Digitale Forensik. Teil 2: Forensik und digitale Spuren. Schulung Bundespolizeiakademie März 2009

Transkript

1 Digitale Forensik Schulung Bundespolizeiakademie März 2009 Teil 2: Forensik und digitale Spuren Dipl. Inform. Markus Engelberth Dipl. Inform. Christian Gorecki Universität Mannheim Lehrstuhl für Praktische Informatik 1 Name und Datumwww.uni-mannheim.de Seite 1 Dr. Kay Schumann Universität Bonn Institut für Strafrecht

2 Übersicht Rund um die Digitale Forensik Definition: Forensik Locards Austauschprinzip Digitale Spuren und ihre Eigenschaften Digitale Forensik Wesentliche Quellen: Casey, Kapitel 1 Digitale Forensik, Schulung Bundespolizeiakademie Lübeck, März 2009 Seite 3

3 Übersicht Rund um die Digitale Forensik Definition: Forensik Locards Austauschprinzip Digitale Spuren und ihre Eigenschaften Digitale Forensik Digitale Forensik, Schulung Bundespolizeiakademie Lübeck, März 2009 Seite 4

4 Bücher Brian Carrier: File System Forensic Analysis. Addison Wesley, Dan Farmer, Wietse Venema: Forensic Discovery. Addison Wesley, Eoghan Casey: Digital Evidence and Computer Crime: Forensic Science, Computers, and the Internet. Academic Press, 2. Auflage, Alexander Geschonneck: Computer Forensik. dpunkt Verlag, 2. Auflage, Digitale Forensik, Schulung Bundespolizeiakademie Lübeck, März 2009 Seite 5

5 Digitale Forensik, Schulung Bundespolizeiakademie Lübeck, März 2009 Seite 6

6 DFRWS Bekannteste Forensik Konferenz Findet im August in (erstmalig) in Kanada statt Getragen von unabhängiger non profit Organisation Teilnahmebeitrag $ Fachartikel online verfügbar Übersicht über weitere relevante Konferenzen: evidence.org/publish/index.html Digitale Forensik, Schulung Bundespolizeiakademie Lübeck, März 2009 Seite 7

7 Digitale Forensik, Schulung Bundespolizeiakademie Lübeck, März 2009 Seite 8

8 IMF Deutsches/Europäisches Forum für digitale Forensik Getragen von Gesellschaft für Informatik Günstiger Studentenbeitrag ( ) September 2009 in Stuttgart ev.de/fachbereiche/sicherheit/fg/sidar/imf/imf2009/ Digitale Forensik, Schulung Bundespolizeiakademie Lübeck, März 2009 Seite 9

9 Zeitschriften International Journal of Digital Evidence Älteste Zeitschrift, erschien erstmals 2002 Online Journal, freier Zugang Digital Investigation Kommerzieller Verlag (Elsevier) Erscheint seit 2004 IEEE Transactions on Information Forensics and Security IEEE peer reviewed, erscheint seit 2005 Mathematischer Fokus, Signalanalyse Digitale Forensik, Schulung Bundespolizeiakademie Lübeck, März 2009 Seite 10

10 Für (angehende) Spezialisten Sleuthkit Informer IACIS Vereinigung von Forensik Praktikern Gibt selbst eigene Kurse und vergibt Zertifikate Sehr USA zentriert Digitale Forensik, Schulung Bundespolizeiakademie Lübeck, März 2009 Seite 11

12 Forensik Wortherkunft: Forensik, von lat. forum (Marktplatz) Marktplatz war Schauplatz der Gerichte Eine Spur (engl. evidence) ist ein Indiz (Hinweis/Zeugnis), das eine Theorie über einen Tathergang stützen oder widerlegen kann Mit forensisch wird die Eigenschaft von Spuren bezeichnet, als Beweismittel vor Gericht verwendbar zu sein Forensik (oder forensische Wissenschaft) ist die Anwendung wissenschaftlicher Methoden zur Untersuchung und Verfolgung von Straftaten Digitale Forensik, Schulung Bundespolizeiakademie Lübeck, März 2009 Seite 13

13 Beispiel: Forensische Entomologie Rückschlüsse auf Todesursache und Todesumstände aufgrund der Leichenbesiedlung durch Insekten Hinweise auf die Leichenliegezeit, etc. Quelle: Digitale Forensik, Schulung Bundespolizeiakademie Lübeck, März 2009 Seite 14

14 Weitere Beispiele? Digitale Forensik, Schulung Bundespolizeiakademie Lübeck, März 2009 Seite 15

15 Forensische Ballistik Weitere Beispiele Auswertung von Geschossen, Waffen, etc. Forensische Serologie Auswertung von Blut oder anderen Sekreten am Tatort Forensische Daktyloskopie... Auswertung von Fingerabdrücken Gute populärwissenschaftliche Lektüre: Brian H. Kaye: Science and the Detective. Selected Reading in Forensic Science, Wiley Digitale Forensik, Schulung Bundespolizeiakademie Lübeck, März 2009 Seite 16

17 Transfer in der physischen Welt Transfer Prinzip Wenn Kräfte auf ein Objekt einwirken, zerbricht dieses in (viele kleinere) Einzelteile Diese Einzelteile gehen über auf dasjenige, was die Kraft ausübt bzw. auf den Ort, an dem die Kraftausübung passiert Kriminelle Handlungen erfordern in der Regel Kraft Aus den kleinen Spuren kann man auf die Art des originalen Objekts schließen bzw. das originale Objekt selbst Auch typische Veränderungen des Objekts lassen Rückschlüsse auf die Krafteinwirkung zu Grundlage für das Basisprinzip forensischer Wissenschaft... Digitale Forensik, Schulung Bundespolizeiakademie Lübeck, März 2009 Seite 18

18 Edmund Locard Französischer Mediziner ( ) Pionier der Forensik Formulierte das Grundprinzip forensischer Wissenschaft (Locard s Exchange Principle): Basis für jede Suche nach Spuren Digitale Forensik, Schulung Bundespolizeiakademie Lübeck, März 2009 Seite 19

19 Edmund Locard Französischer Mediziner ( ) Pionier der Forensik Formulierte das Grundprinzip forensischer Wissenschaft (Locard s Exchange Principle): Jeder und alles am Tatort nimmt etwas mit und lässt etwas zurück Basis für jede Suche nach Spuren Digitale Forensik, Schulung Bundespolizeiakademie Lübeck, März 2009 Seite 20

20 Locards Austauschprinzip Tatort (physische) Spuren Opfer Verdächtiger Digitale Forensik, Schulung Bundespolizeiakademie Lübeck, März 2009 Seite 21

22 Locards Prinzip in der digitalen Welt Locards Prinzip entstand in einer kontinuierlichen, nicht digitalen Welt Legitime Frage: Gilt Locards Austauschprinzip auch in der digitalen Welt? Wodurch unterscheiden sich digitale Spuren von klassischen (physischen) nicht digitalen Spuren? Digitale Forensik, Schulung Bundespolizeiakademie Lübeck, März 2009 Seite 23

23 Digitale Spuren Digitale Spuren (digital evidence) sind alle Spuren, die auf Daten basieren, die in Computersystemen gespeichert oder übertragen worden sind. [Casey, p.12] Digitale Spuren sind zunächst physische Spuren Magnetisierung auf der Oberfläche einer Festplatte Elektromagnetische Wellen auf einem Datenkabel Ladezustand von Transistoren im Hauptspeicher Digitale Spuren müssen zunächst extrahiert und in eine lesbare Form übersetzt werden Digitale Forensik, Schulung Bundespolizeiakademie Lübeck, März 2009 Seite 24

24 Digitale Spuren und Abstraktion Digitale Spuren benötigen Werkzeuge zur Aufbereitung Werkzeuge zeigen nur eine Abstraktion/Interpretation der physischen Spuren Abstraktionen können mehrere Abstraktionsebenen enthalten Jede Abstraktionsebene kann Interpretationsfehler enthalten Beispiel? Digitale Forensik, Schulung Bundespolizeiakademie Lübeck, März 2009 Seite 25

25 Beispiel: E Mail Eine E Mail Datei entsteht durch 1. Interpretation der Magnetisierung der Festplatte (Bits) 2. Interpretation der Bits durch eine Zeichenkodierung 3. Interpretation der Zeichen durch ein Dateisystem 4. Interpretation der Daten im Dateisystem als zusammengehörige Datei 5. Interpretation der Datei als E Mail Casey, Fig. 1.1, p. 15 Digitale Forensik, Schulung Bundespolizeiakademie Lübeck, März 2009 Seite 26

26 Transfer digitaler Spuren Transfer Prinzip gilt in der digitalen Welt nur eingeschränkt Was bedeutet es, dass Kraft auf ein digitales Objekt einwirkt? Digitale Objekte können selbst atomar (unzerteilbar) sein Beispiele? Digitale Forensik, Schulung Bundespolizeiakademie Lübeck, März 2009 Seite 27

27 Transfer digitaler Spuren Transfer Prinzip gilt in der digitalen Welt nur eingeschränkt Was bedeutet es, dass Kraft auf ein digitales Objekt einwirkt? Digitale Objekte können selbst atomar (unzerteilbar) sein Beispiel Löschen von Daten : Dateien bestehen aus vielen kleineren Festplattenblöcken Löschen von Dateien hinterlässt Spuren Beispiel Aufruf von Systembefehlen : Aufruf hinterlässt Einträge in History oder Log Dateien Digitale Forensik, Schulung Bundespolizeiakademie Lübeck, März 2009 Seite 28

28 Manipulation digitaler Spuren Digitale Spuren können leicht manipuliert werden Absichtlich, beispielsweise durch Straftäter oder auch Ermittler Unabsichtlich, beispielsweise durch Ermittler Manipulation hinterlässt theoretisch keine unmittelbar sichtbaren Zeichen Digitale Forensik, Schulung Bundespolizeiakademie Lübeck, März 2009 Seite 29

29 Digitale Spuren sind nicht personenbezogen Digitale Forensik, Schulung Bundespolizeiakademie Lübeck, März 2009 Seite 30

30 Digitale Spuren sind nicht personenbezogen Spuren in der digitalen Welt sind zunächst getrennt von der physischen Welt Zuordnung von Handlungen einer Person zu digitalen Spuren ist nur durch einen starken Authentifikationsmechanismus möglich Ausschließliche Beweisführung aufgrund von digitalen Spuren ist nicht durchführbar Warum? Digitale Forensik, Schulung Bundespolizeiakademie Lübeck, März 2009 Seite 31

31 Digitale Spuren sind nicht personenbezogen Spuren in der digitalen Welt sind zunächst getrennt von der physischen Welt Zuordnung von Handlungen einer Person zu digitalen Spuren ist nur durch einen starken Authentifikationsmechanismus möglich Ausschließliche Beweisführung aufgrund von digitalen Spuren ist nicht durchführbar Man benötigt immer zusätzliche (nicht digitale) Spuren Digitale Forensik, Schulung Bundespolizeiakademie Lübeck, März 2009 Seite 32

32 Positive Eigenschaften digitaler Spuren Man kann digitale Spuren exakt Duplizieren Untersuchungen auf einer Kopie schonen das Original Übereinstimmung des Originals mit der Kopie nachweisbar Manipulationen können durch Vergleich mit einer Originalkopie nachgewiesen werden Digitale Spuren sind schwer zu vernichten Auch gelöschte Dateien sind in der Regel noch lange Zeit auf der Festplatte rekonstruierbar Notfalls Rückgriff auf physische Spuren (z.b. Festplattenmagnetisierung) Digitale Forensik, Schulung Bundespolizeiakademie Lübeck, März 2009 Seite 33

33 Komplexität und digitale Spuren Heutige Systeme sind sehr komplex Verschiedene Betriebssysteme, verschiedene Versionen Jedes System ist anders, keiner hat den kompletten Überblick Digitale Spuren entstehen heute überall Es ist praktisch unmöglich, alle digitalen Spuren einer Straftat zu zerstören, die mit einem Computer verübt wurde Erfahrung zeigt: Locards Austauschprinzip gilt (mit gewissen Einschränkungen) auch in der digitalen Welt Digitale Forensik, Schulung Bundespolizeiakademie Lübeck, März 2009 Seite 34

35 Wo fallen digitale Spuren an? Digitale Forensik, Schulung Bundespolizeiakademie Lübeck, März 2009 Seite 36

36 Wo fallen digitale Spuren an? Browser Caches Log Dateien Backups Dateisystem (Zeitstempel, Swap Space, und an mindestens 32 weiteren Stellen) Digitale Überwachungskameras Geldautomaten Firewalls Virenscanner Temporäre Dateien Windows Registry Browser History RAM (Prozessliste, Netzwerkverbindungen, eingeloggte User) Wahlwiederholungsfunktion am Telefon Abrechnungsdaten des Mobilfunkanbieters Suchmaschinen... Digitale Forensik, Schulung Bundespolizeiakademie Lübeck, März 2009 Seite 37

37 Wo fallen digitale Spuren an? PDAs Heizungssteuerungen Elektroherde Kühlschränke Türschlösser Videorecorder, Fernseher ipods Gameboys Videospielkonsolen DSL Modems Autos (an mindestens 23 Stellen) Fotoapparate, Strom /Wasser /Heizungszähler Drucker Farbausdrucke Digitale Fotos (Multimediaforensik)... Digitale Forensik, Schulung Bundespolizeiakademie Lübeck, März 2009 Seite 38

38 Digitale Forensik Digitale Forensik beschäftigt sich mit der gerichtsfesten Sicherung und Verwertung digitaler Spuren Als forensische Wissenschaft muss die digitale Forensik wissenschaftliche Methoden anwenden Beweisführung kann dazu führen, dass Menschen ihrer Freiheit beraubt werden Nur eine verlässliche und objektive Methodik wird dieser Verantwortung gerecht Methodik muss immer wieder neu überdacht werden Ausbildung im Bereich der forensischen Informatik evidence.info/education.html Digitale Forensik, Schulung Bundespolizeiakademie Lübeck, März 2009 Seite 39

39 Zum Begriff: Computerforensik Casey (p. 31) merkt an, der Begriff Computerforensik sei ein syntactical mess that uses the noun computer as an adjective and the adjective forensic as a noun Analog müsste man forensische Entomologie als bug forensics bezeichnen Besser also: digitale Forensik Noch besser: forensische Informatik Digitale Forensik, Schulung Bundespolizeiakademie Lübeck, März 2009 Seite 40

40 Zusammenfassung Rund um die Digitale Forensik Definition: Forensik Locards Austauschprinzip Digitale Spuren und ihre Eigenschaften Digitale Forensik Digitale Forensik, Schulung Bundespolizeiakademie Lübeck, März 2009 Seite 41

41 Communications of the ACM, 48(8), 2006 Ausblick Forensische Prinzipien Name und Datumwww.uni-mannheim.de Seite 43