Alexander Geschonneck ix-edition

Transkript

1 Alexander Geschonneck leitet als Partner bei der KPMG AG Wirtschaftsprüfungsgesellschaft den Bereich Forensic Technology. Sein Tätigkeitsschwerpunkt ist die Sicherstellung und Analyse von digitalen Beweismitteln im Rahmen der Korruptions- und Betrugsbekämpfung sowie die Reaktion und Aufklärung von Sicherheitsvorfällen. Davor war er leitender Sicherheitsberater und Partner bei der HiSolutions AG in Berlin sowie Leiter des Bereiches Forensic Technology & Discovery Services bei der Ernst & Young AG Wirtschaftsprüfungsgesellschaft. Seit 1993 ist er branchenübergreifend im strategischen und operativen IT-Sicherheitsumfeld tätig. Alexander Geschonneck ist Mitautor der IT-Grundschutzkataloge des Bundesamtes für Sicherheit in der Informationstechnik (BSI). Seit 2002 ist er vom BSI lizenzierter IT-Grundschutzauditor sowie Audit-Teamleiter für ISO Audits auf Basis von IT-Grundschutz. Er studierte in Berlin Wirtschaftsinformatik mit Themenschwerpunkt Informationssicherheit. Auf seiner privaten Homepage finden sich weitere Veröffentlichungen zu Themen der Computer-Forensik und allgemeinen IT-Sicherheit. Alexander Geschonneck ist Certified Fraud Examiner und Certified Information Systems Auditor. ix-edition In der ix-edition erscheinen Titel, die vom dpunkt.verlag gemeinsam mit der Redaktion der Computerzeitschrift ix ausgewählt und konzipiert wurden. Inhaltlicher Schwerpunkt dieser Reihe sind Software- und Webentwicklung sowie Administration und IT-Sicherheit. Zu diesem Buch sowie zu vielen weiteren dpunkt.büchern können Sie auch das entsprechende E-Book im PDF-Format herunterladen. Werden Sie dazu einfach Mitglied bei dpunkt.plus + :

2 Alexander Geschonneck Computer-Forensik Computerstraftaten erkennen, ermitteln, aufklären 6., aktualisierte und erweiterte Auflage

3 Alexander Geschonneck Lektorat: René Schönfeldt Copy-Editing: Ursula Zimpfer, Herrenberg Herstellung: Birgit Bäuerlein Autorenfoto: Markus Vogel Umschlaggestaltung: Helmut Kraus, Druck und Bindung: M.P. Media-Print Informationstechnologie GmbH, Paderborn Bibliografische Information der Deutschen Nationalbibliothek Die Deutsche Nationalbibliothek verzeichnet diese Publikation in der Deutschen Nationalbibliografie; detaillierte bibliografische Daten sind im Internet über abrufbar. ISBN , aktualisierte und erweiterte Auflage Copyright 2014 dpunkt.verlag GmbH Wieblinger Weg Heidelberg Die vorliegende Publikation ist urheberrechtlich geschützt. Alle Rechte vorbehalten. Die Verwendung der Texte und Abbildungen, auch auszugsweise, ist ohne die schriftliche Zustimmung des Verlags urheberrechtswidrig und daher strafbar. Dies gilt insbesondere für die Vervielfältigung, Übersetzung oder die Verwendung in elektronischen Systemen. Es wird darauf hingewiesen, dass die im Buch verwendeten Soft- und Hardware-Bezeichnungen sowie Markennamen und Produktbezeichnungen der jeweiligen Firmen im allgemeinen warenzeichen-, marken- oder patentrechtlichem Schutz unterliegen. Alle Angaben und Programme in diesem Buch wurden mit größter Sorgfalt kontrolliert. Weder Autor noch Verlag können jedoch für Schäden haftbar gemacht werden, die in Zusammenhang mit der Verwendung dieses Buches stehen

4 v Inhaltsverzeichnis Einleitung 1 Wer sollte dieses Buch lesen? Was lernt man in diesem Buch? Was lernt man in diesem Buch nicht? Wie liest man dieses Buch? Was ist neu in der 6. Auflage? Was ist neu in der 5. Auflage? Was ist neu in der 4. Auflage? Was ist neu in der 3. Auflage? Was ist neu in der 2. Auflage? Bedrohungssituation Bedrohung und Wahrscheinlichkeit Risikoverteilung Motivation der Täter Innentäter vs. Außentäter Bestätigung durch die Statistik? Computerkriminalität Ablauf von Angriffen Typischer Angriffsverlauf Beispiel eines Angriffs

5 vi Inhaltsverzeichnis 3 Incident Response als Grundlage der Computer-Forensik Der Incident-Response-Prozess Organisatorische Vorbereitungen Zusammensetzung des Response-Teams Incident Detection: Systemanomalien entdecken Incident Detection: Ein Vorfall wird gemeldet Sicherheitsvorfall oder Betriebsstörung? Wahl der Response-Strategie Reporting und Manöverkritik Einführung in die Computer-Forensik Ziele einer Ermittlung Anforderungen an den Ermittlungsprozess Phasen der Ermittlung Das S-A-P-Modell Welche Erkenntnisse kann man gewinnen? Wie geht man korrekt mit Beweismitteln um? Flüchtige Daten sichern: Sofort speichern Speichermedien sichern: Forensische Duplikation Was sollte alles sichergestellt werden? Erste Schritte an einem System für die Sicherstellung Untersuchungsergebnisse zusammenführen Häufige Fehler Anti-Forensik Einführung in die Post-mortem-Analyse Was kann alles analysiert werden? Analyse des File Slack Timeline-Analysen NTFS-Streams NTFS TxF NTFS-Volumen-Schattenkopien Windows-Registry Windows UserAssist Keys Windows Prefetch-Dateien Auslagerungsdateien

6 Inhaltsverzeichnis vii 5.11 Versteckte Dateien Dateien oder Fragmente wiederherstellen Unbekannte Binärdateien analysieren Systemprotokolle Analyse von Netzwerkmitschnitten Forensik- und Incident-Response-Toolkits im Überblick Grundsätzliches zum Tooleinsatz Sichere Untersuchungsumgebung F.I.R.E Knoppix Security Tools Distribution Helix ForensiX-CD C.A.I.N.E. und WinTaylor DEFT und DEFT-Extra EnCase dd Forensic Acquisition Utilities AccessData Forensic Toolkit The Coroner s Toolkit und TCTUtils The Sleuth Kit Autopsy Forensic Browser Eigene Toolkits für Unix und Windows erstellen Forensische Analyse im Detail Forensische Analyse unter Unix Forensische Analyse unter Windows Forensische Analyse von mobilen Geräten Forensische Analyse von Routern Empfehlungen für den Schadensfall Logbuch Den Einbruch erkennen Tätigkeiten nach festgestelltem Einbruch Nächste Schritte

7 viii Inhaltsverzeichnis 9 Backtracing IP-Adressen überprüfen Spoof Detection Routen validieren Nslookup Whois Header Einbeziehung der Behörden Organisatorische Vorarbeit Strafrechtliches Vorgehen Zivilrechtliches Vorgehen Darstellung in der Öffentlichkeit Die Beweissituation bei der privaten Ermittlung Fazit Anhang 349 A Tool-Überblick 351 B C.A.I.N.E.-Tools 359 C DEFT-Tools 367 Literaturempfehlungen 373 Index 375