Alexander Geschonneck. Computer-Forensik. Computerstraftaten erkennen, ermitteln, aufklären. 3., aktualisierte und erweiterte Auflage. I dpunkt.

Transkript

1 Alexander Geschonneck Computer-Forensik Computerstraftaten erkennen, ermitteln, aufklären 3., aktualisierte und erweiterte Auflage I dpunkt.verlag

2 Inhaltsverzeichnis Einleitung 1 Wer sollte dieses Buch lesen? 2 Was lernt man in diesem Buch? 4 Was lernt man in diesem Buch nicht? 4 Wie liest man dieses Buch? 5 Was ist neu in der 2. Auflage? 8 Was ist neu in der 3. Auflage? 8 1 Bedrohungssituation Bedrohung und Wahrscheinlichkeit Risikoverteilung Motivation der Täter Innentäter vs. Außentäter Bestätigung durch die Statistik? 23 2 Ablauf von Angriffen Typischer Angriffsverlauf Footprinting Port- und Protokollscan Enumeration Exploiting/Penetration Hintertüren einrichten Spuren verwischen Beispiel eines Angriffs 32

3 I xii Inhaltsverzeichnis 3 Incident Response als Grundlage der Computer-Forensik Der Incident-Response-Prozess Organisatorische Vorbereitungen Zusammensetzung des Response-Teams Incident Detection: Systemanomalien entdecken Vom Verdacht zum Beweis Netzseitige Hinweise Serverseitige Hinweise Intrusion-Detection-Systeme Externe Hinweise Incident Detection: Ein Vorfall wird gemeldet Sicherheitsvorfall oder Betriebsstörung? Wahl der Response-Strategie Reporting und Manöverkritik 57 4 Einführung in die Computer-Forensik Ziele einer Ermittlung Anforderungen an den Ermittlungsprozess Phasen der Ermittlung Das S-A-P-Modell Welche Erkenntnisse kann man gewinnen? Wie geht man korrekt mit Beweismitteln um? Juristische Bewertung der Beweissituation Datenschutz Welche Daten können erfasst werden? Bewertung der Beweisspuren Durchgeführte Aktionen dokumentieren Beweise dokumentieren Mögliche Fehler bei der Beweissammlung Flüchtige Daten sichern: Sofort speichern Speichermedien sichern: forensische Duplikation Wann ist eine forensische Duplikation sinnvoll? Geeignete Verfahren 89

4 4.9 Was sollte alles sichergestellt werden? Erste Schritte an einem System für die Sicherstellung System läuft nicht (ist ausgeschaltet) System läuft (ist eingeschaltet) Untersuchungsergebnisse zusammenführen Häufige Fehler Anti-Forensik 97 5 Einführung in die Post-mortem-Analyse Was kann alles analysiert werden? Analyse des File Slack MAC-Time-Analysen NTFS-Streams Vistas TxF Vistas Volumen-Schattenkopien Auslagerungsdateien Versteckte Dateien Dateien oder Fragmente wiederherstellen Unbekannte Binärdateien analysieren Systemprotokolle Analyse von Netzwerkmitschnitten Forensik- und Incident-Response-Toolkits im Überblick Grundsätzliches zum Tooleinsatz Sichere Untersuchungsumgebung F.I.R.E Knoppix Security Tools Distribution Helix ForensiX-CD EnCase dd Forensic Acquisition Utilities AccessData Forensic Toolkit The Coroner's Toolkit und TCTUtils 164

5 Inhaltsverzeichnis 6.12 The Sleuth Kit Autopsy Forensic Browser Eigene Toolkits für Unix und Windows erstellen F.R.E.D Incident Response Collection Report (IRCR) Windows Forensic Toolchest (WFT) Live View Forensische Analyse im Detail Forensische Analyse unter Unix Die flüchtigen Daten speichern Forensische Duplikation Manuelle P.m.-Analyse der Images P.m.-Analyse der Images mit Autopsy Dateiwiederherstellung mit unrm und lazarus Weitere hilfreiche Tools Forensische Analyse unter Windows Die flüchtigen Daten speichern Analyse des Hauptspeichers Forensische Duplikation Manuelle P.m.-Analyse der Images P.m.-Analyse der Images mit dem AccessData FTK P.m.-Analyse der Images mit EnCase P.m.-Analyse der Images mit X-Ways Forensics Weitere hilfreiche Tools Forensische Analyse von mobilen Geräten Was ist von Interesse bei mobilen Geräten? Welche Informationen sind auf der SIM-Karte von Interesse? Grundsätzlicher Ablauf der Sicherung von mobilen Geräten Software für die forensische Analyse von mobilen Geräten im Überblick Forensische Analyse von Routern 268

6 Inhaltsverzeichnis xv I 8 Empfehlungen für den Schadensfall Logbuch Den Einbruch erkennen Tätigkeiten nach festgestelltem Einbruch Nächste Schritte Backtracing IP-Adressen überprüfen Ursprüngliche Quelle IP-Adressen, die nicht weiterhelfen Private Adressen Weitere IANA-Adressen Augenscheinlich falsche Adressen Spoof Detection Traceroute Hopcount Routen validieren Nslookup Whois Header Einbeziehung der Behörden Organisatorische Vorarbeit Strafrechtliches Vorgehen Inanspruchnahme des Verursachers Möglichkeiten der Anzeigeerstattung Einflussmöglichkeiten auf das Strafverfahren Zivilrechtliches Vorgehen Darstellung in der Öffentlichkeit Die Beweissituation bei der privaten Ermittlung Fazit 309 Anhang Tool-Überblick 311 Literaturempfehlungen 317 Stichwortverzeichnis 319