- +
-==== Schritt 5: Abschluss und Verifizierung ==== +
-Nachdem das Image geschrieben wurde, startet automatisch der Verifizierungsprozess. FTK Imager liest das gerade erstellte Image erneut und berechnet dessen Hashwert. +
- +
-===== 3. Erkenntnisse aus dem Imaging-Prozess und dem Image ===== +
- +
-==== Erkenntnisse aus dem //Imaging-Prozess// selbst ==== +
- +
-Der reine Vorgang des Imaging liefert bereits entscheidende, gerichtsverwertbare Fakten: +
- +
-Nachweis der Integrität: Am Ende des Prozesses zeigt FTK Imager eine Zusammenfassung an. Dort werden die berechneten Hashwerte (MD5 und SHA1) des Original-Laufwerks und des erstellten Images gegenübergestellt. Wenn diese Werte identisch sind, haben Sie den mathematischen Beweis, dass Ihre Kopie eine exakte 1:1-Kopie des Originals ist. Dieser Schritt ist der wichtigste für die Gerichtsverwertbarkeit. +
- +
-Hardware-Dokumentation: Die Software protokolliert technische Details des Original-Datenträgers wie Modell, Seriennummer und Größe. +
- +
-Fehlerhafte Sektoren: FTK Imager meldet und protokolliert Lesefehler (//Bad Sectors//). Dies kann ein Hinweis auf einen physischen Defekt des Datenträgers sein. +
- +
-==== Erkenntnisse aus der //Analyse des erstellten Images// ==== +
- +
-Das Image ist nun die Grundlage für die eigentliche Analyse. Mit FTK Imager selbst können Sie bereits eine erste Sichtung durchführen, ohne das Original zu gefährden: +
- +
-Sichere Dateisystem-Analyse: Sie können das Image in FTK Imager öffnen (//File -> Add Evidence Item//) und durch die Verzeichnisstruktur navigieren, als wäre es ein normales Laufwerk. Sie sehen alle Dateien, auch versteckte und Systemdateien. +
- +
-Wiederherstellung gelöschter Daten: FTK Imager zeigt gelöschte Dateien an und erlaubt deren Export. Das Image enthält auch den //unallocated space//, in dem die Inhalte dieser Dateien noch liegen. +
- +
-Vorschau und Export: Sie können Dateien direkt im Programm ansehen (Texte, Bilder etc.) und gezielt exportieren, ohne das Image zu verändern. +
- +
-Metadaten-Sichtung: Sie können grundlegende Metadaten von Dateien (Erstellt, Geändert, Letzter Zugriff - MAC-Times) einsehen. +
- +
-Suche im Arbeitsspeicher: Wenn Sie ein Image des Arbeitsspeichers (RAM) erstellt haben, können Sie dieses nach Passwörtern im Klartext, IP-Adressen, Chat-Fragmenten und anderer flüchtiger Evidenz durchsuchen.+
  
 ---- ----
  
-====== Forensisches Imaging mit Guymager unter Linux ====== +===== Forensisches Imaging mit Guymager (Linux) ===== 
- +Guymager ist ein grafisches Werkzeug (z.B. in Kali Linux), das forensische Prinzipien strikt einhält.
-Diese Anleitung beschreibt das methodisch saubere Vorgehen zur Erstellung einer bit-genauen Kopie (//Image//) eines Datenträgers mit dem Werkzeug Guymager. Das Ziel ist nicht nur die reine Kopie, sondern die Einhaltung forensischer Prinzipien, um die Gerichtsverwertbarkeit des Images sicherzustellen.+
 {{ :edv:forensik:guymager.png?400|}} {{ :edv:forensik:guymager.png?400|}}
  
-===== 1. Vorbereitung: Die unverhandelbaren Grundlagen =====+==== 1. Schritt-für-Schritt ==== 
 +  - **Laufwerk wählen:** Guymager mit ``sudo guymager`` starten. Quell-Laufwerk identifizieren (z.B. ``/dev/sdb``), Rechtsklick -> //Acquire image//. 
 +  - **Format:** "Expert Witness Compression Format (EWF/E01)" wählen. //Split image files// auf z.B. 2048 MiB setzen. 
 +  - **Hash-Verifizierung:** Unter "Hash calculation" MD5 und SHA256 aktivieren. Die Option //"Verify image after acquisition"// ist **zwingend erforderlich**. 
 +  - **Metadaten:** Fallnummer, Asservat und Examiner ausfüllen. Prozess starten.
  
-Bevor Guymager gestartet wird, müssen die Rahmenbedingungen stimmen. Dieser Schritt ist entscheidend für die forensische Korrektheit. +==== 2. Das Ergebnis (Die .info Datei) ==== 
- +Guymager erstellt neben den Image-Dateien (``.E01``, ``.E02``) eine **.info-Datei**. Diese Textdatei ist essentiell für die Chain of Custody und enthält: 
-1. Physischer Schreibschutz (Write-Blocker): Das Original-Beweismittel (//Source//) muss über einen Hardware-Write-Blocker mit der forensischen Workstation verbunden werden. Dies ist die einzige Garantie dafür, dass keine Daten auf dem Original verändert werden. +  * Exakte Start-/Endzeiten und Hardwaredetails. 
- +  * Die berechneten Hashwerte (Quelle vs. Image) – der mathematische Beweis der Integrität. 
-2. Forensisch sauberes Zielmedium (Destination): Der Datenträger, auf dem das Image gespeichert werden soll, muss ausreichend groß und nachweislich leer sein (z.B. durch einen vorherigen //Wipe//-Vorgang). Dies verhindert eine Kontamination der Beweise. +  * Protokollierte Lesefehler (Bad Sectors).
- +
-3. Lückenlose Dokumentation: Beginnen Sie Ihr Untersuchungsprotokoll (//Chain of Custody//). Dokumentieren Sie Datum, Uhrzeit, Fallnummer, Asservatennummer, Seriennummern der Geräte (Beweismittel, Write-Blocker, Zieldatenträger) und machen Sie Fotos vom Aufbau. +
- +
-===== 2. Der Imaging-Prozess: Schritt-für-Schritt in Guymager ===== +
- +
-Führen Sie Guymager mit administrativen Rechten aus (z.B. via sudo guymager). +
- +
-==== Schritt 1: Quell-Laufwerk identifizieren und auswählen ==== +
-Guymager listet nach dem Start alle erkannten Laufwerke auf. +
- +
-Identifizieren Sie das korrekte Quell-Laufwerk anhand seiner Bezeichnung (z.B. /dev/sdb), Größe und des Herstellermodells. Guymager hilft dabei, indem es Systemlaufwerke der Workstation markiert, um Verwechslungen zu vermeiden. +
- +
-Klicken Sie mit der rechten Maustaste auf das Quell-Laufwerk und wählen Sie "Acquire image". +
- +
-==== Schritt 2: Imaging-Optionen konfigurieren ==== +
-Ein Konfigurationsfenster öffnet sich. Hier werden alle Parameter für das forensisch saubere Image festgelegt. +
- +
-Reiter "Format": +
- +
-File format: Wählen Sie "Linux DD raw image" für maximale Kompatibilität oder "Expert Witness Compression Format (EWF/E01)". +
- +
-Empfehlung: E01 ist der Industriestandard. Es bietet Komprimierung, teilt das Image in handhabbare Segmente und speichert Metadaten direkt in der Datei. +
- +
-Split image files: Legen Sie eine Segmentgröße fest (z.B. 2048 MiB), um das Image in kleinere Dateien aufzuteilen. +
- +
-Reiter "Destination": +
- +
-Image directory: Wählen Sie den Ordner auf Ihrem Ziel-Laufwerk. +
- +
-Image filename: Geben Sie einen aussagekräftigen Dateinamen nach einem festen Schema ein, z.B. Fallnummer_Asservatennummer_Datum (Bsp: 2025-09-15_A01_System-HDD). +
- +
-Reiter "Hash calculation / verification": +
- +
-Hashes to calculate: Aktivieren Sie MD5 und mindestens SHA1 oder SHA256. Die Berechnung mehrerer Hashes erhöht die Beweiskraft. +
- +
-Verify image after acquisition: Diese Option ist zwingend erforderlich. Guymager berechnet nach dem Schreibvorgang den Hashwert des erstellten Images erneut und vergleicht ihn mit dem Hash des Originals. +
- +
-Reiter "Case information": +
- +
-Füllen Sie die Metadaten-Felder sorgfältig aus. Diese Informationen werden Teil der Log-Datei und (bei E01) des Images selbst. +
- +
-Case number: Fallnummer +
- +
-Evidence number: Asservatennummer +
- +
-Examiner: Name des Forensikers +
- +
-Description: Kurzbeschreibung des Asservats +
- +
-==== Schritt 3: Prozess starten und überwachen ==== +
- +
-Klicken Sie auf "Start". Der Imaging-Prozess beginnt. +
- +
-Das Statusfenster zeigt nun in Echtzeit den Fortschritt, die Lesegeschwindigkeit, gefundene Fehler (//Bad Sectors//) und die verbleibende Zeit an. +
- +
-Warten Sie, bis der Lese- (Acquisition) und der anschließende Verifizierungs-Prozess (Verification) vollständig abgeschlossen sind. +
- +
-===== 3. Das Ergebnis: Image-Dateien und Protokoll ===== +
- +
-Nach erfolgreichem Abschluss finden Sie im Zielordner: +
- +
-Die Image-Datei(en): Z.B. 2025-09-15_A01_System-HDD.E01, ...E02, usw. +
- +
-Die Info-Datei: Z.B. 2025-09-15_A01_System-HDD.info. Diese Textdatei ist ein essentieller Teil Ihrer Dokumentation. +
- +
-Die .info-Datei enthält: +
- +
-Alle von Ihnen eingegebenen Fall-Informationen. +
- +
-Genaue technische Details zum Quell-Laufwerk (Hersteller, Modell, Seriennummer). +
- +
-Den exakten Start- und Endzeitpunkt des Prozesses. +
- +
-Die berechneten Hashwerte (MD5, SHA1/256) der Quelle. +
- +
-Die berechneten Hashwerte des Images nach der Verifizierung. +
- +
-Eine Liste aller Lesefehler, falls vorhanden. +
- +
-===== 4. Abschluss: Die forensische Korrektheit sicherstellen ===== +
- +
-Ein Image ist dann "forensisch korrekt" erstellt, wenn Sie die folgenden Punkte zweifelsfrei belegen können: +
- +
-Unveränderlichkeit: Der Einsatz eines Hardware-Write-Blockers hat das Original geschützt. +
- +
-Vollständigkeit: Das Image ist eine bit-genaue Kopie des Originals. +
- +
-Integrität: Der Hashwert der Quelle und der Hashwert des Images sind identisch. Dies wird in der .info-Datei von Guymager bestätigt und ist der mathematische Beweis für eine 1:1-Kopie. +
- +
-Dokumentation: Der gesamte Prozess wurde sowohl manuell im Untersuchungsprotokoll als auch automatisch durch die .info-Datei von Guymager lückenlos dokumentiert. +
- +
-Sichern Sie die erstellten Image-Dateien sowie die .info-Datei zusammen mit Ihrem Untersuchungsprotokoll als Teil der Fallakte. Die Analyse findet nun ausschließlich auf den Image-Dateien statt.+
  
 ---- ----
  
-====== Anleitung: Forensisches Imaging mit dd ====== +===== Anleitung: Forensisches Imaging mit dd =====
- +
-Das Linux-Standardwerkzeug dd kann für das forensische Imaging verwendet werden. Es erstellt eine exakte bit-genaue Kopie, erfordert jedoch absolute Sorgfalt und manuelle Zusatzschritte, um als forensisch korrekt zu gelten. +
 <WRAP danger> <WRAP danger>
-WARNUNG: dd ist ein extrem mächtiges, aber auch gefährliches Werkzeug. Ein einziger Tippfehler, insbesondere die Vertauschung von Quelle (//if//) und Ziel (//of//), kann das Original-Beweismittel unwiderruflich zerstören. Der Einsatz von sichereren, spezialisierten Tools wie Guymager wird für Einsteiger und wann immer möglich dringend empfohlen. Diese Anleitung richtet sich an erfahrene Anwender.+**WARNUNG:** ``dd`` ist extrem mächtig. Ein Vertauschen von Quelle (//if//) und Ziel (//of//) zerstört das Original-Beweismittel unwiderruflich! Nutzung auf eigene Gefahr.
 </WRAP> </WRAP>
  
-===== 1. Vorbereitung (Obligatorisch) =====+==== 1. Identifikation & Pre-Hashing ==== 
 +<file bash> 
 +# 1. Gerätedateien exakt identifizieren 
 +lsblk -o NAME,SIZE,MODEL,SERIAL
  
-1. Physischer Schreibschutz (Write-Blocker): Verbinden Sie den Original-Datenträger zwingend über einen Hardware-Write-Blocker mit Ihrer forensischen Workstation.+# 2. Hashwert des Originals berechnen (Referenzwert dokumentieren!) 
 +sudo sha256sum /dev/sdb 
 +</file>
  
-2. Sauberes Zielmedium: Stellen Sie sicher, dass das Ziellaufwerk, auf dem das Image gespeichert wird, ausreichend groß und forensisch sauber (gewiped) ist.+==== 2. Imaging & Post-Hashing ==== 
 +Die Optionen ``noerror`` (ignoriert Lesefehler) und ``sync`` (füllt Lücken mit Null-Bytes, um Offsets zu wahren) sind forensisch Pflicht! 
 +<file bash> 
 +# 3. Imaging starten (mit pv für eine Fortschrittsanzeige) 
 +sudo dd if=/dev/sdb bs=4M conv=noerror,sync | pv | sudo dd of=/mnt/forensic_drive/image.dd
  
-3. Lückenlose Dokumentation: Führen Sie ein genaues Protokoll (//Chain of Custody//). Notieren Sie alle Schritte, Zeiten, Gerätedaten und erstellen Sie Fotos vom Aufbau.+# 4. Hashwert der Kopie berechnen und mit dem Referenzwert vergleichen 
 +sha256sum /mnt/forensic_drive/image.dd 
 +</file> 
 +Stimmen beide Hashes überein, haben Sie ein forensisch korrektes RAW-Image.
  
-4. Terminal öffnen: Alle folgenden Befehle werden in einem Linux-Terminal ausgeführt. 
  
-===== 2. Der forensische Prozess mit dd (Schritt-für-Schritt) ===== +====== Forensik-Playbook: Analyse ======
- +
-Der Prozess besteht aus mehreren manuellen Schritten, die exakt befolgt werden müssen. +
- +
-==== Schritt 1: Gerätedateien exakt identifizieren ==== +
-Identifizieren Sie die Gerätedateien des Quell- und Ziellaufwerks. Führen Sie den Befehl mit administrativen Rechten aus. +
- +
-<code>sudo fdisk -l</code> +
-//oder// +
-<code>lsblk -o NAME,SIZE,MODEL,SERIAL</code> +
- +
-Die Ausgabe listet alle Laufwerke auf. Identifizieren Sie Ihr Quell-Laufwerk (z.B. /dev/sdb) und den Einhängepunkt Ihres Ziel-Laufwerks (z.B. /mnt/forensic_drive). Eine Verwechslung an dieser Stelle ist fatal! +
- +
-==== Schritt 2: Hashwert des Originals berechnen (Pre-Hashing) ==== +
-Bevor Sie kopieren, müssen Sie den Hashwert des kompletten Original-Datenträgers berechnen. Dieser Wert ist der Referenzwert für die spätere Verifizierung. +
- +
-<code>sudo sha256sum /dev/sdb</code> +
- +
-Dieser Vorgang kann je nach Größe des Datenträgers lange dauern. Kopieren Sie den ausgegebenen Hashwert exakt in Ihre Dokumentation. +
- +
-//Beispiel-Ausgabe:// +
-<code>a1b2c3d4e5f6[...]7890  /dev/sdb</code> +
- +
-==== Schritt 3: Das Imaging mit dd durchführen ==== +
-Nun wird die bit-genaue Kopie erstellt. Der folgende Befehl enthält wichtige Parameter für den forensischen Einsatz: +
- +
-if= : Input File (Ihre Quelle, z.B. /dev/sdb) +
- +
-of= : Output File (Ihr Ziel, z.B. /mnt/forensic_drive/image.dd) +
- +
-bs= : Block Size (definiert die Les- und Schreib-Größe, 4M ist ein guter Standardwert für die Geschwindigkeit) +
- +
-conv=noerror,sync : +
- +
-noerror: Ignoriert Lesefehler (Bad Sectors) und bricht nicht ab. +
- +
-sync: Füllt die durch Lesefehler entstandenen Lücken in der Kopie mit Null-Bytes. Dies stellt sicher, dass die Daten-Offsets im Image mit dem Original übereinstimmen. +
- +
-Führen Sie den Befehl aus: +
- +
-<code>sudo dd if=/dev/sdb of=/mnt/forensic_drive/image.dd bs=4M conv=noerror,sync</code> +
- +
-Tipp für eine Fortschrittsanzeige: +
-dd zeigt standardmäßig keinen Fortschritt an. Sie können das Tool pv (Pipe Viewer) verwenden, um den Fortschritt zu sehen (muss eventuell nachinstalliert werden: sudo apt install pv): +
- +
-<code>sudo dd if=/dev/sdb bs=4M conv=noerror,sync | pv | sudo dd of=/mnt/forensic_drive/image.dd</code> +
- +
-==== Schritt 4: Hashwert der Kopie berechnen (Post-Hashing) ==== +
-Nachdem der Kopiervorgang abgeschlossen ist, berechnen Sie den Hashwert der erstellten Image-Datei. +
- +
-<code>sha256sum /mnt/forensic_drive/image.dd</code> +
- +
-Kopieren Sie auch diesen Hashwert exakt in Ihre Dokumentation. +
- +
-//Beispiel-Ausgabe:// +
-<code>a1b2c3d4e5f6[...]7890  /mnt/forensic_drive/image.dd</code> +
- +
-==== Schritt 5: Hashwerte vergleichen (Der Beweis) ==== +
-Dies ist der entscheidende Schritt zur Verifizierung. Vergleichen Sie den Hashwert des Originals (aus Schritt 2) mit dem Hashwert der Kopie (aus Schritt 4). +
- +
-Sind die Hashwerte absolut identisch? Herzlichen Glückwunsch. Sie haben den mathematischen Beweis erbracht, dass es sich bei Ihrer Kopie um ein exaktes, unverändertes 1:1-Abbild des Originals handelt. +
- +
-Weichen die Hashwerte voneinander ab? Der Prozess ist fehlgeschlagen. Das Image ist forensisch wertlos. Mögliche Ursachen sind ein defekter Write-Blocker, fehlerhafter RAM in der Workstation oder ein Fehler im Vorgehen. +
- +
-===== 3. Abschluss und Dokumentation ===== +
- +
-Ein mit dd erstelltes Image ist nur dann forensisch korrekt, wenn der gesamte Prozess lückenlos dokumentiert wurde. Ihre finale Dokumentation muss enthalten: +
- +
-Alle Befehle, die Sie eingegeben haben. +
- +
-Die vollständigen Terminal-Ausgaben, insbesondere die Hash-Berechnungen. +
- +
-Die Ergebnisse des Hash-Vergleichs. +
- +
-Alle Informationen aus Ihrer manuellen Protokollierung (Zeiten, Personen, Fotos etc.). +
- +
-Die erstellte .dd-Datei (ein sogenanntes RAW-Image) kann nun für die Analyse in forensische Software wie Autopsy oder den FTK Imager geladen werden.+
  
 +===== Forensische Analyse mit Autopsy =====
 +<WRAP info>
 +Autopsy bietet eine GUI für die Tools des //Sleuth Kit (TSK)//. 
 +**Präsentation:** [[https://de.slideshare.net/slideshow/autopsy-digital-forensics-tool/145970562|Autopsy Digital Forensics Tool (SlideShare)]]
 +</WRAP>
 +{{ :edv:forensik:autopsy.png?400|}}
  
 +==== 1. Fallanlage und Datenquelle ====
 +  - **New Case:** Fallnamen (z.B. Fall-001) und Basis-Verzeichnis für Metadaten anlegen.
 +  - **Data Source:** Das E01-Image auswählen und die korrekte Zeitzone des Zielsystems einstellen.
 +  - **Ingest Modules:** Aktivieren Sie die Analyse-Roboter:
 +    * //Recent Activity// (Bash-History, Logs)
 +    * //Hash Lookup// (Gleicht Hashes mit NSRL oder Malware-Datenbanken ab)
 +    * //PhotoRec Carver// (Wichtig: Stellt gelöschte Dateien aus dem unallocated space wieder her!)
  
 +==== 2. Die Analyse (Tipps für Linux) ====
 +  * **Sichten der Dateisysteme:** Prüfen Sie ``/home/<user>`` (versteckte Dateien), ``/etc/`` (Konfigurationen) und ``/var/log/`` (wer war wann eingeloggt?).
 +  * **Timeline (Zeitstrahl-Analyse):** Eines der mächtigsten Tools. Visualisiert alle Dateiaktivitäten (MAC-Times). Perfekt, um Aktivitätsspitzen rund um den Tatzeitpunkt zu finden.
 +  * **Ergebnisse sichten:** Unter //Results// finden sich extrahierte Web-Artefakte, Keyword-Treffer und wiederhergestellte Dateien.
  
 +==== 3. Tagging und Berichterstellung ====
 +Rechtsklicken Sie auf Funde und wählen Sie **"Tag and Comment"** (z.B. als "Beweisstück"). Über **"Generate Report"** (HTML/PDF) erstellt Autopsy am Ende automatisch ein Gutachten mit allen getaggten Dateien, deren Hashes und Ihren Kommentaren.
  
 +----
  
 +===== Weitere hilfreiche Tools =====
 +<WRAP group>
 +<WRAP half column>
 +**Windows Defender / Event Logs**
 +Der Defender ist ein Schutzmechanismus, aber seine Logs (//Microsoft-Windows-Windows Defender/Operational//) sind Gold wert, um den exakten "Point of Entry" (Ersterkennung einer Malware) zu rekonstruieren.
 +</WRAP>
 +<WRAP half column>
 +**NirLauncher**
 +Eine Sammlung von >200 portablen Tools von NirSoft. Perfekt für Live-Systeme oder gemountete Images, um extrem schnell Browser-Historien, Passwörter oder USB-Verbindungsverläufe auszulesen.
 +</WRAP>
 +</WRAP>
  
 +**Verwendung von KI-Tools**
 +KI dient Forensikern zunehmend als "Trüffelschwein": Sie erkennt Anomalien in riesigen PCAP-Netzwerkmitschnitten, clustert Logfiles oder hilft beim De-obfuskieren (Entschlüsseln) verschleierter Skripte. **Aber:** Die Ergebnisse sind eine Black-Box und vor Gericht nicht gerichtsverwertbar. Die Beweisführung muss am Ende durch den Forensiker manuell und reproduzierbar (z.B. via Autopsy) nachgewiesen werden.
  
 +----
 +**Zurück zu:** [[edv:forensik:start|Teil 1: Theoretischer Teil]]