IT-Forensische Analysen von Festplatten und Handys

Transkript

1 Roundtable für Rechtsanwälte IT-Forensische Analysen von Festplatten und Handys Maurizio Tuccillo Hochschule Luzern Wirtschaft Information Security and IT-Forensics Seite 1

2 Computer forensics Computer forensics refers to the examination of computer and communication devices for the purposes of preserving, identifying, verifying, extracting, and documenting electronic evidence. Often described as a two-stage process (Volonino, 2003), computer forensics involves the analysis of computer hard disks through sophisticated procedures and software tools. The first stage involves the discovery, recovery, preservation and control of electronic data, while the second stage involves the analysis, verification and presentation of electronic evidence (e-evidence) for investigative purposes. Allen C. Johnston, Mississippi State University Using EnCase for Forensic Investigations Seite 2

3 Spurensicherung Festhalten der Spurenlage in bestmöglicher Qualität Vollständigkeit der Daten anstreben Authentizität der Daten belegen Integrität der Daten gewährleisten Sicheres Bewahren der Daten gewährleisten Aufbereitung der Daten vornehmen Nachvollziehbarkeit und Überprüfbarkeit des Vorgehens sicherstellen Seite 3

4 Spurensicherung Erfolgsfaktoren Hohes Mass an technischem Wissen Erfahrung in der forensischen Arbeit Aktualität bezüglich technischen Möglichkeiten und deren Nutzung Leistungsfähige technische Infrastruktur Strukturiertes, geplantes Vorgehen gemäss Checklisten Zeitnähe zum untersuchten Vorgang Seite 4

5 Datenanalyse Gewinnen fallrelevanter Information Ausschöpfen möglichst vieler Informationsquellen Zusammentragen und Verlinken von Informationen Falsifizieren oder Plausibilisieren von Hypothesen Nachvollziehbarkeit und Überprüfbarkeit des Vorgehens sicherstellen Seite 5

6 Datenanalyse Erfolgsfaktoren Hohes Mass an technischem Wissen Erfahrung in der forensischen Arbeit Aktualität bezüglich technischen Möglichkeiten und deren Nutzung Analytisches und wissenschaftliches Herangehen Leistungsfähige technische Infrastruktur Seite 6

7 Analyse von Festplatten Motivation Grösste Quelle von Daten und relevanten Spuren Speichert die Systeminstallation, Programme und Daten Charakterisieren das System, dessen Benutzer und die Vorgänge Problematik Steigende Datenmengen Steigende Datendichten Verschlüsselungen Seite 7

8 Analyse von Handys (1) Motivation Geräteklasse mit ausserordentlich grosser Verbreitung Leistungsfähigkeit und Funktionsumfang zunehmend Mögliche Evidenz bei verschiedenen Delikten: Identifikationsmerkmale (IMEI, IMSI, ICCID, ) Kommunikationsdaten (SMS, MMS, ) Verbindungsdaten (Anruflisten) Kontakte (Telefonbuch) Bild- und Videodaten Agenda Weitere Evidenz in Zusammenarbeit mit Provider: Randdaten (Ortung) Seite 8

9 Analyse von Handys (2) Problematik Fehlende Standardisierung (Hersteller und Modell abhängige Analyse) Nicht offengelegte Datenstrukturen (Reverse Engineering) Logische Auswertung Zugang zum Speicher über die vom Hersteller vorgesehenen Schnittstellen Nur vorgesehene Funktionen nutzbar Kein Zugriff auf gelöschte Daten Bedingt ein funktionsfähiges Gerät Gerät muss in Betrieb genommen werden Seite 9

10 Analyse von Handys (3) Physikalische Auswertung Möglichst direkter Zugang zum Speicher über Serviceschnittstelle oder durch Öffnen des Geräts Zugriff auf gesamten Speicherinhalt (auch gelöschte Daten) Betriebssystem muss nicht gestartet werden Verfahren teilweise auch bei defekten oder unvollständigen Geräten anwendbar Erfordert (selbstentwickelte) Interpretation der Daten Aufwändige Tüftelarbeit ohne Gewähr auf Erfolg! Seite 10

11 Fragen Hochschule Luzern Wirtschaft Institut für Wirtschaftsinformatik Zentralstrasse 9, CH-6002 Luzern T , F Maurizio Tuccillo Dr. phil. nat. Professor, Leiter IT-Forensics T direkt maurizio.tuccillo@hslu.ch Seite 11