Digitale Forensik. Teil 5: Datenträgersicherung (inklusive Übung) Schulung Bundespolizeiakademie Juli 2007

Transkript

1 Digitale Forensik Schulung Bundespolizeiakademie Juli 2007 Teil 5: Datenträgersicherung (inklusive Übung) Name und Datumwww.uni-mannheim.de Seite 1 Prof. Dr. Felix Freiling Universität Mannheim Lehrstuhl für Praktische Informatik 1 Dr. Kay Schumann Universität Bonn Institut für Strafrecht

2 Lehrplan Montag Dienstag Mittwoch Donnerstag Freitag I Einführung Festplatten: Partitionen, Dateisysteme Grundlagen des Beweisrechts Internet: Hintergrund Abschluss II Digitale Spuren Festplattenanalyse 1 Beweiserhebung und Dokumentation Internet 1 Offene Fragen III Forensische Prinzipien Festplattenanalyse 2 Beschlagnahme von Daten Internet 2 IV Wie Angreifer vorgehen Festplattenanalyse 3 Internetermittlung und online- Durchsuchung Internet 3 Digitale Forensik, Schulung Bundespolizeiakademie, Juli 2007 Seite 2

3 Motivation Durchspielen des Sicherungsprozesses Normalerweise machen das die Tools (fast) automatisch Trotzdem wichtig zu wissen, wie das geht Übung: Sicherung eines Datenträgers mit dd Digitale Forensik, Schulung Bundespolizeiakademie, Juli 2007 Seite 3

4 Verwendung von dd Integritätssicherung Verwendung von Helix Übersicht Digitale Forensik, Schulung Bundespolizeiakademie, Juli 2007 Seite 4

5 Sicherung mittels dd dd (disk dump) ist ein einfaches und flexibles Werkzeug zum Sichern von Festplatten Kommandozeilenorientiert, viele Optionen Ursprünglich aus der Unix-Welt, aber auch Windows- Versionen verfügbar dd kopiert Datenblöcke von einer Datei in die andere dd kümmert sich nicht um die Daten, die kopiert werden dd kennt keine Dateisysteme, nur Dateien In Unix ist alles eine Datei Standard-Blockgröße ist 512 Byte, sollte jedoch immer explizit angegeben werden (nicht auf Standardverhalten verlassen) Digitale Forensik, Schulung Bundespolizeiakademie, Juli 2007 Seite 5

6 Beispiel Parameter: Quelle (input file): if=... Falls keine Quelle angegeben, wird Standardeingabe verwendet Ziel (output file): of=... Falls kein Ziel angegeben, wird Standardausgabe verwendet Blockgröße (block size): bs=... Beispiel: dd if=file1.dat of=file2.dat bs=512 Digitale Forensik, Schulung Bundespolizeiakademie, Juli 2007 Seite 6

7 Quellen In Linux gibt es für jedes Speichermedium und jede Partition eine Gerätedatei in /dev Beispiel: ATA Master auf erstem Kanal ist /dev/hda In Windows benutzt man die Notation \\.\ Beispiel: \\.\PhysicalDrive0 Blocksize kann beliebig sein (Anzahl von Bytes) Von 1 bis 1 GB, Platte liest aber immer einen Block Parameter zu klein: Vergeudet Zeit beim Lesen Parameter zu groß: Dauert lange, bis interne Puffer voll sind Für schnelles Kopieren Werte zwischen 2K und 8K gut [Carrier, p. 61] Digitale Forensik, Schulung Bundespolizeiakademie, Juli 2007 Seite 7

8 Ziele Ziel kann entweder eine neue Datei oder ein Laufwerk sein Beispiele: dd if=/dev/hda of=/mnt/hda.dd bs=2k dd if=/dev/hda of=/dev/hdb bs=2k Digitale Forensik, Schulung Bundespolizeiakademie, Juli 2007 Seite 8

9 Standardausgabe Wenn kein Ziel angegeben wird, dann wird die Standardausgabe verwendet Verwenden weiterer Tools zur Analyse möglich Beispiele: MD5-Summen: md5sum Lesbare Zeichenfolgen extrahieren: strings Daten über das Netzwerk schicken: ssh, netcat, cryptcat Digitale Forensik, Schulung Bundespolizeiakademie, Juli 2007 Seite 9

10 Netcat Netcat und Cryptcat sind Werkzeuge zum (verschlüsselten) Senden von Daten über das Netz Beispiel: forensische Workstation mit IP Einen Port aufmachen, eingehende Daten in eine Datei schreiben nc -l -p 7000 > disk.dd Auf dem untersuchten Rechner von CD Booten und Ausgabe von dd über das Netz schicken dd if=/dev/hda bs=2k nc -w Digitale Forensik, Schulung Bundespolizeiakademie, Juli 2007 Seite 10

11 md5sum Berechnet MD5 einer Datei Hash-Summen md5deep: Berechnet MD5 eines Verzeichnisbaums Digitale Forensik, Schulung Bundespolizeiakademie, Juli 2007 Seite 11

12 Verwendung (Quelle: Dornseif) Digitale Forensik, Schulung Bundespolizeiakademie, Juli 2007 Seite 12

13 Alternativen zu dd dd ist sehr mächtig, hat aber auch Nachteile: Überschreibt Ausgabedatei Keine erneuten Leseversuche bei Lesefehlern Keine Fortschrittsanzeige Keine Netzwerkfähigkeit Zu viele Features Alternativen: dd_rescue: Kann mehrere Leseversuche unternehmen Kann rückwärts lesen Fortschrittsindikator sdd: ftp://ftp.berlios.de/pub/sdd/readme Deutlich schneller als dd, hilfreichere Ausgaben dcfldd: Hashing eingebaut pcopy: Digitale Forensik, Schulung Bundespolizeiakademie, Juli 2007 Seite 13

14 Übersicht Verwendung von dd Integritätssicherung Verwendung von Helix Digitale Forensik, Schulung Bundespolizeiakademie, Juli 2007 Seite 14

15 Sichere Arbeitsumgebung Ideal: abgesicherte forensische Workstation mit viel Plattenplatz, vielen Laufwerken/Schnittstellen, und allen Tools, die man gerne hat. Falls nicht zur Verfügung, sind Live CDs eine gute Wahl Kann man immer dabei haben Sollte immer eine aktuelle Version sein Digitale Forensik, Schulung Bundespolizeiakademie, Juli 2007 Seite 15

16 Arten der Verwendung von Helix Als Live-CD Bootet auf beliebiger Maschine in ein Linux Stellt dort Analysetools zur Verfügung Datenspeicherung über das Netz Problem: Deutsche Tastatur (kriegt das jemand hin?) Als Quelle von vertrauenswürdigen Tools Nützlich für die Live Analyse (Incident Response, IR)... wenn das kompromittierte System noch läuft... oder es nicht abgeschaltet werden darf (Produktionssystem) CD einlegen Sichere(re) Ausführungsumgebung schaffen Systemkommandos aufrufen Digitale Forensik, Schulung Bundespolizeiakademie, Juli 2007 Seite 16

17 Verwendung unter Windows Mit GUI: CD einlegen Auf Helix-Symbol doppelklicken (falls kein Autostart) Meldung lesen Mit den Tools spielen Ohne GUI: Vertrauenswürdige Umgebung schaffen Je nach Betriebssystem: X:\IR\xp\cmd.exe X:\IR\xp\cmdenv.exe Jetzt ruft man die Tools von der CD in einem Kommandointerpreter von der CD auf Bei Rootkits können alle Ausgabedaten weiter falsch sein Digitale Forensik, Schulung Bundespolizeiakademie, Juli 2007 Seite 17

18 Verwendung von dd Integritätssicherung Verwendung von Helix Zusammenfassung Jetzt Übung... Digitale Forensik, Schulung Bundespolizeiakademie, Juli 2007 Seite 18

19 Erste Übung (leicht) Sie bekommen eine Diskette Fertigen Sie ein lokales dd-image der Diskette an Prüfen Sie die Integrität des Images Sichern Sie anschliessend das Image über das Netz mittels netcat Prüfen Sie wieder die Integrität Digitale Forensik, Schulung Bundespolizeiakademie, Juli 2007 Seite 19

20 Erste Übung (für Fortgeschrittene) Sie bekommen ein 100 MB Festplattenimage Auf dem Image sind verschlüsselte Daten versteckt Finden Sie diese Daten Digitale Forensik, Schulung Bundespolizeiakademie, Juli 2007 Seite 20

21 Communications of the ACM, 48(8), 2006 Ausblick Partitionen, Dateisysteme Analyse des angefertigten Images Fragen? Name und Datumwww.uni-mannheim.de Seite 21