Vorlesung Computerforensik. Kapitel 1: Einleitung

Transkript

1 Harald Baier Einleitung / SS /23 Vorlesung Computerforensik Kapitel 1: Einleitung Harald Baier Hochschule Darmstadt, CRISP SS 2016

2 Harald Baier Einleitung / SS /23 Tools Vorgriff: Datenstrukturen der DOS Partitionierung

3 Harald Baier Einleitung / SS /23 Tools Vorgriff: Datenstrukturen der DOS Partitionierung

4 Harald Baier Einleitung / SS /23 Forensik 1. Zentrales Ziel: Beantwortung von Fragen des Rechts mit Hilfe wissenschaftlicher Methoden. 2. Etymologie: Forum = Marktplatz (im antiken Rom). Auf Forum fanden Gerichtsverhandlungen statt. Beantwortung der Rechtsfragen im öffentlichen Raum. 3. Kontext: strafbare bzw. anderweitig rechtswidrige oder sozialschädliche Handlungen nachzuweisen und aufzuklären. 4. Zeitreise in die Vergangenheit.

5 Harald Baier Einleitung / SS /23 Teilgebiete der Forensik 1. Forensische Medizin / Rechtsmedizin: Beantwortung von Rechtsfragen im Zusammenhang eines vermuteten nicht-natürlichen Todes (z.b. Todesursache, Todeszeitpunkt), Gewaltdeliktes (z.b. gegen Kinder, sexuelle Gewalt). Bitte nicht mit Pathologie verwechseln!! 2. Forensische Toxikologie: Rechtsfragen zu chemischen oder biologischen Stoffen (z.b. liegt eine Vergiftung vor?). 3. Ballistik: Rechtsfragen zu Geschossen (z.b. Zuordnung einer Patrone zu einer Pistole). 4. Daktyloskopie: Fingerabdruckverfahren zur Identitätsbestimmung. 5. IT-Forensik: Rechtsfragen im Kontext von IT-Systemen.

6 Harald Baier Einleitung / SS /23 Computerforensik vs. IT-Forensik 1. Begriff Computerforensik heute zu speziell: Smartphone? Tablet? Netzwerke? Cloud? 2. Daher heute IT-Forensik oder digitale Forensik

7 Harald Baier Einleitung / SS /23 Spur 1. Eigenschaften: Hinterlassenes Zeichen (z.b. Fährte bei Tieren). Ausgangspunkt für eine Untersuchung. 2. Arten von Spuren: Materielle: Blutspritzer, Fingerabdrücke, Schuhabdruck, Haar. Immaterielle: Menschliches Verhalten (z.b. Unsicherheit). Wozu gehören digitale Spuren?

8 Harald Baier Einleitung / SS /23 Indiz, Beweis 1. Indiz: Hinweis, der mit anderen Indizien zusammen auf das Vorliegen eines Sachverhalts schließen lässt. Gewürdigte Spur. Beispiel: dieser Fußabdruck gehört mutmaßlich zum Schuh des Verdächtigen. 2. Beweis: Feststellung eines Sachverhalts als Tatsache in einem Gerichtsverfahren aufgrund richterlicher Überzeugung. Juristische Wahrheit. Beispiel: dieser Fußabdruck gehört zum Schuh des Verdächtigen.

9 Harald Baier Einleitung / SS /23 Aufgaben der Forensik im Einzelnen 1. Identifizieren, Sicherstellen, Selektieren und Analysieren von Spuren, die im weiteren Verlauf der Ermittlungen zu Indizien und Beweisen werden können. 2. Dabei soll der Forensiker so wenig wie möglich in den Untersuchungsgegenstand eingreifen. 3. Grundsätzlich gilt das Paradigma der Integrität von Spuren. 4. Beispiel der IT-Forensik: Unverändertheit einer zu untersuchenden Festplatte. 5. Dabei stets Dokumentation der Aufbewahrung von Spuren: Chain of Custody. Es muss immer klar dokumentiert sein, wer wann wie auf eine Spur zugreifen kann.

10 Harald Baier Einleitung / SS /23 Das Locardsche Austauschprinzip: Einführung 1. Edmond Locard ( ): Französischer Mediziner und Rechtsanwalt. Pionier der Kriminalistik und Forensik. Sherlock Holmes von Frankreich. Direktor des weltweit ersten Kriminallabors in Lyon (1912 von Polizei anerkannt). 2. Locard s exchange principle: With contact between two items, there will be an exchange. Jeder und alles am Tatort hinterlässt etwas und nimmt etwas mit (physische Spuren). Basis für die Suche nach Spuren (die immer existieren).

11 Harald Baier Einleitung / SS /23 Das Locardsche Austauschprinzip: Übersicht

12 Harald Baier Einleitung / SS /23 Das Locardsche Austauschprinzip: Zitat Wherever he steps, whatever he touches, whatever he leaves, even unconsciously, will serve as a silent witness against him. Not only his fingerprints or his footprints, but his hair, the fibers from his clothes, the glass he breaks, the tool mark he leaves, the paint he scratches, the blood or semen he deposits or collects. All of these and more, bear mute witness against him. This is evidence that does not forget. It is not confused by the excitement of the moment. It is not absent because human witnesses are. It is factual evidence. Physical evidence cannot be wrong, it cannot perjure itself, it cannot be wholly absent. Only human failure to find it, study and understand it, can diminish its value. Zitiert nach Wikipedia

13 Harald Baier Einleitung / SS /23 IT-Forensik 1. Indizien, Spuren im Kontext eines IT-Systems (Computer, Smartphone, HDD, SSD, RAM, USB-Stick, SD-Karte, Router, Netzkabel, WLAN, Cloud,...). 2. Abstraktionsgrade: Anwendungsebene: Applikationsdaten (z.b. sqlite, doc). Dateisystemebene: Dateisystem (z.b. NTFS, ext4, HFS+). Datenträgerebene: Partitionen (z.b. DOS-Partitionsschema). Bits und Bytes. Physische Spur: Signal.

14 Harald Baier Einleitung / SS /23 Tools Tools Vorgriff: Datenstrukturen der DOS Partitionierung

15 Harald Baier Einleitung / SS /23 Kurzabriss: Tools Tools 1. dd: Datensicherung. 2. sha256sum: Berechnung von Hashwerten. 3. Schöne Distribution: Kali Linux. 4. The Sleuthkit (TSK): Toolsammlung zur IT-forensischen Analyse von Datenträgern. Autor: Brian Carrier. Frontend (insbesondere für Windows): Autopsy. Tools auf unterschiedlichen Abstraktionsebenen: Datenträgerebene (z.b. mmls), Dateisystemebene (z.b. fsstat), Metadatenebene (z.b. ils), Datenebene (z.b. blkcat).

16 Tools TSK: Datenträgerebene, mmls $ man mmls NAME mmls - Display the partition layout of a volume system (partition tables) SYNOPSIS mmls [-t mmtype ] [-o offset ] [ -i imgtype ] [-b dev_sector_size] [-BrvV] [-aamm] image [images] DESCRIPTION mmls displays the layout of the partitions in a volume system, which include partition tables and disk labels. [REMOVED] mmls is similar to fdisk -lu in Linux with a few differences. Namely, it will show which sectors are not being used so that those can be searched for hidden data. It also gives the length value so that it can be plugged into dd more easily for extracting the partitions. It also will show BSD disk labels for Free, Open, and NetBSD and will dis play the output in sectors and not cylinders. Lastly, it works on non- Linux systems. Harald Baier Einleitung / SS /23

17 $ mmls EDF.dd DOS Partition Table Offset Sector: 0 Units are in 512-byte sectors 00: Meta Primary Table (#0) 01: Unallocated 02: 00: NTFS (0x07) 03: 00: NTFS (0x07) 04: Unallocated 05: 00: DOS FAT16 (0x06) 06: Unallocated 07: Meta DOS Extended (0x05) 08: Meta Extended Table (#1) 09: 01: NTFS (0x07) 10: Meta DOS Extended (0x05) 11: Meta Extended Table (#2) 12: Meta DOS Extended (0x05) 13: Meta Extended Table (#2) 14: Unallocated 15: 02: DOS FAT16 (0x06) 16: 02: DOS FAT16 (0x06) Harald Baier Einleitung / SS /23 Tools TSK: Datenträgerebene, mmls Beispiel

18 Harald Baier Einleitung / SS /23 Tools TSK: Datenträgerebene, mmcat $ man mmcat NAME mmcat - Output the contents of a partition to stdout SYNOPSIS mmcat [-t mmtype ] [-o offset ] [ -i imgtype ] [-b dev_sector_size] [-vv] image [images] part_num DESCRIPTION mmcat outputs the contents of a specific volume to stdout. This allows you to extract the contents of a partition to a separate file. [REMOVED] part_num Address of partition to process. See the mmls output to determine the address of the partitions.

19 Harald Baier Einleitung / SS /23 Vorgriff: Datenstrukturen der DOS Partitionierung Tools Vorgriff: Datenstrukturen der DOS Partitionierung

20 Harald Baier Einleitung / SS /23 Vorgriff: Datenstrukturen der DOS Partitionierung Data Structures of the Master Boot Record Address Address Description Essential (dec.) (hex.) B7 Boot Code (Boot Loader) No B8-1BB Windows Signature No BC - 1BD 0x0000 No BE - 1CD Partition Table Entry #1 Yes CE - 1DD Partition Table Entry #2 Yes DE - 1ED Partition Table Entry #3 Yes EE - 1FD Partition Table Entry #4 Yes FE - 1FF Magic Number (MBR signature) No Value is 0xAA55 encoded little-endian

21 Vorgriff: Datenstrukturen der DOS Partitionierung Data Structures of a DOS Partition Table Entry Address Description Essential (dec.) 0-0 Bootable flag No 0x80: bootable, 0x00: non-bootable 1-3 CHS-entry of first HDD block Yes 4-4 Partition type (see next slide) No 5-7 CHS-entry of last HDD block Yes 8-11 LBA of first HDD block Yes Size in HDD blocks Yes 1. Relevance of information depends on OS: Partition type is important for Windows. CHS addresses are used by Windows 98 and ME for partitions within the first 7.8 GiB of the disk. Harald Baier Einleitung / SS /23

22 Harald Baier Einleitung / SS /23 DOS Partition Types Vorgriff: Datenstrukturen der DOS Partitionierung 1. The partition type field identifies the file system that should be in the partition. 2. If the information in the partition table does not match the real file system, the OS may mount it or not. 3. Sample types: Type Description Type Description 0x04 FAT16, MiB, CHS 0x05 MS Extended, CHS 0x06 FAT16, 32 MiB - 2 GiB, CHS 0x07 NTFS 0x0f MS Extended, LBA 0x82 Linux Swap 0x83 Linux 0x84 Hibernation

23 Harald Baier Einleitung / SS /23 Fragen? Vorgriff: Datenstrukturen der DOS Partitionierung Source: