Unterschiede

Hier werden die Unterschiede zwischen zwei Versionen angezeigt.

--- edv:forensik:praxis [18 42 2025 18 : 42] – [Schritt 10: Bericht generieren] André Reichert-Creutz
+++ edv:forensik:praxis [08 05 2026 21 : 05] (aktuell) – [IT-Forensik: Praktischer Teil] André Reichert-Creutz
@@ Zeile 1: / Zeile 1: @@
-{{:edv:forensik-logo.png?400|}} \\
-Forensische Toolsammlung: https://github.com/mesquidar/ForensicsTools#browser-artifacts
-====== Imaging mit FTK-Imager unter Windows ======
+{{:edv:forensik-logo.png?400|}} \\
-Der FTK Imager von AccessData ist ein Standardwerkzeug in der IT-Forensik. Er dient primär dazu, eine bit-genaue, forensisch saubere Kopie (//Image//) eines Datenträgers zu erstellen. Dieser Prozess ist die Grundlage für fast jede weitere Analyse.
-{{ :edv:forensik:ftk.png?300|}}
-Hier ist eine Anleitung zur Vorgehensweise und zu den Erkenntnissen, die man daraus zieht.
-===== 1. Vorbereitung: Die forensischen Grundsätze =====
-Bevor die Software gestartet wird, muss die Integrität des Beweismittels sichergestellt werden.
+<WRAP info>
+In diesem Teil wenden wir die theoretischen Grundsätze der Forensik auf reale Szenarien an und stellen konkrete Schritt-für-Schritt-Anleitungen für die gängigsten Werkzeuge bereit.
-Schreibschutz (Write-Blocking): Das Original-Medium (z.B. eine Festplatte) muss über einen Hardware-Write-Blocker an die forensische Workstation angeschlossen werden. Dies verhindert jegliche Schreibzugriffe und damit Veränderungen am Original-Beweismittel.
+**Nützliche Ressource:** [[https://github.com/mesquidar/ForensicsTools#browser-artifacts|Umfassende Forensische Toolsammlung (GitHub)]]
+</WRAP>
+</WRAP>
+</WRAP>
-Dokumentation: Führen Sie von Anfang an ein genaues Protokoll (Chain of Custody). Notieren Sie Datum, Zeit, beteiligte Personen und fotografieren Sie den Aufbau und das Asservat (inkl. Seriennummern).
+====== Praxis-Szenarien (Fallbeispiele) ======
-Ziel-Laufwerk: Stellen Sie sicher, dass das Ziellaufwerk, auf dem das Image gespeichert wird, leer (forensisch "gewiped") und ausreichend groß ist.
+==== Fallbeispiel 1: Der Post-Mortem Klassiker (Windows) ====
+<WRAP box>
+**Szenario:** Ein Windows-Client in der Buchhaltung verhält sich verdächtig. Der PC wurde physisch vom Netzwerk getrennt. Die Festplatte wurde ausgebaut und an das forensische Labor übergeben.
+</WRAP>
+  - **Asservierung & Schreibschutz:** Der Forensiker dokumentiert Seriennummern und Zustand (Chain of Custody). Die Platte wird über einen **Hardware Write-Blocker** angeschlossen, um Datenveränderungen physikalisch zu unterbinden.
+  - **Imaging:** Mit dem **FTK Imager** wird eine bit-genaue Kopie im **E01-Format** erstellt. Das Original wandert danach sicher in den Tresor.
+  - **Die Analyse (Der Fund):** Das Image wird in **Autopsy** geladen. Bei der Auswertung fällt auf: Der Ordner //Downloads// ist scheinbar leer. Der //PhotoRec Carver// bringt jedoch aus dem unallocated space eine gelöschte Datei namens ``invoice_2026.pdf.exe`` zum Vorschein. Der Abgleich der Zeitstempel beweist: Diese Ransomware wurde exakt 3 Minuten vor der Verschlüsselung der Benutzerdateien aus einer Phishing-Mail ausgeführt.
-===== 2. Die Imaging-Erstellung mit FTK Imager (Schritt-für-Schritt) =====
+==== Fallbeispiel 2: Enterprise Incident (RHEL 7) ====
+<WRAP box>
+**Szenario:** Auf einem RHEL 7 Server läuft eine Webanwendung (Nginx). Der Server ist ans Active Directory angebunden. Ein Angreifer hat ein AD-Konto kompromittiert und sich SSH-Zugriff verschafft. Der Vorfall wird entdeckt, während der Server noch läuft.
+</WRAP>
+  - **Live-Analyse (vor dem Shutdown):** Der Admin nutzt das ``/proc``-Verzeichnis, um flüchtige Daten im RAM zu sichern. Er findet einen verdächtigen Prozess:
+<file bash>
+# Prüfung des Binaries des Prozesses PID 8892:
+ls -l /proc/8892/exe
+# Ausgabe: lrwxrwxrwx 1 root root 0 Aug 8 22:15 /proc/8892/exe -> /tmp/.hidden/rshell (deleted)
-Der Prozess wird durch einen Assistenten in FTK Imager geführt.
+# Sichern der gelöschten Malware direkt aus dem RAM auf einen forensischen USB-Stick:
+cp /proc/8892/exe /mnt/forensic_usb/rshell_dump.bin
+sha256sum /mnt/forensic_usb/rshell_dump.bin > /mnt/forensic_usb/rshell_dump.sha256
+</file>
+  - **Log-Analyse:** Die Auswertung von ``/var/log/secure`` zeigt den SSH-Login des AD-Users. ``/var/log/nginx/access.log`` bestätigt, dass die Webanwendung nicht gehackt wurde (Passwort stammte z.B. aus Phishing). Die gelöschte ``.bash_history`` umgeht der Forensiker durch die Auswertung des **auditd**-Logs (``/var/log/audit/audit.log``), welches den Download der Reverse-Shell auf Kernelsebene dokumentiert.
-==== Schritt 1: Quelle auswählen ====
-Nach dem Start von FTK Imager wählen Sie im Menü //File -> Create Disk Image//. Sie werden aufgefordert, den Quell-Typ anzugeben.
-Source Type: Wählen Sie hier Physical Drive. Dies stellt sicher, dass der gesamte Datenträger Sektor für Sektor kopiert wird, inklusive unpartitionierter Bereiche und des Master Boot Records (MBR). Die Auswahl //Logical Drive// würde nur eine einzelne Partition (z.B. C:) sichern, was unvollständig wäre.
+====== Forensik-Playbook: Imaging ======
-==== Schritt 2: Image-Typ festlegen ====
+===== Imaging mit FTK-Imager unter Windows =====
-Sie müssen nun das Format für die Image-Datei festlegen. E01 (EnCase Evidence File) ist der De-facto-Industriestandard und wird empfohlen.
+Der FTK Imager von AccessData ist ein Standardwerkzeug. Er dient primär dazu, eine bit-genaue, forensisch saubere Kopie (//Image//) eines Datenträgers zu erstellen.
+{{ :edv:forensik:ftk.png?300|}}
-^ Image-Typ ^ Beschreibung ^ Vorteile ^
+==== 1. Vorbereitung (Forensische Grundsätze) ====
-| Raw (dd) | Eine reine, unkomprimierte 1:1-Kopie des Datenträgers. | Höchste Kompatibilität mit allen Tools. |
+  * **Schreibschutz:** Das Original-Medium muss über einen Hardware-Write-Blocker angeschlossen werden.
-| E01 | Ein komprimiertes und in Segmente aufgeteiltes Format. | Spart Speicherplatz, enthält Metadaten (Fall-Infos), interne Hash-Verifizierung (CRC32), sicher gegen Manipulation. |
+  * **Dokumentation:** Protokoll führen (Datum, Zeit, Personen, Fotos, Seriennummern).
-| SMART / AFF | Alternative Formate, seltener im Einsatz. | //Meist nicht notwendig, E01 ist die beste Wahl.// |
+  * **Ziel-Laufwerk:** Muss ausreichend groß und leer (forensisch "gewiped") sein.
-==== Schritt 3: Beweismittel-Informationen (Metadaten) ====
+==== 2. Die Image-Erstellung (Schritt-für-Schritt) ====
-Füllen Sie die nachfolgende Maske sorgfältig aus. Diese Informationen werden in die Image-Datei (bei E01) eingebettet und sind ein wichtiger Teil der Dokumentation.
+  - **Quelle wählen:** //File -> Create Disk Image//. Wählen Sie als Source Type **Physical Drive** (Sichert MBR und unpartitionierte Bereiche. //Logical Drive// würde nur Partitionen wie C: sichern).
+  - **Image-Typ:** **E01** (EnCase Evidence File) wird empfohlen. Es komprimiert, splittet in Segmente und bettet Metadaten sowie Hashwerte manipulationssicher ein. (Alternativen: //Raw/dd// oder //AFF//).
+  - **Beweismittel-Infos:** Case Number, Evidence Number (Asservat), Unique Description und Examiner ausfüllen.
+  - **Start & Verify:** Zielordner wählen. **WICHTIG:** Option //"Verify images after they are created"// aktivieren! Danach auf "Start" klicken.
-Case Number: Aktenzeichen oder Fallnummer
+==== 3. Erkenntnisse aus dem Prozess ====
+  * **Nachweis der Integrität:** FTK Imager stellt am Ende Original- und Image-Hashes (MD5/SHA1) gegenüber. Sind sie identisch, ist die 1:1-Kopie gerichtlich bewiesen.
-Evidence Number: Eindeutige Asservatennummer (z.B. 001)
+  * **Erste Image-Sichtung:** Sie können das Image im FTK Imager als //Evidence Item// laden, versteckte/gelöschte Dateien sehen, MAC-Times (Modified, Accessed, Created) prüfen oder bei Memory-Dumps nach Klartext-Passwörtern suchen.
-Unique Description: Kurze Beschreibung (z.B. "HDD aus Notebook von Max Mustermann")
-Examiner: Name des durchführenden Forensikers
-==== Schritt 4: Speicherort und Start ====
-Wählen Sie den Zielordner und den Dateinamen für das Image. Wichtig: Aktivieren Sie die Option "Verify images after they are created".
-Start: Klicken Sie auf "Start". Der Prozess beginnt nun. FTK Imager liest den gesamten Quelldatenträger und schreibt die Daten in die Zieldatei(en).
-==== Schritt 5: Abschluss und Verifizierung ====
-Nachdem das Image geschrieben wurde, startet automatisch der Verifizierungsprozess. FTK Imager liest das gerade erstellte Image erneut und berechnet dessen Hashwert.
-===== 3. Erkenntnisse aus dem Imaging-Prozess und dem Image =====
-==== Erkenntnisse aus dem //Imaging-Prozess// selbst ====
-Der reine Vorgang des Imaging liefert bereits entscheidende, gerichtsverwertbare Fakten:
-Nachweis der Integrität: Am Ende des Prozesses zeigt FTK Imager eine Zusammenfassung an. Dort werden die berechneten Hashwerte (MD5 und SHA1) des Original-Laufwerks und des erstellten Images gegenübergestellt. Wenn diese Werte identisch sind, haben Sie den mathematischen Beweis, dass Ihre Kopie eine exakte 1:1-Kopie des Originals ist. Dieser Schritt ist der wichtigste für die Gerichtsverwertbarkeit.
-Hardware-Dokumentation: Die Software protokolliert technische Details des Original-Datenträgers wie Modell, Seriennummer und Größe.
-Fehlerhafte Sektoren: FTK Imager meldet und protokolliert Lesefehler (//Bad Sectors//). Dies kann ein Hinweis auf einen physischen Defekt des Datenträgers sein.
-==== Erkenntnisse aus der //Analyse des erstellten Images// ====
-Das Image ist nun die Grundlage für die eigentliche Analyse. Mit FTK Imager selbst können Sie bereits eine erste Sichtung durchführen, ohne das Original zu gefährden:
-Sichere Dateisystem-Analyse: Sie können das Image in FTK Imager öffnen (//File -> Add Evidence Item//) und durch die Verzeichnisstruktur navigieren, als wäre es ein normales Laufwerk. Sie sehen alle Dateien, auch versteckte und Systemdateien.
-Wiederherstellung gelöschter Daten: FTK Imager zeigt gelöschte Dateien an und erlaubt deren Export. Das Image enthält auch den //unallocated space//, in dem die Inhalte dieser Dateien noch liegen.
-Vorschau und Export: Sie können Dateien direkt im Programm ansehen (Texte, Bilder etc.) und gezielt exportieren, ohne das Image zu verändern.
-Metadaten-Sichtung: Sie können grundlegende Metadaten von Dateien (Erstellt, Geändert, Letzter Zugriff - MAC-Times) einsehen.
-Suche im Arbeitsspeicher: Wenn Sie ein Image des Arbeitsspeichers (RAM) erstellt haben, können Sie dieses nach Passwörtern im Klartext, IP-Adressen, Chat-Fragmenten und anderer flüchtiger Evidenz durchsuchen.
 ----
-====== Forensisches Imaging mit Guymager unter Linux ======
+===== Forensisches Imaging mit Guymager (Linux) =====
+Guymager ist ein grafisches Werkzeug (z.B. in Kali Linux), das forensische Prinzipien strikt einhält.
-Diese Anleitung beschreibt das methodisch saubere Vorgehen zur Erstellung einer bit-genauen Kopie (//Image//) eines Datenträgers mit dem Werkzeug Guymager. Das Ziel ist nicht nur die reine Kopie, sondern die Einhaltung forensischer Prinzipien, um die Gerichtsverwertbarkeit des Images sicherzustellen.
 {{ :edv:forensik:guymager.png?400|}}
-===== 1. Vorbereitung: Die unverhandelbaren Grundlagen =====
+==== 1. Schritt-für-Schritt ====
+  - **Laufwerk wählen:** Guymager mit ``sudo guymager`` starten. Quell-Laufwerk identifizieren (z.B. ``/dev/sdb``), Rechtsklick -> //Acquire image//.
+  - **Format:** "Expert Witness Compression Format (EWF/E01)" wählen. //Split image files// auf z.B. 2048 MiB setzen.
+  - **Hash-Verifizierung:** Unter "Hash calculation" MD5 und SHA256 aktivieren. Die Option //"Verify image after acquisition"// ist **zwingend erforderlich**.
+  - **Metadaten:** Fallnummer, Asservat und Examiner ausfüllen. Prozess starten.
-Bevor Guymager gestartet wird, müssen die Rahmenbedingungen stimmen. Dieser Schritt ist entscheidend für die forensische Korrektheit.
+==== 2. Das Ergebnis (Die .info Datei) ====
+Guymager erstellt neben den Image-Dateien (``.E01``, ``.E02``) eine **.info-Datei**. Diese Textdatei ist essentiell für die Chain of Custody und enthält:
-. Physischer Schreibschutz (Write-Blocker): Das Original-Beweismittel (//Source//) muss über einen Hardware-Write-Blocker mit der forensischen Workstation verbunden werden. Dies ist die einzige Garantie dafür, dass keine Daten auf dem Original verändert werden.
+  * Exakte Start-/Endzeiten und Hardwaredetails.
+  * Die berechneten Hashwerte (Quelle vs. Image) – der mathematische Beweis der Integrität.
-. Forensisch sauberes Zielmedium (Destination): Der Datenträger, auf dem das Image gespeichert werden soll, muss ausreichend groß und nachweislich leer sein (z.B. durch einen vorherigen //Wipe//-Vorgang). Dies verhindert eine Kontamination der Beweise.
+  * Protokollierte Lesefehler (Bad Sectors).
-. Lückenlose Dokumentation: Beginnen Sie Ihr Untersuchungsprotokoll (//Chain of Custody//). Dokumentieren Sie Datum, Uhrzeit, Fallnummer, Asservatennummer, Seriennummern der Geräte (Beweismittel, Write-Blocker, Zieldatenträger) und machen Sie Fotos vom Aufbau.
-===== 2. Der Imaging-Prozess: Schritt-für-Schritt in Guymager =====
-Führen Sie Guymager mit administrativen Rechten aus (z.B. via sudo guymager).
-==== Schritt 1: Quell-Laufwerk identifizieren und auswählen ====
-Guymager listet nach dem Start alle erkannten Laufwerke auf.
-Identifizieren Sie das korrekte Quell-Laufwerk anhand seiner Bezeichnung (z.B. /dev/sdb), Größe und des Herstellermodells. Guymager hilft dabei, indem es Systemlaufwerke der Workstation markiert, um Verwechslungen zu vermeiden.
-Klicken Sie mit der rechten Maustaste auf das Quell-Laufwerk und wählen Sie "Acquire image".
-==== Schritt 2: Imaging-Optionen konfigurieren ====
-Ein Konfigurationsfenster öffnet sich. Hier werden alle Parameter für das forensisch saubere Image festgelegt.
-Reiter "Format":
-File format: Wählen Sie "Linux DD raw image" für maximale Kompatibilität oder "Expert Witness Compression Format (EWF/E01)".
-Empfehlung: E01 ist der Industriestandard. Es bietet Komprimierung, teilt das Image in handhabbare Segmente und speichert Metadaten direkt in der Datei.
-Split image files: Legen Sie eine Segmentgröße fest (z.B. 2048 MiB), um das Image in kleinere Dateien aufzuteilen.
-Reiter "Destination":
-Image directory: Wählen Sie den Ordner auf Ihrem Ziel-Laufwerk.
-Image filename: Geben Sie einen aussagekräftigen Dateinamen nach einem festen Schema ein, z.B. Fallnummer_Asservatennummer_Datum (Bsp: 2025-09-15_A01_System-HDD).
-Reiter "Hash calculation / verification":
-Hashes to calculate: Aktivieren Sie MD5 und mindestens SHA1 oder SHA256. Die Berechnung mehrerer Hashes erhöht die Beweiskraft.
-Verify image after acquisition: Diese Option ist zwingend erforderlich. Guymager berechnet nach dem Schreibvorgang den Hashwert des erstellten Images erneut und vergleicht ihn mit dem Hash des Originals.
-Reiter "Case information":
-Füllen Sie die Metadaten-Felder sorgfältig aus. Diese Informationen werden Teil der Log-Datei und (bei E01) des Images selbst.
-Case number: Fallnummer
-Evidence number: Asservatennummer
-Examiner: Name des Forensikers
-Description: Kurzbeschreibung des Asservats
-==== Schritt 3: Prozess starten und überwachen ====
-Klicken Sie auf "Start". Der Imaging-Prozess beginnt.
-Das Statusfenster zeigt nun in Echtzeit den Fortschritt, die Lesegeschwindigkeit, gefundene Fehler (//Bad Sectors//) und die verbleibende Zeit an.
-Warten Sie, bis der Lese- (Acquisition) und der anschließende Verifizierungs-Prozess (Verification) vollständig abgeschlossen sind.
-===== 3. Das Ergebnis: Image-Dateien und Protokoll =====
-Nach erfolgreichem Abschluss finden Sie im Zielordner:
-Die Image-Datei(en): Z.B. 2025-09-15_A01_System-HDD.E01, ...E02, usw.
-Die Info-Datei: Z.B. 2025-09-15_A01_System-HDD.info. Diese Textdatei ist ein essentieller Teil Ihrer Dokumentation.
-Die .info-Datei enthält:
-Alle von Ihnen eingegebenen Fall-Informationen.
-Genaue technische Details zum Quell-Laufwerk (Hersteller, Modell, Seriennummer).
-Den exakten Start- und Endzeitpunkt des Prozesses.
-Die berechneten Hashwerte (MD5, SHA1/256) der Quelle.
-Die berechneten Hashwerte des Images nach der Verifizierung.
-Eine Liste aller Lesefehler, falls vorhanden.
-===== 4. Abschluss: Die forensische Korrektheit sicherstellen =====
-Ein Image ist dann "forensisch korrekt" erstellt, wenn Sie die folgenden Punkte zweifelsfrei belegen können:
-Unveränderlichkeit: Der Einsatz eines Hardware-Write-Blockers hat das Original geschützt.
-Vollständigkeit: Das Image ist eine bit-genaue Kopie des Originals.
-Integrität: Der Hashwert der Quelle und der Hashwert des Images sind identisch. Dies wird in der .info-Datei von Guymager bestätigt und ist der mathematische Beweis für eine 1:1-Kopie.
-Dokumentation: Der gesamte Prozess wurde sowohl manuell im Untersuchungsprotokoll als auch automatisch durch die .info-Datei von Guymager lückenlos dokumentiert.
-Sichern Sie die erstellten Image-Dateien sowie die .info-Datei zusammen mit Ihrem Untersuchungsprotokoll als Teil der Fallakte. Die Analyse findet nun ausschließlich auf den Image-Dateien statt.
 ----
-====== Anleitung: Forensisches Imaging mit dd ======
+===== Anleitung: Forensisches Imaging mit dd =====
-Das Linux-Standardwerkzeug dd kann für das forensische Imaging verwendet werden. Es erstellt eine exakte bit-genaue Kopie, erfordert jedoch absolute Sorgfalt und manuelle Zusatzschritte, um als forensisch korrekt zu gelten.
 <WRAP danger>
-WARNUNG: dd ist ein extrem mächtiges, aber auch gefährliches Werkzeug. Ein einziger Tippfehler, insbesondere die Vertauschung von Quelle (//if//) und Ziel (//of//), kann das Original-Beweismittel unwiderruflich zerstören. Der Einsatz von sichereren, spezialisierten Tools wie Guymager wird für Einsteiger und wann immer möglich dringend empfohlen. Diese Anleitung richtet sich an erfahrene Anwender.
+**WARNUNG:** ``dd`` ist extrem mächtig. Ein Vertauschen von Quelle (//if//) und Ziel (//of//) zerstört das Original-Beweismittel unwiderruflich! Nutzung auf eigene Gefahr.
 </WRAP>
-===== 1. Vorbereitung (Obligatorisch) =====
+==== 1. Identifikation & Pre-Hashing ====
+<file bash>
+# 1. Gerätedateien exakt identifizieren
+lsblk -o NAME,SIZE,MODEL,SERIAL
-. Physischer Schreibschutz (Write-Blocker): Verbinden Sie den Original-Datenträger zwingend über einen Hardware-Write-Blocker mit Ihrer forensischen Workstation.
+# 2. Hashwert des Originals berechnen (Referenzwert dokumentieren!)
+sudo sha256sum /dev/sdb
+</file>
-. Sauberes Zielmedium: Stellen Sie sicher, dass das Ziellaufwerk, auf dem das Image gespeichert wird, ausreichend groß und forensisch sauber (gewiped) ist.
+==== 2. Imaging & Post-Hashing ====
+Die Optionen ``noerror`` (ignoriert Lesefehler) und ``sync`` (füllt Lücken mit Null-Bytes, um Offsets zu wahren) sind forensisch Pflicht!
+<file bash>
+# 3. Imaging starten (mit pv für eine Fortschrittsanzeige)
+sudo dd if=/dev/sdb bs=4M conv=noerror,sync | pv | sudo dd of=/mnt/forensic_drive/image.dd
-. Lückenlose Dokumentation: Führen Sie ein genaues Protokoll (//Chain of Custody//). Notieren Sie alle Schritte, Zeiten, Gerätedaten und erstellen Sie Fotos vom Aufbau.
+# 4. Hashwert der Kopie berechnen und mit dem Referenzwert vergleichen
+sha256sum /mnt/forensic_drive/image.dd
+</file>
+Stimmen beide Hashes überein, haben Sie ein forensisch korrektes RAW-Image.
-. Terminal öffnen: Alle folgenden Befehle werden in einem Linux-Terminal ausgeführt.
-===== 2. Der forensische Prozess mit dd (Schritt-für-Schritt) =====
+====== Forensik-Playbook: Analyse ======
-Der Prozess besteht aus mehreren manuellen Schritten, die exakt befolgt werden müssen.
+===== Forensische Analyse mit Autopsy =====
+<WRAP info>
+Autopsy bietet eine GUI für die Tools des //Sleuth Kit (TSK)//.
+**Präsentation:** [[https://de.slideshare.net/slideshow/autopsy-digital-forensics-tool/145970562|Autopsy Digital Forensics Tool (SlideShare)]]
+</WRAP>
+{{ :edv:forensik:autopsy.png?400|}}
-==== Schritt 1: Gerätedateien exakt identifizieren ====
+==== 1. Fallanlage und Datenquelle ====
-Identifizieren Sie die Gerätedateien des Quell- und Ziellaufwerks. Führen Sie den Befehl mit administrativen Rechten aus.
+  - **New Case:** Fallnamen (z.B. Fall-001) und Basis-Verzeichnis für Metadaten anlegen.
+  - **Data Source:** Das E01-Image auswählen und die korrekte Zeitzone des Zielsystems einstellen.
+  - **Ingest Modules:** Aktivieren Sie die Analyse-Roboter:
+    * //Recent Activity// (Bash-History, Logs)
+    * //Hash Lookup// (Gleicht Hashes mit NSRL oder Malware-Datenbanken ab)
+    * //PhotoRec Carver// (Wichtig: Stellt gelöschte Dateien aus dem unallocated space wieder her!)
-<code>sudo fdisk -l</code>
+==== 2. Die Analyse (Tipps für Linux) ====
-//oder//
+  * **Sichten der Dateisysteme:** Prüfen Sie ``/home/<user>`` (versteckte Dateien), ``/etc/`` (Konfigurationen) und ``/var/log/`` (wer war wann eingeloggt?).
-<code>lsblk -o NAME,SIZE,MODEL,SERIAL</code>
+  * **Timeline (Zeitstrahl-Analyse):** Eines der mächtigsten Tools. Visualisiert alle Dateiaktivitäten (MAC-Times). Perfekt, um Aktivitätsspitzen rund um den Tatzeitpunkt zu finden.
+  * **Ergebnisse sichten:** Unter //Results// finden sich extrahierte Web-Artefakte, Keyword-Treffer und wiederhergestellte Dateien.
-Die Ausgabe listet alle Laufwerke auf. Identifizieren Sie Ihr Quell-Laufwerk (z.B. /dev/sdb) und den Einhängepunkt Ihres Ziel-Laufwerks (z.B. /mnt/forensic_drive). Eine Verwechslung an dieser Stelle ist fatal!
+==== 3. Tagging und Berichterstellung ====
+Rechtsklicken Sie auf Funde und wählen Sie **"Tag and Comment"** (z.B. als "Beweisstück"). Über **"Generate Report"** (HTML/PDF) erstellt Autopsy am Ende automatisch ein Gutachten mit allen getaggten Dateien, deren Hashes und Ihren Kommentaren.
-==== Schritt 2: Hashwert des Originals berechnen (Pre-Hashing) ====
+----
-Bevor Sie kopieren, müssen Sie den Hashwert des kompletten Original-Datenträgers berechnen. Dieser Wert ist der Referenzwert für die spätere Verifizierung.
-<code>sudo sha256sum /dev/sdb</code>
+===== Weitere hilfreiche Tools =====
+<WRAP group>
-Dieser Vorgang kann je nach Größe des Datenträgers lange dauern. Kopieren Sie den ausgegebenen Hashwert exakt in Ihre Dokumentation.
+<WRAP half column>
+**Windows Defender / Event Logs**
-//Beispiel-Ausgabe://
+Der Defender ist ein Schutzmechanismus, aber seine Logs (//Microsoft-Windows-Windows Defender/Operational//) sind Gold wert, um den exakten "Point of Entry" (Ersterkennung einer Malware) zu rekonstruieren.
-<code>a1b2c3d4e5f6[...]7890  /dev/sdb</code>
+</WRAP>
+<WRAP half column>
-==== Schritt 3: Das Imaging mit dd durchführen ====
+**NirLauncher**
-Nun wird die bit-genaue Kopie erstellt. Der folgende Befehl enthält wichtige Parameter für den forensischen Einsatz:
+Eine Sammlung von >200 portablen Tools von NirSoft. Perfekt für Live-Systeme oder gemountete Images, um extrem schnell Browser-Historien, Passwörter oder USB-Verbindungsverläufe auszulesen.
+</WRAP>
-if= : Input File (Ihre Quelle, z.B. /dev/sdb)
+</WRAP>
-of= : Output File (Ihr Ziel, z.B. /mnt/forensic_drive/image.dd)
-bs= : Block Size (definiert die Les- und Schreib-Größe, 4M ist ein guter Standardwert für die Geschwindigkeit)
-conv=noerror,sync :
-noerror: Ignoriert Lesefehler (Bad Sectors) und bricht nicht ab.
-sync: Füllt die durch Lesefehler entstandenen Lücken in der Kopie mit Null-Bytes. Dies stellt sicher, dass die Daten-Offsets im Image mit dem Original übereinstimmen.
-Führen Sie den Befehl aus:
-<code>sudo dd if=/dev/sdb of=/mnt/forensic_drive/image.dd bs=4M conv=noerror,sync</code>
-Tipp für eine Fortschrittsanzeige:
-dd zeigt standardmäßig keinen Fortschritt an. Sie können das Tool pv (Pipe Viewer) verwenden, um den Fortschritt zu sehen (muss eventuell nachinstalliert werden: sudo apt install pv):
-<code>sudo dd if=/dev/sdb bs=4M conv=noerror,sync | pv | sudo dd of=/mnt/forensic_drive/image.dd</code>
-==== Schritt 4: Hashwert der Kopie berechnen (Post-Hashing) ====
-Nachdem der Kopiervorgang abgeschlossen ist, berechnen Sie den Hashwert der erstellten Image-Datei.
-<code>sha256sum /mnt/forensic_drive/image.dd</code>
-Kopieren Sie auch diesen Hashwert exakt in Ihre Dokumentation.
-//Beispiel-Ausgabe://
-<code>a1b2c3d4e5f6[...]7890  /mnt/forensic_drive/image.dd</code>
-==== Schritt 5: Hashwerte vergleichen (Der Beweis) ====
-Dies ist der entscheidende Schritt zur Verifizierung. Vergleichen Sie den Hashwert des Originals (aus Schritt 2) mit dem Hashwert der Kopie (aus Schritt 4).
-Sind die Hashwerte absolut identisch? Herzlichen Glückwunsch. Sie haben den mathematischen Beweis erbracht, dass es sich bei Ihrer Kopie um ein exaktes, unverändertes 1:1-Abbild des Originals handelt.
-Weichen die Hashwerte voneinander ab? Der Prozess ist fehlgeschlagen. Das Image ist forensisch wertlos. Mögliche Ursachen sind ein defekter Write-Blocker, fehlerhafter RAM in der Workstation oder ein Fehler im Vorgehen.
-===== 3. Abschluss und Dokumentation =====
-Ein mit dd erstelltes Image ist nur dann forensisch korrekt, wenn der gesamte Prozess lückenlos dokumentiert wurde. Ihre finale Dokumentation muss enthalten:
-Alle Befehle, die Sie eingegeben haben.
-Die vollständigen Terminal-Ausgaben, insbesondere die Hash-Berechnungen.
-Die Ergebnisse des Hash-Vergleichs.
-Alle Informationen aus Ihrer manuellen Protokollierung (Zeiten, Personen, Fotos etc.).
-Die erstellte .dd-Datei (ein sogenanntes RAW-Image) kann nun für die Analyse in forensische Software wie Autopsy oder den FTK Imager geladen werden.
+**Verwendung von KI-Tools**
+KI dient Forensikern zunehmend als "Trüffelschwein": Sie erkennt Anomalien in riesigen PCAP-Netzwerkmitschnitten, clustert Logfiles oder hilft beim De-obfuskieren (Entschlüsseln) verschleierter Skripte. **Aber:** Die Ergebnisse sind eine Black-Box und vor Gericht nicht gerichtsverwertbar. Die Beweisführung muss am Ende durch den Forensiker manuell und reproduzierbar (z.B. via Autopsy) nachgewiesen werden.
 ----
+**Zurück zu:** [[edv:forensik:start|Teil 1: Theoretischer Teil]]
-====== Forensische Analyse mit Autopsy ======
-Siehe: https://de.slideshare.net/slideshow/autopsy-digital-forensics-tool/145970562 \\
-{{ :edv:forensik:autopsy.png?400|}}
-Diese Anleitung beschreibt den vollständigen Arbeitsablauf zur Analyse eines forensischen Abbilds (//Image//) eines Linux-Systems. Als Grundlage dient ein mit Guymager erstelltes Image im E01-Format.
-Autopsy ist ein leistungsstarkes, quelloffenes Werkzeug, das eine grafische Oberfläche für die bewährten Kommandozeilen-Tools des //Sleuth Kit// bietet. Es ermöglicht eine strukturierte und nachvollziehbare Untersuchung.
-===== 1. Vorbereitung und Fallanlage =====
-Eine saubere Vorbereitung ist die Grundlage jeder forensischen Untersuchung.
-==== Schritt 1: System-Vorbereitung ====
-Installation: Stellen Sie sicher, dass Sie eine aktuelle Version von Autopsy auf Ihrer forensischen Workstation installiert haben.
-Beweismittel: Halten Sie das mit Guymager erstellte Image (z.B. Fall-001.E01) und die dazugehörige .info-Datei bereit. Überprüfen Sie nochmals die Hashwerte in der Info-Datei, um die Integrität des Images zu bestätigen.
-==== Schritt 2: Einen neuen Fall in Autopsy anlegen ====
-Starten Sie Autopsy und wählen Sie "New Case".
-Case Information: Füllen Sie die Felder sorgfältig aus.
-Case Name: Geben Sie einen eindeutigen Fallnamen ein (z.B. Fall-001_Analyse_Linux-Server).
-Base Directory: Wählen Sie ein Verzeichnis auf Ihrer Workstation, in dem Autopsy alle Analyse-Daten, Logs und Berichte zu diesem Fall speichern wird.
-Case Type: Wählen Sie "Single-user".
-Optional Information: Füllen Sie die optionalen Felder für den Ermittler (//Examiner//) aus. Dies ist wichtig für die spätere Berichterstellung. Klicken Sie auf "Finish".
-===== 2. Datenquelle hinzufügen und verarbeiten =====
-Nachdem der "Container" für den Fall erstellt ist, wird das Image als Datenquelle hinzugefügt.
-==== Schritt 3: Datenquelle auswählen ====
-Im Assistenten, der sich nun öffnet, wählen Sie als Typ der Datenquelle "Disk Image or VM File" und klicken auf "Next".
-Select Data Source: Navigieren Sie zu Ihrer E01-Image-Datei und wählen Sie diese aus. Autopsy erkennt automatisch segmentierte Images (E01, E02, ...).
-Time Zone: Stellen Sie die korrekte Zeitzone des zu untersuchenden Systems ein. Dies ist entscheidend für eine korrekte Zeitstrahlanalyse.
-==== Schritt 4: Ingest Modules konfigurieren ====
-Dies ist der wichtigste Schritt für die Automatisierung der Analyse. Die //Ingest Modules// sind Analyse-Roboter, die das Image nach bestimmten Spuren durchsuchen.
-Wählen Sie die für eine Linux-Analyse relevanten Module aus:
-Recent Activity: Extrahiert Benutzeraktivitäten. Bei Linux relevant für z.B. Bash-History und Log-Dateien.
-Hash Lookup: Vergleicht die Hashwerte aller Dateien mit bekannten Datenbanken (z.B. NSRL für bekannte Systemdateien, die ignoriert werden können, oder Hash-Listen für bekannte Schadsoftware).
-File Type Identification: Identifiziert Dateien anhand ihrer Signatur (Magic Number) und nicht nur der Dateiendung.
-Keyword Search: Führt eine vordefinierte Stichwortsuche über das gesamte Image durch (z.B. nach IP-Adressen, Namen, verdächtigen Befehlen).
-PhotoRec Carver: Stellt gelöschte Dateien aus dem unzugeordneten Speicherplatz (//unallocated space//) wieder her. Sehr wichtig!
-Central Repository: Hilft bei der Korrelation von Daten über mehrere Fälle hinweg.
-Linux Log Analyzer (Community Plugin): Falls nicht standardmäßig vorhanden, kann dieses Modul nachinstalliert werden, um Linux-spezifische Logdateien (/var/log/) besser zu parsen.
-Klicken Sie auf "Next". Autopsy beginnt nun mit dem Hinzufügen und der Verarbeitung des Images. Dieser Prozess kann je nach Größe des Images und Leistung Ihrer Workstation mehrere Stunden oder sogar Tage dauern.
-===== 3. Die eigentliche Analyse in Autopsy =====
-Sobald die //Ingest Modules// ihre Arbeit beendet haben, beginnt die manuelle Untersuchung.
-==== Schritt 5: Sichten der Dateisysteme ====
-Navigieren Sie im linken Baummenü unter "Data Sources" durch das Dateisystem des Images.
-Interessante Verzeichnisse unter Linux:
-/home/<user>: Benutzerverzeichnisse (Dokumente, Downloads, Konfigurationsdateien). Suchen Sie nach versteckten Dateien (z.B. .bash_history).
-/etc/: Konfigurationsdateien des Systems (z.B. passwd, shadow, sudoers, Netzwerkkonfiguration).
-/var/log/: System-Logdateien (auth.log, syslog, wtmp, btmp). Wer hat sich wann an- und abgemeldet? Gab es fehlgeschlagene Login-Versuche?
-/root/: Das Home-Verzeichnis des Superusers.
-/tmp/: Temporäre Dateien, oft von Angreifern für Skripte oder Malware missbraucht.
-==== Schritt 6: Ergebnisse der Ingest Modules prüfen ====
-Im Baummenü unter "Results" finden Sie die von den Modulen automatisch extrahierten Artefakte.
-Extracted Content: Hier finden Sie z.B. Web-Bookmarks, Browser-History (sofern Firefox/Chrome installiert war), oder extrahierte Archive.
-Keyword Hits: Zeigt alle Dateien an, die Ihre vordefinierten Schlüsselwörter enthalten.
-Hashset Hits: Listet Dateien auf, die in Ihren Hash-Datenbanken gefunden wurden (z.B. bekannte Malware).
-Interesting Items: Hebt potenziell interessante Dateien oder Verzeichnisse hervor.
-==== Schritt 7: Zeitstrahl-Analyse (Timeline) ====
-Eine der mächtigsten Funktionen von Autopsy.
-Klicken Sie auf "Tools" -> "Timeline".
-Die Timeline visualisiert alle Dateiaktivitäten (Erstellt, Geändert, Zugegriffen) auf einer Zeitachse. Sie können so "Aktivitätsspitzen" um den bekannten Zeitpunkt eines Vorfalls untersuchen.
-Fragen an die Timeline: Welche Dateien wurden kurz vor oder nach dem Vorfall erstellt oder verändert? Welche Programme wurden ausgeführt?
-==== Schritt 8: Gelöschte Daten untersuchen ====
-Unter "Views" -> "File Types" -> "By MIME Type" können Sie sich alle wiederhergestellten Dateien ansehen (z.B. Bilder, Dokumente), die vom //PhotoRec Carver// gefunden wurden. Navigieren Sie auch manuell durch die Verzeichnisse und achten Sie auf Dateien mit einem roten "X", die gelöschte, aber noch im Dateisystem referenzierte Dateien markieren.
-===== 4. Berichterstellung =====
-Nach Abschluss der Analyse müssen die Ergebnisse in einem Gutachten zusammengefasst werden.
-==== Schritt 9: Ergebnisse markieren (Tagging) ====
-Während der gesamten Analyse sollten Sie relevante Dateien oder Artefakte mit "Tags" versehen.
-Rechtsklicken Sie auf eine wichtige Datei und wählen Sie "Tag and Comment".
-Erstellen Sie Tags wie "Beweisstück", "Verdächtig" oder "Relevant für Fragestellung X".
-==== Schritt 10: Bericht generieren ====
-Klicken Sie auf den Button "Generate Report".
-Wählen Sie ein Ausgabeformat (HTML oder PDF).
-Wählen Sie aus, welche getaggten Ergebnisse und welche Informationen in den Bericht aufgenommen werden sollen.
-Autopsy erstellt einen detaillierten Bericht, der alle markierten Beweismittel, deren Metadaten, Hashwerte und Ihre Kommentare enthält. Dieser Bericht ist die Grundlage für Ihr finales forensisches Gutachten.
-====== Arbeiten mit dem NIRLauncher =======