Digitale Forensik. Teil 3: Forensische Prinzipien und Vorgehensmodelle. Schulung Bundespolizeiakademie Juli 2007

Transkript

1 Digitale Forensik Schulung Bundespolizeiakademie Juli 2007 Teil 3: Forensische Prinzipien und Vorgehensmodelle Name und Datumwww.uni-mannheim.de Seite 1 Prof. Dr. Felix Freiling Universität Mannheim Lehrstuhl für Praktische Informatik 1 Dr. Kay Schumann Universität Bonn Institut für Strafrecht

2 Lehrplan Montag Dienstag Mittwoch Donnerstag Freitag I Einführung Festplatten: Partitionen, Dateisysteme Grundlagen des Beweisrechts Internet: Hintergrund Abschluss II Digitale Spuren Festplattenanalyse 1 Beweiserhebung und Dokumentation Internet 1 Offene Fragen III Forensische Prinzipien Festplattenanalyse 2 Beschlagnahme von Daten Internet 2 IV Wie Angreifer vorgehen Festplattenanalyse 3 Internetermittlung und online- Durchsuchung Internet 3 Digitale Forensik, Schulung Bundespolizeiakademie Lübeck, Juli 2007 Seite 2

3 Basic Forensic Mindset Motivation Wie geht man an forensische Fragestellungen heran? Welche Grundregeln sind zu beachten? Wie gehe ich wissenschaftlich vor? Quellen: Casey, pp. 91ff, und Kapitel 7 Dornseif, Vorlesung vom Digitale Forensik, Schulung Bundespolizeiakademie Lübeck, Juli 2007 Seite 3

4 Übersicht Der wissenschaftliche Ansatz Forensische Vorgehensweise Vorgehensmodelle Digitale Forensik, Schulung Bundespolizeiakademie Lübeck, Juli 2007 Seite 4

5 Übersicht Der wissenschaftliche Ansatz Forensische Vorgehensweise Vorgehensmodelle Digitale Forensik, Schulung Bundespolizeiakademie Lübeck, Juli 2007 Seite 5

6 Wahrheit herausfinden Was wollen wir? Genauer: Was ist passiert? Wo? Wann? Wie? Wer? Warum? Digitale Forensik, Schulung Bundespolizeiakademie Lübeck, Juli 2007 Seite 6

7 Objektivität Effektivität einer Untersuchung hängt entscheidend von der Objektivität der Ermittler ab Ermittler beginnen sofort, Theorien über den Tathergang zu bilden Jeder Fall ist jedoch neu und einzigartig! Wichtig sind Fakten, nicht Vermutungen Die Erfahrungsfalle : Wenn ein neuer Fall ähnlich erscheint zu einem alten, ist man geneigt, den neuen mit den Mitteln anzugehen, die beim alten zum Erfolg führten [Casey, p. 93] Digitale Forensik, Schulung Bundespolizeiakademie Lübeck, Juli 2007 Seite 7

8 Risiken von Voreingenommenheit Voreilige Theorien können dazu führen, dass bestimmte Spuren nicht mit der nötigen Sorgfalt untersucht oder falsch interpretiert werden Beispiel: gelöschte Datei mit Namen σorn1yr5.gif mit nacktem Kleinkind Bei der Dateiwiederherstellung könnte ein Ermittler geneigt sein, den Originalnamen als porn1yr5.gif statt born1yr5.gif zu wählen Besser: neutrales Zeichen verwenden _orn1yr5.gif Dokumentieren, dass das erste Zeichen zerstört war Digitale Forensik, Schulung Bundespolizeiakademie Lübeck, Juli 2007 Seite 8

9 Wissenschaftliche Methodik Grundannahme: Jede Beobachtung oder Analyse kann Fehler enthalten Der Versuch, eine Theorie zu bestätigen, erhöht die Chancen, Fehler zu machen Besserer Ansatz: viele Theorien entwickeln und versuchen, Theorien zu widerlegen Schwerer, von einer Theorie eingenommen zu werden Höhere Wahrscheinlichkeit, objektive Ergebnisse zu bekommen Grundsatz: Suche immer Fehler in Deinen eigenen Theorien Wissenschaftstheorie von Karl Popper ( )... das einzige Kriterium für die Wissenschaftlichkeit eines Satzes ist seine prinzipielle Falsifizierbarkeit. Digitale Forensik, Schulung Bundespolizeiakademie Lübeck, Juli 2007 Seite 9

10 Übersicht Der wissenschaftliche Ansatz Forensische Vorgehensweise Vorgehensmodelle Digitale Forensik, Schulung Bundespolizeiakademie Lübeck, Juli 2007 Seite 10

11 Nichts verändern Basic Mindset Wissen, dass nichts verändert wurde, bedeutet lediglich, dass man nichts bewußt verändert hat Änderungen passieren schnell, z.b. durch booten eines Systems, mounten einer Festplatte, ls lr,... Alles immer und überall nachweisbar machen Dokumentieren Dokumentieren Dokumentieren Digitale Forensik, Schulung Bundespolizeiakademie Lübeck, Juli 2007 Seite 11

12 Dokumentieren Möglichst viel schriftlich, auf Papier, und von Hand Erleichtert die Authentifikation Möglichst numerierte, gebundene Seiten Beugt Manipulationen vor Jedes Blatt sollte mit dem eigenen Kürzel signiert sein Jeder Eintrag/jedes Blatt sollte Ort und Zeit der Aufzeichnung dokumentieren Jeden Schritt dokumentieren, wirklich jeden Digitale Forensik, Schulung Bundespolizeiakademie Lübeck, Juli 2007 Seite 12

13 Automatische Doku Auf der Kommandozeile gibt es Toolunterstützung Unix-Kommando script -- make typescript of terminal session Aus der Manual Page: script makes a typescript of everything printed on your terminal. It is useful for students who need a hardcopy record of an interactive session as proof of an assignment, as the typescript file can be printed out later with lpr(1). If the argument file is given, script saves all dialogue in file. If no file name is given, the typescript is saved in the file typescript. Digitale Forensik, Schulung Bundespolizeiakademie Lübeck, Juli 2007 Seite 13

14 Beispiel sonic:~ freiling$ script script txt Script started, output file is script txt sonic:~ freiling$ date Tue Mar 6 23:32:35 CET 2007 sonic:~ freiling$ uname -a Darwin sonic.informatik.uni-mannheim.de Darwin Kernel Version 8.8.0: Fri Sep 8 17:18:57 PDT 2006; root:xnu obj~1/release_ppc Power Macintosh powerpc sonic:~ freiling$ finger Login Name TTY Idle Login Time Office Phone freiling Felix Freiling *con 3:35 Tue 19:57 freiling Felix Freiling p1 11 Tue 19:57 freiling Felix Freiling p2 Tue 23:21 freiling Felix Freiling p4 Tue 23:29 sonic:~ freiling$ ping PING www-v10.rz.uni-mannheim.de ( ): 56 data bytes 64 bytes from : icmp_seq=0 ttl=63 time=0.395 ms 64 bytes from : icmp_seq=1 ttl=63 time=0.375 ms 64 bytes from : icmp_seq=2 ttl=63 time=0.382 ms ^C --- www-v10.rz.uni-mannheim.de ping statistics packets transmitted, 3 packets received, 0% packet loss round-trip min/avg/max/stddev = 0.375/0.384/0.395/0.008 ms sonic:~ freiling$ exit exit Script done, output file is script txt sonic:~ freiling$ Digitale Forensik, Schulung Bundespolizeiakademie Lübeck, Juli 2007 Seite 14

15 Integrität der Doku Erzeugte Dateien sind prinzipiell wieder manipulierbar In der handschriftlichen Doku kann man den MD5- Hash von Dateien festhalten Hash kann später mit dem Hash der vorgelegten Datei verglichen werden Digitale Forensik, Schulung Bundespolizeiakademie Lübeck, Juli 2007 Seite 15

16 Automatische Doku der GUI? Schwierig Vorgehensweise per Video abfilmen Bildschirmfotos machen Vier-Augen-Prinzip Tools? Dokumentieren, was passiert, um es nachweisbar zu machen Digitale Forensik, Schulung Bundespolizeiakademie Lübeck, Juli 2007 Seite 16

17 Dokumentation von Zeit Dokumentieren Sie, wann Sie Aktionen durchführen Notwendig bei automatischer Doku: Sorgen Sie für eine korrekte Zeit an Ihrem Arbeitsplatz (NTP) Dokumentieren Sie dies Dokumentieren Sie auch die Zeit des Untersuchungsobjekts Wichtig für die Interpretation von Zeitstempeln Digitale Forensik, Schulung Bundespolizeiakademie Lübeck, Juli 2007 Seite 17

18 Beispiel sonic:~ freiling$ script script txt Script started, output file is script txt sonic:~ freiling$ host rumtime.uni-mannheim.de rumtime.uni-mannheim.de is an alias for rumtime1.rz.uni-mannheim.de. rumtime1.rz.uni-mannheim.de has address sonic:~ freiling$ ntpdate -q rumtime.uni-mannheim.de server , stratum 4, offset , delay server , stratum 2, offset , delay server , stratum 1, offset , delay Mar 23:54:59 ntpdate[385]: adjust time server offset sec sonic:~ freiling$ date Tue Mar 6 23:55:06 CET 2007 sonic:~ freiling$ exit exit Script done, output file is script txt sonic:~ freiling$ Digitale Forensik, Schulung Bundespolizeiakademie Lübeck, Juli 2007 Seite 18

19 Beweisbarkeit in der Praxis Befolgen von (wissenschaftlich) anerkannten Methoden Anfertigen lückenloser Dokumentation Digitale Forensik, Schulung Bundespolizeiakademie Lübeck, Juli 2007 Seite 19

20 Übersicht Der wissenschaftliche Ansatz Forensische Vorgehensweise Vorgehensmodelle Digitale Forensik, Schulung Bundespolizeiakademie Lübeck, Juli 2007 Seite 20

21 Motivation Bei der Auswertung digitaler Spuren eine allgemein akzeptierte und erprobte Vorgehensweise anwenden Vorgehensweise basiert auf wissenschaftlicher Methodik Im folgenden wird ein Rahmen für das Vorgehen bei der Sicherung und Auswertung digitaler Spuren vorgestellt Man spricht deshalb auch von einem Vorgehensmodell Digitale Forensik, Schulung Bundespolizeiakademie Lübeck, Juli 2007 Seite 21

22 Caseys Investigative Process Vorgehensmodell von Casey: Investigative Process Allgemeines Vorgehensmodell für digitale Untersuchungen Schließt auch klassische Polizeiaufgaben ein, nicht nur Aufgaben eines forensischen Experten De facto Standard Insgesamt 11 Phasen Wir gehen nur auf ausgwählte Phasen genauer ein Visualisierung als Treppe Beginnt bei Alarmierung (unterste Stufe) Endet bei der Präsentation vor Gericht (im ersten Stock) Digitale Forensik, Schulung Bundespolizeiakademie Lübeck, Juli 2007 Seite 22

23 The Investigative Process Model [Casey p. 102] Digitale Forensik, Schulung Bundespolizeiakademie Lübeck, Juli 2007 Seite 23

24 Übersetzung nach Dornseif Digitale Forensik, Schulung Bundespolizeiakademie Lübeck, Juli 2007 Seite 24

25 Anschuldigung und Güterabwägung Anschuldigung Startsignal für den Prozess Einschätzung der Quellen Erste Erkundigungen Güterabwägung Interesse an der Verfolgung vs. Kosten der Verfolgung Fällt für Unternehmen fast immer gegen eine Verfolgung aus Pro Verfolgung: Abschreckungswirkung, Schadensersatz, Verbesserung der eigenen Sicherheit Contra Verfolgung: Ressourcenverbrauch, downtime, negative Öffentlichkeit Digitale Forensik, Schulung Bundespolizeiakademie Lübeck, Juli 2007 Seite 25

26 Tatortsicherung und Beschlagnahme Tatortsicherung: Ideal: Den Tatort weiträumig absperren freeze the evidence in place and provide ground truth for all activities that follow [Casey] Versuchen Sie das mal mit dem Internet Gefahren eindämmen Beschlagnahme: Traditionell: Einsacken, Absaugen, Abstauben Einsacken ohne etwas zu verändern! Auch das Drumherum kann wichtig sein Beginn des Chain of Custody Siehe Mittwoch Digitale Forensik, Schulung Bundespolizeiakademie Lübeck, Juli 2007 Seite 26

27 Ausgezeichnete Quelle: Beschlagnahme US Department of Justice/National Institute of Justice: Electronic Crime Scene Investigation: A Guide to First Responders, 2001 Gibt ausführliche und genaue Hinweise auch für nicht-technisches Personal Online: pdffiles1/nij/ pdf Digitale Forensik, Schulung Bundespolizeiakademie Lübeck, Juli 2007 Seite 27

28 Beispiel: Arten digitaler Geräte am Tatort Digitale Forensik, Schulung Bundespolizeiakademie Lübeck, Juli 2007 Seite 28

29 Beispiel: Beschreibung von Speichermedien Digitale Forensik, Schulung Bundespolizeiakademie Lübeck, Juli 2007 Seite 29

30 Beispiel: Sonstige elektronische Spuren Digitale Forensik, Schulung Bundespolizeiakademie Lübeck, Juli 2007 Seite 30

31 Beispiel: auch hier Dokumentieren! Digitale Forensik, Schulung Bundespolizeiakademie Lübeck, Juli 2007 Seite 31

32 Weitere Quelle zur Beschlagnahme United States Department of Justice: Searching and Seizing Computers and Obtaining Electronic Evidence in Criminal Investigations, s&smanual2002.pdf (267 Seiten) bzw. s&smanual2002.htm Beschlagnahme benötigt zwar auch technische Grundlagen, ist aber vor allem eine Frage der Kriminalistik Digitale Forensik, Schulung Bundespolizeiakademie Lübeck, Juli 2007 Seite 32

33 Sicherung Sicherstellen, dass Beweise unverändert bleiben Fotografieren, Versiegeln, Wegschließen Bei digitalen Spuren: Kopien erstellen Weitere Untersuchungen nur auf Kopien Verwenden kryptographischer Hashes zum Nachweis der Echtheit Verwendung von vertrauenswürdigen Tools Hier beginnt die Arbeit von Informatik-Spezialisten Digitale Forensik, Schulung Bundespolizeiakademie Lübeck, Juli 2007 Seite 33

34 Bergung Throwing out a large net [Casey] Bergung von Daten, die gelöscht, versteckt, getarnt oder anderweitig unzugänglich gemacht worden sind Hier Synergien mit anderen Beweismitteln nutzen Beispiel: Ist ein Zettel mit Passworten am Tatort gefunden worden? Digitale Forensik, Schulung Bundespolizeiakademie Lübeck, Juli 2007 Seite 34

35 Auswertung Organisation der großen Datenmenge Zunächst Untersuchung von Meta-Daten statt der eigentlichen Daten Gruppierung von Daten nach Dateityp nach Zugriffszeiten... Digitale Forensik, Schulung Bundespolizeiakademie Lübeck, Juli 2007 Seite 35

36 Reduktion Irrelevante Daten eliminieren Weiter ohne die eigentlichen Daten anzuschauen Reduktion nach Dateityp Beispiel: Anschuldigung Besitz von Kinderpornographie, Reduktion auf Dateien mit Endung.gif oder.jpg Ziel: smallest set of digital information that has the highest potential of containing data of probative value [Casey] Hilfreich: Hash-Datenbanken von bekannten Dateien Digitale Forensik, Schulung Bundespolizeiakademie Lübeck, Juli 2007 Seite 36

37 Hash-Datenbanken The NIST National Software Reference Library (NSRL) Digitale Forensik, Schulung Bundespolizeiakademie Lübeck, Juli 2007 Seite 37

38 Strukturierung/Suche Organisation der Daten nach der Reduktion Oftmals Erstellung von Indizes und Übersichten Macht die Referenzierung der Daten in den folgenden Schritten einfacher Digitale Forensik, Schulung Bundespolizeiakademie Lübeck, Juli 2007 Seite 38

39 Analyse Detailanalyse unter Beachtung der Dateiinhalte Verbindungen herstellen Verantwortliche ermitteln Bewertung von Inhalt und Kontext means, motivation, opportunity Experimente: Ermittlung undokumentierten Verhaltens Entwicklung neuer Methoden Zusammenführung und Korrelation Überprüfen (wissenschaftliche Methodik) Digitale Forensik, Schulung Bundespolizeiakademie Lübeck, Juli 2007 Seite 39

40 Bericht Nicht nur Ergebnisse präsentieren sondern auch wie man dazu kommt. Immer auch berichten über die befolgten Regeln und Standards Schlüsse begründen Alternative Erklärungsmodelle erörtern Digitale Forensik, Schulung Bundespolizeiakademie Lübeck, Juli 2007 Seite 40

41 Bezeugen Als Sachverständiger vor Gericht Wichtiger Punkt: Glaubwürdigkeit Probleme: Technikfeindliches Publikum Problematische Analogien Digitale Forensik, Schulung Bundespolizeiakademie Lübeck, Juli 2007 Seite 41

42 Zusammenfassung Der wissenschaftliche Ansatz Forensische Vorgehensweise Vorgehensmodelle Digitale Forensik, Schulung Bundespolizeiakademie Lübeck, Juli 2007 Seite 42

43 Lehrplan Montag Dienstag Mittwoch Donnerstag Freitag I Einführung Festplatten: Partitionen, Dateisysteme Grundlagen des Beweisrechts Internet: Hintergrund Abschluss II Digitale Spuren Festplattenanalyse 1 Beweiserhebung und Dokumentation Internet 1 Offene Fragen III Forensische Prinzipien Festplattenanalyse 2 Beschlagnahme von Daten Internet 2 IV Wie Angreifer vorgehen Festplattenanalyse 3 Internetermittlung und online- Durchsuchung Internet 3 Digitale Forensik, Schulung Bundespolizeiakademie Lübeck, Juli 2007 Seite 43

44 Communications of the ACM, 48(8), 2006 Ausblick Wie Angreifer vorgehen Fragen? Name und Datumwww.uni-mannheim.de Seite 44