Fighting Cybercrime - Digitale Kriminalistik

Transkript

1 Fighting Cybercrime - Digitale Kriminalistik Öffentliche Vorlesung am 26. Juni 2009 Kriminalhauptkommissar

2 Fighting Cybercrime - Digitale Kriminalistik Agenda 202 c StGB - Bedeutung für die Praxis (Hackerwerkzeuge) Computer Forensik ist digitale kriminalistische Arbeit - Grundsätze der kriminalistischen Vorgehensweise Vor Ort: Ausschalten oder was ist als erstes zu tun? (Strategien zur Vorgehensweise) Live Analyse versus Post Mortem Abbild Die Forensische Duplikation Fundorte digitaler Spuren am laufenden System Werkzeugkiste: Vorstellung einiger Tools Herausforderung Anti Forensics 2

3 202 c StGB - Bedeutung für die Praxis (Hackerwerkzeuge) 202 c StGB Vorbereiten des Ausspähens und Abfangens von Daten (1) Wer eine Straftat nach 202a oder 202b vorbereitet, indem er 1. Passwörter oder sonstige Sicherungscodes, die den Zugang zu Daten ( 202a Abs. 2) ermöglichen, oder2. Computerprogramme, deren Zweck die Begehung einer solchen Tat ist, herstellt, sich oder einem anderen verschafft, verkauft, einem anderen überlässt, verbreitet oder sonst zugänglich macht, wird mit Freiheitsstrafe bis zu einem Jahr oder mit Geldstrafe bestraft. 3

4 202 c StGB - Bedeutung für die Praxis (Hackerwerkzeuge) 202 c StGB Gesetzestext semantisch etwas unglücklich 202 a Ausspähen- / 202 b Abfangen von Daten 4

5 202 c StGB Deutscher Bundestag Drucksache 16/ Wahlperiode Der Gesetzentwurf kriminalisiere nicht den branchenüblichen Einsatz von Hacker-Tools durch Netzwerkadministratoren, insbesondere wenn diese nur die Sicherheit des eigenen Datennetzes prüfen wollten

6 Fighting Cybercrime - Digitale Kriminalistik Computer Forensik digitales kriminalistisches Arbeiten Computer-Forensik Nachweis und die Ermittlung von Straftaten im Bereich der Computerkriminalität Nachweis und Aufklärung von strafbaren Handlungen z. B. durch Analyse von digitalen Spuren Kriminalistische Fragestellungen: Wer, Was, Wo, Wann, Womit, Wie und Weshalb 6

7 SAP Modell Fighting Cybercrime - Digitale Kriminalistik Secure Tatort und Untersuchungsbereich absichern Beweisspuren sichern Analyze Spuren sorgfältig auswerten Present Erkenntnisse schlüssig dokumentieren 7

8 Computer Forensik Fighting Cybercrime - Digitale Kriminalistik Ziel der Ermittlung Erkennen der Methode oder der Schwachstelle, die zum Systemeinbruch geführt haben könnte, Ermittlung des entstanden Schadens nach einem Systemeinbruch, Identifikation des Angreifers, Sicherung der Beweise für weitere juristische Aktionen. 8

9 Fighting Cybercrime - Digitale Kriminalistik Computer Forensik Soviel Informationen wie möglich von einem kompromittierten System sammeln, ohne dabei den aktuellen Zustand bzw. Status dieses Systems zu verändern. 9

10 Fighting Cybercrime - Digitale Kriminalistik Welche Daten in welcher Reihenfolge sammeln? Flüchtige Daten Informationen, die beim geordneten Shutdown oder Ausschalten verloren gehen (Inhalt von Cache und Hauptspeicher, Status der Netzverbindungen, laufende Prozesse, angemeldete User etc.) Fragile Daten Informationen, die zwar auf der Festplatte gespeichert sind, aber deren Zustand sich beim Zugriff ändern kann Temporär zugängliche Daten Informationen, die sich auf der Festplatte befinden, aber nur zu bestimmten Zeitpunkten zugänglich sind, z.b. während der Laufzeit einer Anwendung. Die Kenntnis um die Halbwertzeit dieser Daten ist sehr wichtig, da damit die Reihenfolge der Datensammlung bestimmt wird. 10

11 Fighting Cybercrime - Digitale Kriminalistik Fragestellungen für die Ermittlung Welche Person hatte (unberechtigten) Zugang? Was hat der Angreifer auf dem System gemacht? Zu welchem Zeitpunkt fand der Vorfall statt? Welche Systeme sind zusätzlich betroffen? Warum ist gerade dieses Netz oder System angegriffen worden? Wie konnte der Angreifer Zugriff erlangen? Ist der Angriff vor kurzem geschehen? Was macht der Angreifer jetzt? Was konnte der Angreifer auf diesem/von diesem System einsehen? Hat der Angreifer etwas zurückgelassen? 11

12 Fighting Cybercrime - Digitale Kriminalistik Fragestellungen für die Ermittlung Welche Tools kamen beim Angriff zum Einsatz? Wie kamen diese Tools zum Einsatz? In welcher Programmiersprache wurden die Tools geschrieben? Haben diese Dateien Ähnlichkeiten mit Dateien, die auf dem System eines Tatverdächtigen gefunden wurden? Welche Ereignisse wurden protokolliert? Was wird durch die Protokolldaten enthüllt? -Protokolldaten von Firewall, IDS, RAS, Zutrittskontrollsystemen Was ist auf den Datenträgern gespeichert? -Welche Spuren sind durch die verwendeten Applikationen hinterlassen worden? -Welche Dateien wurden gelöscht? -Existieren versteckte Dateien? Existieren verschlüsselte Dateien oder -Bereiche? Existieren versteckte Partitionen? Existieren Backdoors -oder andere Remote-Tools? 12

13 Fighting Cybercrime - Digitale Kriminalistik Strategie bestimmende Faktoren: Wie kritisch sind die betroffenen Systeme? Wichtigkeit der gestohlenen oder beschädigten Daten. Wer sind die vermutlichen Täter? Ist der Vorfall bereits an die Öffentlichkeit gelangt? Wie weit ist der Täter bereits gekommen? Welche Skills werden beim Täter vermutet? Welche Downtime ist zu verkraften? Vermuteter finanzieller Gesamtverlust. 13

14 Computer Forensik Dinge, die vermieden werden sollten Verändern von Zeitstempeln auf den gehackten Systemen (MAC-Times) Beenden eines verdächtigen Prozesses auf dem System Security Patch installieren, bevor das Response Team weitere Maßnahmen empfiehlt Kommandos ausführen, die niemand protokolliert hat Tools mit grafischen Interface lokal verwenden Nicht vertrauenswürdige Programme und Systemtools verwenden Zerstören von möglichen Beweisen durch Installieren oder Deinstallieren von Software Zerstören von möglichen Beweisen durch Programme, die Output auf der Beweisplatte generieren unter Umständen auch Shutdown 14

15 Computer Forensik Häufige Fehler bei der Ermittlung Keine durchgängige Dokumentation der durchgeführten Aktionen Jeder Vorgang am oder mit dem Beweis muss lückenlos dokumentiert sein Entscheidungsträger sind nicht oder nur unzureichend informiert Digitale Beweise sind unzureichend vor Veränderung geschützt Keine rechtzeitige Meldung über den Vorfall Unterschätzen der Tragweite des Vorfalls Keinen Incident Response Plan in Vorbereitung 15

16 Ausschalten oder was ist als erstes zu tun? Ist der Täter aktiv? Vor Ort Welche Beweise benötige ich? Welche Beweise erwarte ich? Welche Beweise erbringt ein Live Response? Post Mortem: Herunterfahren oder Stecker ziehen? 16

17 Vor Ort System Shutdown Zerstört einige fragile Daten (pagefile) Sehr viele MAC-Timestampswerden zerstört Malware könnten gestartet werden Stromkabel ziehen Zerstört alle flüchtigen Daten in Hauptspeicher, Informationen über laufende Prozesse und angemeldete User = vorher sichern! = Live Response Stoppt alle Prozesse sofort ohne dass Malware gestartet werden kann 17

18 Niemals Original verwenden! Image verwenden Prüfsumme bilden Die Forensische Dublikation 18

19 Forensische Dublikation 19

20 Forensiche Dublikation 20

21 21

22 Forensische Dublikation dcfldd- dd if=/dev/hda of=/mnt/fall/hda.img 22

23 Spuren am laufenden System Systemdatum und -uhrzeit (mit Abweichung von einer Referenzzeit) Liste der aktiven Prozesse Liste der geöffneten Sockets Liste der Anwendungen, die auf geöffneten Sockets lauschen Liste der User, die gerade angemeldet sind Liste der Systeme, die gerade eine Netzverbindung haben oder vor kurzem eine hatten doskey, script date, time, w loggedon fport, lsof pslist, ps nbtstat 23

24 Digitale Spuren am laufenden System Was ist bei der Live Response möglich? Was ist möglich? Welche Programme sind im Speicher aktiv? Sockets? Wie wurden diese Programme gestartet? Aus welchem Pfad? In welcher Reihenfolge? Durch welchen User? Welche Informationen werden durch das Programm im RAM verarbeitet? Welche User sind angemeldet? Wie ist der Status der Netzverbindungen? Was ist nicht möglich? Ist das System mehrfach gebootet worden, sind die relevanten Informationen weg. Liegt der Vorfall länger zurück und ist das System gut ausgelastet, sind die relevanten Informationen weg 24

25 Digitale Spuren am laufenden System 25

26 26

27 Werkzeugkiste: Vorstellung einiger Tools 27

28 Werkzeugkiste: Vorstellung einiger Tools ix Incident Response Tools 28

29 Anti Forensics WipingTools Spurenvernichter Verschlüsselung Date/Time Manipulation Metadaten Manipulation Backdoors, Keylogger, Sniffer etc. und Rootkits (um diese Tools zu verstecken) 29

30 Fighting Cybercrime - Digitale Kriminalistik Vielen Dank für Ihre Aufmerksamkeit! Zeit für Ihre Fragen!