IT-Forensics für Ermittler

Transkript

1 IT-Forensics für Ermittler Übersicht der Ausbildung Ausbildungsverantwortlicher: Carlos Rieder Stellvertreter: Roland Portmann Hauptmodul Untermodul Untermodulverantwortlic he Sicherstellung (Modul 1) 2 Tage Hardware kennen lernen (Fokus Datenträger) Beweistaugliches Sicherstellen von Datenträgern mit Encase Roland Portmann Urs Kronenberg Konrad Marfurt Analyse (Modul 2) 2 Tage Grundlagen Betriebssysteme (Filesysteme) Einfache Analyse (Fokus Word, Excel, Bilder) Roland Portmann Urs Kronenberg Konrad Marfurt Taktik (Modul 3) 2 Tage IT-Ermittlung in der Praxis Sicherstellung der Beweiskraft Abschlussprüfung in Form einer Fallstudie Michael Muther Andreas Ochsenbein Carlos Rieder Urs Kronenberg Die Ausbildung soll in Zusammenarbeit mit dem Schweizerischen Polizei-Institut, Neuenburg angeboten werden.

2 Seite 2 von 6 Zielpublikum: Jeder Ermittler, welcher sich im Rahmen seiner Tätigkeit mit dem Spurenschutz, der Spurensicherung und der Analyse von IT-Mitteln auseinander setzen muss. Zielsetzung der Ausbildung: Aufbau von spezifischem Anwenderwissen im Bereich von Standard -IT-Ermittlung (Spurenschutz, Spurensuche und Analyse auf Einzelsystemen). Standard -IT-Ermittlung können zuverlässig und selbständig durchgeführt werden. Kompetente Anwendung des Ermittlungswerkzeugs Encase inklusive der dazu nötigen Hardware (Encase mit korpseigener Hardware) Kennen der wesentlichen rechtlichen Grundlagen der IT-Forensics. Aufbau von Praxiskenntnissen Voraussetzungen: Technisches Flair und Interesse an der Informatik Basis IT-Anwenderwissen Bereitschaft sich mit dem Thema der IT-Forensics auseinander zu setzen. Idealerweise werden die im eigenen Korps verwendeten Sicherstellungs- und Analyse- Werkzeuge an den Kurs mitgebracht. Ausbildungsstil: Auf das nötigste reduzierte Theorieblöcke leiten die umfassenden praktischen Übungen ein. Der Umgang mit Hardware, vor allem Datenträgern wird intensiv praktisch geschult. Das Arbeiten mit Checklisten stellt sicher, dass die Verfahren auch nach einem Unterbruch wieder angewendet werden können. Prüfung: Der Ausbildungsstand wird am letzten Kurstage mit einer theoretischen und praktischen Prüfung überprüft. Diese dauert ca. 180 Minuten und ist ein Teil der Praxisübungen. Die Besprechung erfolgt direkt nach der Durchführung. Wenn 60% der Aufgaben richtig beantwortet wurden, gilt die Prüfung als erfüllt. Die Prüfung unterliegt dem Prüfungsreglement der HSW und kann einmal wiederholt werden. Zertifikat: Die erfolgreiche Teilnahme Abschlussprüfung bestanden) wird in einem Zertifikat bestätigt. Teilnehmer: Der Kurs wird mit mindestens 8 und maximal 12 Teilnehmern durchgeführt. Vorgesetzte der Kursteilnehmer sind während den Theorieblöcken als Hörer kostenlos zugelassen (im Rahmen der Möglichkeiten der Schulungsräume).

3 II Module mit Inhalten, Lernzielen und Dozenten 1 Modul 1: Sicherstellung Untermodul Modul Nähere Beschreibung der Lehrinhalte Lernziele Dozent /Referent Anzahl Lekt. Hardware kennen lernen Einsatz von Encase 1 Aufbau Personal Computer / Notebook Typen von Festplatten (Harddisk) Einsatz mit Encase zur Datensicherstellung Anwendung der verschiedenen Daten- Übertragungswege Physische Sicherstellung von Computerteilen Stellt die nötigen Computer- Bestandteile sicher Kennt Typen von Festplatten und kann diese ausbauen Kennt die Möglichkeiten der Datenübertragung 4 Por Erstellen Evidence File (Praxis) 1 Erstellen des Evidence File Ausbau von Festplatten Datenübermittlung per Netzwerk Protokollierung der Arbeiten Beherrscht den Einsatz seines Systems zur Sicherstellung der Daten. Kann Evidence-File verschiedener Geräte erstellen. Setzt die verschiedenen Übertragungswege optimal ein. 8 Krs / Mak Review, Vertiefung 1 Erfahrungsaustausch Repetition Diskussion Zusammenfassung Festigen des neuen Wissens 4 Por / Krs 1 Diese "Modul- und Dozentenliste" wird von der Kursleitung ständig aktualisiert. Änderungen sind vorbehalten.

4 Seite 4 von 6 Untermodul Modul Modul 2: Analyse Nähere Beschreibung der Lehrinhalte Lernziele Dozent /Referent Anzahl Lekt. Grundlagen Betriebssysteme (Filesysteme) Analysen von Encase 2 Einführung in das Betriebsysteme Windows Erklären des Ausbaus des Filesystems Vorstellen der Analysemöglichkeiten mit Encase Kennt die für die IT-Security relevanten Themen rund um das Betriebssystem Windows Kann eine einfache Analyse mit Encase durchführen 4 Por Einfache Analyse 2 Durchführen von einfachen Analysen mit Encase Schnellsuche Suchen nach Bildern, Texten, Tabellen, Internet-Links, Schlüsselwörtern Protokollierung der Arbeiten Kann die Grundfunktionen von Encase selbstständig anwenden und die Erkenntnisse protokollieren 8 Krs / Mak Review, Vertiefung 2 Erfahrungsaustausch Repetition Diskussion Zusammenfassung Festigen des Wissens 4 Por / Krs

5 Seite 5 von 6 Untermodul Modul Modul 3: Taktik Nähere Beschreibung der Lehrinhalte Lernziele Dozent /Referent Anzahl Lekt. IT-Ermittlung in der Praxis 3 Vorgehen bei der Ermittlung Kooperationen Kontaktstellen Checklisten Praktische Beispiele Erfahrungen aus der Praxis verstehen, Vorgehen und Verfahren kennen lernen 4 Mum Beweisbarkeit 2 Sicherstellen der Beweiskraft der erlangten Erkenntnisse aus dem IT-Umfeld Voraussetzungen für die Beweiskraft Erfahrungen Bestehende Urteile Praxisbericht aus Polizeikorps Weiss was berücksichtigt werden muss um die Beweisbarkeit sicherzustellen 4 Oca Fallstudie (Prüfung) 3 Praxisbeispiel selbständig durchführen Überprüfung des Gelernten an einem praktischen Beispiel Review, Vertiefung 2 Besprechen der Prüfung, Erfahrungsaustausch Lernen aus Fehlern Diskussion, Zusammenfassung Lernen von den anderen Kursreview Feedback zur Ausbildung 4 Krs / Poa / Ric 4 Krs / Poa / Ric

6 Seite 6 von 6 III Dozentenliste IT-Forensics für Ermittler Name / Titel Arbeitgeber Adresse Telefon G. Kz PLZ / Ort Roland Portmann Hochschule für Wirtschaft, Zentralstrasse 9, Por Konrad Marfurt Hochschule für Wirtschaft, Zentralstrasse 9, Mak Andreas Ochsenbein Bezirksanwaltschaft III für den Postfach, 8036 Zürich / Oca Kanton Zürich ji.zh.ch Carlos Rieder Hochschule für Wirtschaft, Zentralstrasse 9, / Ric Michael Muther Kriminalpolizei des Kt., Kasimir-Pfyffer-Strasse Mum OPD DES 26, 6003 Armand Portmann Hochschule für Wirtschaft, Zentralstrasse 9, Poa Urs Kronenberg Hochschule für Wirtschaft, Zentralstrasse 9, Krs Andrea Baumgartner Hochschule für Wirtschaft, Zentralstrasse 9, Ban