IT-Forensik Wiki - Benutzerbeiträge [de]

Honeypot

2019-07-27T10:17:20Z

St181049:

Als Honeypot wird ein Programm oder System bezeichnet, das die Netzwerkdienste eines Computers, eines Rechnernetzes oder das Verhalten eines Anwenders simuliert um einen Angreifer vom eigentlichen Ziel ablenken soll und ggf. in eine Falle lockt um weitere Informationen über den Angreifer und seine Absichten zu erhalten.

Der Begriff Honeypot (''"Honigtopf"'') stammt aus der Überlegung, dass Bären mit einem Honigtopf sowohl abgelenkt als auch in eine Falle gelockt werden könnten. Sobald ein Angreifer auf einen Honeypot hereinfällt und diesen attackiert werden alle damit verbundenen Aktionen protokolliert und gegebenenfalls ein Alarm ausgelöst.

Ein Honeypot ist so konfiguriert das ein normaler Nutzer des Netzwerks niemals auf diesen Server kommt. Ein Angreifer der die Systemlandschaft nicht im Detail kennt und generisch nach Schwachstellen sucht wird aber früher oder später auf den Honeypot stoßen und versuchen Sicherheitslücken auszunutzen um sich zugriff zu verschaffen. So kann bei Analysen leicht festgestellt werden ob sich innerhalb eines Netzes ein Angreifer bewegt.

Ein System welches für Angreifer interessante und verlockende Sicherheitslücken bietet kann jedoch auch selbst leicht zum Risiko werden. Daher ist es wichtig für eine größtmögliche Trennung des Honeypots von den restlichen Produktivsystemen zu sorgen.

Man unterscheidet beim Honeypot zwischen verschiedenen Arten der Implementierung:
* '''Phyischer Honeypot:''' Ein realer Rechner im Netzwerk mit eigener IP Adresse
* '''Virtueller Honeypot:''' Ein logisches System welches in einer virtuellen Maschine auf einem anderen Rechner simuliert wird
* '''Client Honeypot:''' Ein realer Server wird von einer Honeypot Software angesprochen
* '''Server Honeypot:''' Reale Clients werden von Honeypot Software angesprochen

Unabhängig von der Art der Implementierung wird beim Honeypot noch zwischen folgenden Typen unterschieden:
Server Honeypot: Bietet lediglich einige Standard Dienste die für gewöhnlcih für Angreifer interessant sind. Dabei sind Low-interaction Server Honeypots aber in der Regel leicht durch einen Angreifer zu erkennen und er wird sich dort nicht lange aufhalten. Der Hauptzweck eines solchen Typs ist daher die Intrusion Detection (Erkennen von Einbrüchen) da er alle Aktivitäten protokolliert.
High-interaction Server Honeypot: Hierbei handelt es sich um eine deutlich aufwendigere Methode bei der sowohl der Server an sich weitaus mehr Dienste anbietet als auch mit mehr vermeintlich interessantem Inhalt gefüllt ist. Ziel ist es im Gegensatz zum vorher genannten Typ nicht nur den Einbruch als solches zu dokumentieren sondern insbesondere die Vorgehensweise manueller Angriffe zu beobachten und nachzuvollziehen. Dies ermöglicht es die Methoden des Angreifers zu analysieren und kann unter Umständen sogar zur Identifizierung des Angreifers führen (mit Hilfe von Tracking Files).

Quellen:

* https://www.ferchau.com/cdn/fe/documents/de/print/atferchau/it-magazin-at_ferchau-012016.pdf#page=10
* https://www.ionos.de/digitalguide/server/sicherheit/honeypot-it-sicherheit-durch-ablenkprogramme/

Honeypot

2019-07-27T10:17:04Z

St181049:

Als Honeypot wird ein Programm oder System bezeichnet, das die Netzwerkdienste eines Computers, eines Rechnernetzes oder das Verhalten eines Anwenders simuliert um einen Angreifer vom eigentlichen Ziel ablenken soll und ggf. in eine Falle lockt um weitere Informationen über den Angreifer und seine Absichten zu erhalten.

Der Begriff Honeypot (''"Honigtopf"'') stammt aus der Überlegung, dass Bären mit einem Honigtopf sowohl abgelenkt als auch in eine Falle gelockt werden könnten. Sobald ein Angreifer auf einen Honeypot hereinfällt und diesen attackiert werden alle damit verbundenen Aktionen protokolliert und gegebenenfalls ein Alarm ausgelöst.

Ein Honeypot ist so konfiguriert das ein normaler Nutzer des Netzwerks niemals auf diesen Server kommt. Ein Angreifer der die Systemlandschaft nicht im Detail kennt und generisch nach Schwachstellen sucht wird aber früher oder später auf den Honeypot stoßen und versuchen Sicherheitslücken auszunutzen um sich zugriff zu verschaffen. So kann bei Analysen leicht festgestellt werden ob sich innerhalb eines Netzes ein Angreifer bewegt.

Ein System welches für Angreifer interessante und verlockende Sicherheitslücken bietet kann jedoch auch selbst leicht zum Risiko werden. Daher ist es wichtig für eine größtmögliche Trennung des Honeypots von den restlichen Produktivsystemen zu sorgen.

Man unterscheidet beim Honeypot zwischen verschiedenen Arten der Implementierung:
* '''Phyischer Honeypot:''' Ein realer Rechner im Netzwerk mit eigener IP Adresse
* '''Virtueller Honeypot:''' Ein logisches System welches in einer virtuellen Maschine auf einem anderen Rechner simuliert wird
* '''Client Honeypot:''' Ein realer Server wird von einer Honeypot Software angesprochen
* '''Server Honeypot:''' Reale Clients werden von Honeypot Software angesprochen

Unabhängig von der Art der Implementierung wird beim Honeypot noch zwischen folgenden Typen unterschieden:
Server Honeypot: Bietet lediglich einige Standard Dienste die für gewöhnlcih für Angreifer interessant sind. Dabei sind Low-interaction Server Honeypots aber in der Regel leicht durch einen Angreifer zu erkennen und er wird sich dort nicht lange aufhalten. Der Hauptzweck eines solchen Typs ist daher die Intrusion Detection (Erkennen von Einbrüchen) da er alle Aktivitäten protokolliert.
High-interaction Server Honeypot: Hierbei handelt es sich um eine deutlich aufwendigere Methode bei der sowohl der Server an sich weitaus mehr Dienste anbietet als auch mit mehr vermeintlich interessantem Inhalt gefüllt ist. Ziel ist es im Gegensatz zum vorher genannten Typ nicht nur den Einbruch als solches zu dokumentieren sondern insbesondere die Vorgehensweise manueller Angriffe zu beobachten und nachzuvollziehen. Dies ermöglicht es die Methoden des Angreifers zu analysieren und kann unter Umständen sogar zur Identifizierung des Angreifers führen (mit Hilfe von Tracking Files).

Quellen:

https://www.ferchau.com/cdn/fe/documents/de/print/atferchau/it-magazin-at_ferchau-012016.pdf#page=10

https://www.ionos.de/digitalguide/server/sicherheit/honeypot-it-sicherheit-durch-ablenkprogramme/

Honeypot

2019-07-27T10:16:55Z

St181049:

Als Honeypot wird ein Programm oder System bezeichnet, das die Netzwerkdienste eines Computers, eines Rechnernetzes oder das Verhalten eines Anwenders simuliert um einen Angreifer vom eigentlichen Ziel ablenken soll und ggf. in eine Falle lockt um weitere Informationen über den Angreifer und seine Absichten zu erhalten.

Der Begriff Honeypot (''"Honigtopf"'') stammt aus der Überlegung, dass Bären mit einem Honigtopf sowohl abgelenkt als auch in eine Falle gelockt werden könnten. Sobald ein Angreifer auf einen Honeypot hereinfällt und diesen attackiert werden alle damit verbundenen Aktionen protokolliert und gegebenenfalls ein Alarm ausgelöst.

Ein Honeypot ist so konfiguriert das ein normaler Nutzer des Netzwerks niemals auf diesen Server kommt. Ein Angreifer der die Systemlandschaft nicht im Detail kennt und generisch nach Schwachstellen sucht wird aber früher oder später auf den Honeypot stoßen und versuchen Sicherheitslücken auszunutzen um sich zugriff zu verschaffen. So kann bei Analysen leicht festgestellt werden ob sich innerhalb eines Netzes ein Angreifer bewegt.

Ein System welches für Angreifer interessante und verlockende Sicherheitslücken bietet kann jedoch auch selbst leicht zum Risiko werden. Daher ist es wichtig für eine größtmögliche Trennung des Honeypots von den restlichen Produktivsystemen zu sorgen.

Man unterscheidet beim Honeypot zwischen verschiedenen Arten der Implementierung:
* '''Phyischer Honeypot:''' Ein realer Rechner im Netzwerk mit eigener IP Adresse
* '''Virtueller Honeypot:''' Ein logisches System welches in einer virtuellen Maschine auf einem anderen Rechner simuliert wird
* '''Client Honeypot:''' Ein realer Server wird von einer Honeypot Software angesprochen
* '''Server Honeypot:''' Reale Clients werden von Honeypot Software angesprochen

Unabhängig von der Art der Implementierung wird beim Honeypot noch zwischen folgenden Typen unterschieden:
Server Honeypot: Bietet lediglich einige Standard Dienste die für gewöhnlcih für Angreifer interessant sind. Dabei sind Low-interaction Server Honeypots aber in der Regel leicht durch einen Angreifer zu erkennen und er wird sich dort nicht lange aufhalten. Der Hauptzweck eines solchen Typs ist daher die Intrusion Detection (Erkennen von Einbrüchen) da er alle Aktivitäten protokolliert.
High-interaction Server Honeypot: Hierbei handelt es sich um eine deutlich aufwendigere Methode bei der sowohl der Server an sich weitaus mehr Dienste anbietet als auch mit mehr vermeintlich interessantem Inhalt gefüllt ist. Ziel ist es im Gegensatz zum vorher genannten Typ nicht nur den Einbruch als solches zu dokumentieren sondern insbesondere die Vorgehensweise manueller Angriffe zu beobachten und nachzuvollziehen. Dies ermöglicht es die Methoden des Angreifers zu analysieren und kann unter Umständen sogar zur Identifizierung des Angreifers führen (mit Hilfe von Tracking Files).

Quellen:
https://www.ferchau.com/cdn/fe/documents/de/print/atferchau/it-magazin-at_ferchau-012016.pdf#page=10

https://www.ionos.de/digitalguide/server/sicherheit/honeypot-it-sicherheit-durch-ablenkprogramme/

Honeypot

2019-07-27T10:16:42Z

St181049:

Als Honeypot wird ein Programm oder System bezeichnet, das die Netzwerkdienste eines Computers, eines Rechnernetzes oder das Verhalten eines Anwenders simuliert um einen Angreifer vom eigentlichen Ziel ablenken soll und ggf. in eine Falle lockt um weitere Informationen über den Angreifer und seine Absichten zu erhalten.

Der Begriff Honeypot (''"Honigtopf"'') stammt aus der Überlegung, dass Bären mit einem Honigtopf sowohl abgelenkt als auch in eine Falle gelockt werden könnten. Sobald ein Angreifer auf einen Honeypot hereinfällt und diesen attackiert werden alle damit verbundenen Aktionen protokolliert und gegebenenfalls ein Alarm ausgelöst.

Ein Honeypot ist so konfiguriert das ein normaler Nutzer des Netzwerks niemals auf diesen Server kommt. Ein Angreifer der die Systemlandschaft nicht im Detail kennt und generisch nach Schwachstellen sucht wird aber früher oder später auf den Honeypot stoßen und versuchen Sicherheitslücken auszunutzen um sich zugriff zu verschaffen. So kann bei Analysen leicht festgestellt werden ob sich innerhalb eines Netzes ein Angreifer bewegt.

Ein System welches für Angreifer interessante und verlockende Sicherheitslücken bietet kann jedoch auch selbst leicht zum Risiko werden. Daher ist es wichtig für eine größtmögliche Trennung des Honeypots von den restlichen Produktivsystemen zu sorgen.

Man unterscheidet beim Honeypot zwischen verschiedenen Arten der Implementierung:
* '''Phyischer Honeypot:''' Ein realer Rechner im Netzwerk mit eigener IP Adresse
* '''Virtueller Honeypot:''' Ein logisches System welches in einer virtuellen Maschine auf einem anderen Rechner simuliert wird
* '''Client Honeypot:''' Ein realer Server wird von einer Honeypot Software angesprochen
* '''Server Honeypot:''' Reale Clients werden von Honeypot Software angesprochen

Unabhängig von der Art der Implementierung wird beim Honeypot noch zwischen folgenden Typen unterschieden:
Server Honeypot: Bietet lediglich einige Standard Dienste die für gewöhnlcih für Angreifer interessant sind. Dabei sind Low-interaction Server Honeypots aber in der Regel leicht durch einen Angreifer zu erkennen und er wird sich dort nicht lange aufhalten. Der Hauptzweck eines solchen Typs ist daher die Intrusion Detection (Erkennen von Einbrüchen) da er alle Aktivitäten protokolliert.
High-interaction Server Honeypot: Hierbei handelt es sich um eine deutlich aufwendigere Methode bei der sowohl der Server an sich weitaus mehr Dienste anbietet als auch mit mehr vermeintlich interessantem Inhalt gefüllt ist. Ziel ist es im Gegensatz zum vorher genannten Typ nicht nur den Einbruch als solches zu dokumentieren sondern insbesondere die Vorgehensweise manueller Angriffe zu beobachten und nachzuvollziehen. Dies ermöglicht es die Methoden des Angreifers zu analysieren und kann unter Umständen sogar zur Identifizierung des Angreifers führen (mit Hilfe von Tracking Files).

Quellen:
https://www.ferchau.com/cdn/fe/documents/de/print/atferchau/it-magazin-at_ferchau-012016.pdf#page=10
https://www.ionos.de/digitalguide/server/sicherheit/honeypot-it-sicherheit-durch-ablenkprogramme/

Remote Access Trojaner (RAT)

2019-07-15T16:44:14Z

St181049:

Bei Remote Access Trojanern (Abk. RAT) handelt es sich um eine spezielle Form von Trojanern. Der Einsatz erfolgt dabei i.d.R. gezielt, z.B. bei Advanced Persistent Threats (APTs) oder aber auch in breiteren allgemeinen Angriffen.

Wie für Trojaner oftmals typisch, wird dem Opfer ein scheinbar nützliches Programm bereitgestellt, in dem sich tatsächlich jedoch eine getarnte Malware mit bösartiger Absicht und Zugriff aus der Ferne ("`Fernadministration"') verbirgt.

Die Möglichkeiten, welche sich für den entfernten Angreifer bieten, können vielseitig sein, sind jedoch davon abhängig, mit welchen Rechten der eingeschleuste Schadcode ausgeführt wird. Denkbar ist beispielsweise, dass neben Anzeige des Bildschirminhaltes und Aufzeichnung der Tastatureingaben auch verwendete Peripheriegeräte, wie Webcams oder Mikrofone abgehört werden können. Durch Nachlässigkeit, Unachtsamkeit oder Unwissenheit führt ein Benutzer das scheinbare nützliche Programm mit administrativen Rechten aus. Durch dieses wird dann der entsprechende Schadcode nachgeladen und ausgeführt.

Durch den Einsatz von Remote-Access-Trojanern (RATs), als Untergruppe der klassischen Trojaner, wird durch den Angreifer primär das Ziel verfolgt, eine Hintertür ("`Backdoor"') auf dem System des Opfers einzurichten. Über diese Hintertür strebt ein Angreifer die Fernsteuerung ("`Remote-Access and Administration"') des Opersystems ohne Kenntnis des Eigentümers/Betreibers an. Es wird besonderer Wert darauf gelegt, hierbei möglichst lange oder im besten Falle für immer unerkannt zu bleiben. Sind die Ziele des Angreifers erreicht, so werden oftmals im Anschluss sämtliche Spuren entfernt oder verwischt, damit die verwendete Technik zukünftig nicht durch Heuristiken oder Signaturen erkannt wird.

'''Einsatzgebiete für Remote-Access-Trojaner (RAT):'''
* Botnetze
* Advanced-Persistent-Threat (APT)
* Polizeiliche Ermittlungen (z.B. Remote-Forensik)
* Nachrichtendienstliche Hintergründe
* Militärische Zwecke
* Wirtschaftspionage/-sabotage
* Skript-Kiddies

RATs werden im sog. Client-Server-Modell betrieben, welches durch den Angreifer beherrscht und gesteuert wird. Der Computer des Opfers stellt dabei den Server dar, auf den sich der Angreifers mit seinem zugehörigen Client verbindet. Der Angreifer kann beliebige Kommandos und Befehle an den Server richten und hierdurch aus der Ferne (administrative) Tätigkeiten am System vornehmen, wie als würde diejenige Person unmittelbar davor sitzen. Bekannt ist dieses Modell bereits aus den Botnetzen, in denen sog. C \& C (Command and Control) Server verwendet werden, um die Botclients zu steuern.

Eine Besonderheit von RATs ist, dass deren Eigentümer sehr viel Energie investieren, um möglichst lange unentdeckt bleiben und immer wieder auf das infizierte System zugreifen zu können. Komplexe Remote-Access-Trojaner gehen daher sparsam mit Ressourcen um und heften sich an Prozesse legitimer Programme an.

Die möglichen Schutzmaßnahmen vor gezieltem Einsatz von RATs sind sehr begrenzt und orientieren sich im wesentlichen an den allgemeinen Sicherheitsmaßnahmen, die für die Umsetzung der IT-Schutzziele in der Informationssicherheit, Stand der Technik sind. Da sich RATs vorwiegend der Technik von Client-Server-Modellen bedienen, sollten insbesondere der ein- und ausgehenden Netzwerkverkehr kontinuierlich überwacht und protokolliert werden. Anwendungen, die keinen Zugriff auf das Internet benötigen, sollten zudem für den ausgehenden Netzwerkverkehr blockiert werden.

''Weitere Informationen:''

https://www.symantec.com/connect/blogs/creepware-who-s-watching-you

https://blog.varonis.de/dnsmessenger-rat/

https://go.recordedfuture.com/hubfs/reports/threat-identification.pdf

https://www.oneconsult.com/de/eine-kurze-geschichte-der-remote-access-trojaner/

https://www.heise.de/security/meldung/l-f-Biologischer-Remote-Access-Trojaner-4092389.html

Remote Access Trojaner (RAT)

2019-07-15T16:43:47Z

St181049:

Bei Remote Access Trojanern (Abk. RAT) handelt es sich um eine spezielle Form von Trojanern. Der Einsatz erfolgt dabei i.d.R. gezielt, z.B. bei Advanced Persistent Threats (APTs) oder aber auch in breiteren allgemeinen Angriffen.

Wie für Trojaner oftmals typisch, wird dem Opfer ein scheinbar nützliches Programm bereitgestellt, in dem sich tatsächlich jedoch eine getarnte Malware mit bösartiger Absicht und Zugriff aus der Ferne ("`Fernadministration"') verbirgt.

Die Möglichkeiten, welche sich für den entfernten Angreifer bieten, können vielseitig sein, sind jedoch davon abhängig, mit welchen Rechten der eingeschleuste Schadcode ausgeführt wird. Denkbar ist beispielsweise, dass neben Anzeige des Bildschirminhaltes und Aufzeichnung der Tastatureingaben auch verwendete Peripheriegeräte, wie Webcams oder Mikrofone abgehört werden können. Durch Nachlässigkeit, Unachtsamkeit oder Unwissenheit führt ein Benutzer das scheinbare nützliche Programm mit administrativen Rechten aus. Durch dieses wird dann der entsprechende Schadcode nachgeladen und ausgeführt.

Durch den Einsatz von Remote-Access-Trojanern (RATs), als Untergruppe der klassischen Trojaner, wird durch den Angreifer primär das Ziel verfolgt, eine Hintertür ("`Backdoor"') auf dem System des Opfers einzurichten. Über diese Hintertür strebt ein Angreifer die Fernsteuerung ("`Remote-Access and Administration"') des Opersystems ohne Kenntnis des Eigentümers/Betreibers an. Es wird besonderer Wert darauf gelegt, hierbei möglichst lange oder im besten Falle für immer unerkannt zu bleiben. Sind die Ziele des Angreifers erreicht, so werden oftmals im Anschluss sämtliche Spuren entfernt oder verwischt, damit die verwendete Technik zukünftig nicht durch Heuristiken oder Signaturen erkannt wird.

'''Einsatzgebiete für Remote-Access-Trojaner (RAT):'''
* Botnetze
* Advanced-Persistent-Threat (APT)
* Polizeiliche Ermittlungen (z.B. Remote-Forensik)
* Nachrichtendienstliche Hintergründe
* Militärische Zwecke
* Wirtschaftspionage/-sabotage
* Skript-Kiddies

RATs werden im sog. Client-Server-Modell betrieben, welches durch den Angreifer beherrscht und gesteuert wird. Der Computer des Opfers stellt dabei den Server dar, auf den sich der Angreifers mit seinem zugehörigen Client verbindet. Der Angreifer kann beliebige Kommandos und Befehle an den Server richten und hierdurch aus der Ferne (administrative) Tätigkeiten am System vornehmen, wie als würde diejenige Person unmittelbar davor sitzen. Bekannt ist dieses Modell bereits aus den Botnetzen, in denen sog. C \& C (Command and Control) Server verwendet werden, um die Botclients zu steuern.

Eine Besonderheit von RATs ist es, dass deren Eigentümer sehr viel investieren, um möglichst lange unentdeckt bleiben und immer wieder auf das infizierte System zugreifen zu können. Komplexe Remote-Access-Trojaner gehen daher sparsam mit Ressourcen um und heften sich an Prozesse legitimer Programme an.

Die möglichen Schutzmaßnahmen vor gezieltem Einsatz von RATs sind sehr begrenzt und orientieren sich im wesentlichen an den allgemeinen Sicherheitsmaßnahmen, die für die Umsetzung der IT-Schutzziele in der Informationssicherheit, Stand der Technik sind. Da sich RATs vorwiegend der Technik von Client-Server-Modellen bedienen, sollten insbesondere der ein- und ausgehenden Netzwerkverkehr kontinuierlich überwacht und protokolliert werden. Anwendungen, die keinen Zugriff auf das Internet benötigen, sollten zudem für den ausgehenden Netzwerkverkehr blockiert werden.

''Weitere Informationen:''

https://www.symantec.com/connect/blogs/creepware-who-s-watching-you

https://blog.varonis.de/dnsmessenger-rat/

https://go.recordedfuture.com/hubfs/reports/threat-identification.pdf

https://www.oneconsult.com/de/eine-kurze-geschichte-der-remote-access-trojaner/

https://www.heise.de/security/meldung/l-f-Biologischer-Remote-Access-Trojaner-4092389.html

Anti-Forensik

2019-07-15T16:40:41Z

St181049:

Die Anti-Forensik umfasst vielseitige Techniken, Methoden und Werkzeuge, um Beweise und Spuren einer (kriminellen) Handlung oder eines Vorgehens zu sabotieren, sodass die tatsächliche Handlung durch die IT-Forensik nicht mehr nachgewiesen werden kann.
Bereits während Planung und Vorbereitung einer Tat bzw. einer Handlung, werden Schritte und Vorgehensweisen festgelegt, um der IT-Forensik als Mittel zur Vorfallsaufklärung entgegen zu wirken. Hauptaugenmerk der Anti-Forensik liegt aus Sicht des Täters/Angreifers darin, gezielten Einfluss auf die digitale Beweiserhebung zu nehmen und folglich ein (Gesamt-) Ergebnis der IT-Forensik massiv zu verfälschen oder zu verhindern.
Die Maßnahmen und Methoden der Anti-Forensik bedienen sich den bekannten Techniken und Vorgehensweisen, wie sie auch in der Informationssicherheit zur Umsetzung der Schutzziele Anwendung finden.

Zeitlich lassen sie sich nach der Vorgehensweise des Täters oder Angreifers kategorisieren und zuordnen:

'''I. In Vorbereitung auf die Tat/des Vorgehens:'''

Recherche und Wissensaufbau hinsichtlich Möglichkeiten und Methoden der IT-Forensik nach Stand der Technik. Der Täter plant entsprechend sein konkretes Vorgehen und Handeln, um in einer später durchgeführten IT-Forensik
möglichst wenig oder keine Rückschlüsse und Erkenntnisse aus den hinterlassenen Spuren und erhobenen Beweisen seiner Tat zu hinterlassen (Datenvermeidung).

''Beispiele:''

* Deaktivierung automatischer Speicherung von Zugangsdaten und Verläufen (Historie)
* Deaktivierung von Protokollierungs- und Trackingsfunktionen
* Zulegen zusätzlicher (gestohlener) Identitäten

'''II. Während der Durchführung der Tat/des Vorgehens:'''

Anwendung gezielter Verschleierungstechniken, um eine spätere Nachvollziehbarkeit des Vorgehens zu erschweren (Datenverschleierung). Ziel ist es hierbein außerdem, die Gerichtsverwertbarkeit von erhobenen Beweisen zu vermindern
oder vollständig zu verhindern.

''Beispiele:''

* Einsatz kryptografscher Verfahren, z.B. für die Verschlüsselung von Datenträgern, Speichermedien und des Netzwerkverkehrs
* Verstecken/Verbergen von Informationen durch Methoden der Steganographie
* Gezielte Manipulation von Informationen, z.B. durch Auslegen falscher Spuren

'''III. Nach Abschluss der Tat/des Vorgehens:'''

Durch den Täter werden nach Möglichkeit, alle hinterlassenen Spuren vernich-
tet, sodass eine spätere Beweissicherung der eigentlichen Tat erfolglos bleibt
(Datenvernichtung).

''Beispiele:''

* Sichere und nachhaltige Löschung von Geräten und Daten (Dateien, Browserverläufe, Logfiles)
* Vernichtung von Bewerismitteln durch physische Einflussnahme auf Datenträger und Speichermedien (z.B. durch mechanische Zerstörung oder Entsorgung)
* Einsatz von Anonymisierungsdiensten (Proxy-Server, VPN-Gateways, TOR-Netzwerk, ...)

Bei Analyse- und Auswertungswerkzeugen im Bereich der IT-Forensik handelt es sich i.d.R. um Softwareprodukte. Sicherheitslücken und Schwachstellen sind daher keine Seltenheit. Sie können auch von Tätern und Angreifern ausgenutzt werden, um eine spätere Einflussnahme auf die Beweisverarbeitung und -auswertung zu nehmen. Als Einfallstor bietet sich hierbei insbesondere die Möglichkeit, maliziöse Daten oder Schadprogramme über die Beweismittel in die Analyseumgebung der IT-Forensiker einzuschleusen. Eine Beeinträchtigung der Schutzziele Verfügbarkeit und Integrität der Forensik-Werkzeuge sowie den sichergestellten digitalen Beweismitteln stehen hierbei im Vordergrund. Unter bestimmten Voraussetzungen können eingebrachte Hintertüren ("`Backdoors"') einen direkten Zugriff auf die Analysesysteme ermöglichen, z.B. wenn die Infrastruktur der IT-Forensiker unzureichend abgesichert und zudem offen an das Internet angebunden ist.

Weiterführende Informationen:

https://cyberleninka.org/article/n/1418159.pdf

https://www.cin-consult.com/counter-forensics-pruefe-die-pruefer/

Remote Access Trojan (RAT)

2019-07-15T16:39:32Z

St181049: St181049 verschob die Seite Remote Access Trojan (RAT) nach Remote Access Trojaner (RAT)

#WEITERLEITUNG [[Remote Access Trojaner (RAT)]]

Remote Access Trojaner (RAT)

2019-07-15T16:39:32Z

St181049: St181049 verschob die Seite Remote Access Trojan (RAT) nach Remote Access Trojaner (RAT)

Bei Remote Access Trojanern (Abk. RAT) handelt es sich um eine spezielle Form von Trojanern. Der Einsatz erfolgt dabei i.d.R. gezielt, z.B. bei Advanced Persistent Threats (APTs) oder aber auch in breiteren allgemeinen Angriffen.

Wie für Trojaner oftmals typisch, wird dem Opfer ein scheinbar nützliches Programm bereitgestellt, in dem sich tatsächlich jedoch eine getarnte Malware mit bösartiger Absicht und Zugriff aus der Ferne ("`Fernadministration"') verbirgt.

Die Möglichkeiten, welche sich für den entfernten Angreifer bieten, können vielseitig sein, sind jedoch davon abhängig, mit welchen Rechten der eingeschleuste Schadcode ausgeführt wird. Denkbar ist beispielsweise, dass neben Anzeige des Bildschirminhaltes und Aufzeichnung der Tastatureingaben auch verwendete Peripheriegeräte, wie Webcams oder Mikrofone abgehört werden können. Durch Nachlässigkeit, Unachtsamkeit oder Unwissenheit führt ein Benutzer das scheinbare nützliche Programm mit administrativen Rechten aus. Durch dieses wird dann der entsprechende Schadcode nachgeladen und ausgeführt.

Durch den Einsatz von Remote-Access-Trojanern (RATs), als Untergruppe der klassischen Trojaner, wird durch den Angreifer primär das Ziel verfolgt, eine Hintertür ("`Backdoor"') auf dem System des Opfers einzurichten. Über diese Hintertür strebt ein Angreifer die Fernsteuerung ("`Remote-Access and Administration"') des Opersystems ohne Kenntnis des Eigentümers/Betreibers an. Es wird besonderer Wert darauf gelegt, hierbei möglichst lange oder im besten Falle für immer unerkannt zu bleiben. Sind die Ziele des Angreifers erreicht, so werden oftmals im Anschluss sämtliche Spuren entfernt oder verwischt, damit die verwendete Technik zukünftig nicht durch Heuristiken oder Signaturen erkannt wird.

Einsatzgebiete für Remote-Access-Trojaner (RAT):
* Botnetze
* Advanced-Persistent-Threat (APT)
* Polizeiliche Ermittlungen (z.B. Remote-Forensik)
* Nachrichtendienstliche Hintergründe
* Militärische Zwecke
* Wirtschaftspionage/-sabotage
* Skript-Kiddies

RATs werden im sog. Client-Server-Modell betrieben, welches durch den Angreifer beherrscht und gesteuert wird. Der Computer des Opfers stellt dabei den Server dar, auf den sich der Angreifers mit seinem zugehörigen Client verbindet. Der Angreifer kann beliebige Kommandos und Befehle an den Server richten und hierdurch aus der Ferne (administrative) Tätigkeiten am System vornehmen, wie als würde diejenige Person unmittelbar davor sitzen. Bekannt ist dieses Modell bereits aus den Botnetzen, in denen sog. C \& C (Command and Control) Server verwendet werden, um die Botclients zu steuern.

Eine Besonderheit von RATs ist es, dass deren Eigentümer sehr viel investieren, um möglichst lange unentdeckt bleiben und immer wieder auf das infizierte System zugreifen zu können. Komplexe Remote-Access-Trojaner gehen daher sparsam mit Ressourcen um und heften sich an Prozesse legitimer Programme an.

Die möglichen Schutzmaßnahmen vor gezieltem Einsatz von RATs sind sehr begrenzt und orientieren sich im wesentlichen an den allgemeinen Sicherheitsmaßnahmen, die für die Umsetzung der IT-Schutzziele in der Informationssicherheit, Stand der Technik sind. Da sich RATs vorwiegend der Technik von Client-Server-Modellen bedienen, sollten insbesondere der ein- und ausgehenden Netzwerkverkehr kontinuierlich überwacht und protokolliert werden. Anwendungen, die keinen Zugriff auf das Internet benötigen, sollten zudem für den ausgehenden Netzwerkverkehr blockiert werden.

''Weitere Informationen:''

https://www.symantec.com/connect/blogs/creepware-who-s-watching-you

https://blog.varonis.de/dnsmessenger-rat/

https://go.recordedfuture.com/hubfs/reports/threat-identification.pdf

https://www.oneconsult.com/de/eine-kurze-geschichte-der-remote-access-trojaner/

https://www.heise.de/security/meldung/l-f-Biologischer-Remote-Access-Trojaner-4092389.html

Hauptseite

2019-07-15T16:39:00Z

St181049: /* R */

Willkommen beim IT-Forensik-Wiki der Hochschule Wismar. Hier werden wesentliche Begriffe zum Thema „Digitale Forensik“ erläutert.

== Literatur ==

[[Abschlussarbeiten im Bachelor Studiengang "IT-Forensik"]]

[[Abschlussarbeiten im Master Studiengang "IT-Sicherheit und Forensik"]]

[[Projektarbeiten]]

[[Forensik in DB]]

== Stichworte IT-Forensik ==
=== A ===
[[Anti-Forensik]]

=== B ===
[[BSI-Vorgehensmodell]]

[[Betriebssystem]]

=== C ===
[[Cache]]

[[CERT-Taxonomie]]

[[Chip-Off]]

[[Cross Site Scripting (XSS)]]

=== D ===
[[Darknet]]

[[Datenanalyse]]

[[Datenvernichtung]]

[[Datensammlung]]

[[DDL & DML]]

[[Digitale Forensik]]

[[Dokumentation]]

[[Dual Use Software]]

=== E ===
[[Ermittlungsprozess]] 

[[Exploit]]

=== F ===
[[File Carving]]

[[Fragmentierung]]

=== G ===
[[Geotag]]

[[Gerichtsfestigkeit]]

=== H ===
[[Hilfstatort]]

[[Hashcat]]

[[Honeypot]]

=== I ===
[[Incident-Response-Team]]

[[IT-Forensik]]

=== J ===
[[Jailbreak]]

=== K ===
[[Korrelation]]

=== L ===
[[Live-Forensik]]

[[Log-File]]

=== M ===
[[Metadaten]]

[[Mobiltelefon-Forensik]]

=== O ===
[[Online-Forensik]]

[[Offline-Forensik]]

[[OS Fingerprinting]]

=== P ===
[[P2P (Peer-to-Peer) Software / Netzwerke]]

[[Post-Mortem-Analyse]]

[[Prozess der Mobiltelefon Forensik]]

[[Prüfsumme]]

[[PCMCIA]]

=== R ===
[[Rainbow Table]]

[[Remote Access Trojaner (RAT)]]

[[Reverse Engineering]]

=== S ===
[[SAP-Modell]]

[[Sandbox]]

[[Security Information and Event Management (SIEM)]]

[[Skimming]]

[[Sniffing]]

[[SQL Injection]]

[[Sealbag]]

[[SpiderFoot]]

=== T ===
[[Tatort]]

[[Timeline]]

=== U ===
[[Unallocated Data (Nicht zugeordnete Daten)]]

=== V ===
[[Video-Forensik]]

=== W ===
[[W-Fragen]]

[[Wiping]]

[[Write Blocker]]

=== Z ===
[[Zeit]]

== Interessante Links ==

Tsurugi Forensik-Linux https://tsurugi-linux.org

== Fernstudiengänge an der Hochschule Wismar (berufsbegleitend) ==

[https://fiw.hs-wismar.de/bereiche/eui/studiengaenge/it-forensik-bachelor-fernstudium-beng/ IT-Forensik, Bachelor]

[https://fiw.hs-wismar.de/bereiche/eui/studiengaenge/it-sicherheit-und-forensik-master-fernstudium-meng/ IT-Sicherheit und Forensik, Master]

== Starthilfen ==

* Hilfe zur Benutzung und Konfiguration der Wiki-Software finden Sie im [https://www.mediawiki.org/wiki/Special:MyLanguage/Help:Contents Benutzerhandbuch]
* [https://www.mediawiki.org/wiki/Special:MyLanguage/Manual:Configuration_settings Liste der Konfigurationsvariablen]
* [https://www.mediawiki.org/wiki/Special:MyLanguage/Manual:FAQ MediaWiki-FAQ]
* [https://lists.wikimedia.org/mailman/listinfo/mediawiki-announce Mailingliste neuer MediaWiki-Versionen]
* [https://www.mediawiki.org/wiki/Special:MyLanguage/Localisation#Translation_resources Übersetze MediaWiki für deine Sprache]
* [https://www.mediawiki.org/wiki/Special:MyLanguage/Manual:Combating_spam Erfahre, wie du Spam auf deinem Wiki bekämpfen kannst]

Remote Access Trojaner (RAT)

2019-07-15T16:38:47Z

St181049: Die Seite wurde neu angelegt: „Bei Remote Access Trojanern (Abk. RAT) handelt es sich um eine spezielle Form von Trojanern. Der Einsatz erfolgt dabei i.d.R. gezielt, z.B. bei Advanced Persis…“

Bei Remote Access Trojanern (Abk. RAT) handelt es sich um eine spezielle Form von Trojanern. Der Einsatz erfolgt dabei i.d.R. gezielt, z.B. bei Advanced Persistent Threats (APTs) oder aber auch in breiteren allgemeinen Angriffen.

Wie für Trojaner oftmals typisch, wird dem Opfer ein scheinbar nützliches Programm bereitgestellt, in dem sich tatsächlich jedoch eine getarnte Malware mit bösartiger Absicht und Zugriff aus der Ferne ("`Fernadministration"') verbirgt.

Die Möglichkeiten, welche sich für den entfernten Angreifer bieten, können vielseitig sein, sind jedoch davon abhängig, mit welchen Rechten der eingeschleuste Schadcode ausgeführt wird. Denkbar ist beispielsweise, dass neben Anzeige des Bildschirminhaltes und Aufzeichnung der Tastatureingaben auch verwendete Peripheriegeräte, wie Webcams oder Mikrofone abgehört werden können. Durch Nachlässigkeit, Unachtsamkeit oder Unwissenheit führt ein Benutzer das scheinbare nützliche Programm mit administrativen Rechten aus. Durch dieses wird dann der entsprechende Schadcode nachgeladen und ausgeführt.

Durch den Einsatz von Remote-Access-Trojanern (RATs), als Untergruppe der klassischen Trojaner, wird durch den Angreifer primär das Ziel verfolgt, eine Hintertür ("`Backdoor"') auf dem System des Opfers einzurichten. Über diese Hintertür strebt ein Angreifer die Fernsteuerung ("`Remote-Access and Administration"') des Opersystems ohne Kenntnis des Eigentümers/Betreibers an. Es wird besonderer Wert darauf gelegt, hierbei möglichst lange oder im besten Falle für immer unerkannt zu bleiben. Sind die Ziele des Angreifers erreicht, so werden oftmals im Anschluss sämtliche Spuren entfernt oder verwischt, damit die verwendete Technik zukünftig nicht durch Heuristiken oder Signaturen erkannt wird.

Einsatzgebiete für Remote-Access-Trojaner (RAT):
* Botnetze
* Advanced-Persistent-Threat (APT)
* Polizeiliche Ermittlungen (z.B. Remote-Forensik)
* Nachrichtendienstliche Hintergründe
* Militärische Zwecke
* Wirtschaftspionage/-sabotage
* Skript-Kiddies

RATs werden im sog. Client-Server-Modell betrieben, welches durch den Angreifer beherrscht und gesteuert wird. Der Computer des Opfers stellt dabei den Server dar, auf den sich der Angreifers mit seinem zugehörigen Client verbindet. Der Angreifer kann beliebige Kommandos und Befehle an den Server richten und hierdurch aus der Ferne (administrative) Tätigkeiten am System vornehmen, wie als würde diejenige Person unmittelbar davor sitzen. Bekannt ist dieses Modell bereits aus den Botnetzen, in denen sog. C \& C (Command and Control) Server verwendet werden, um die Botclients zu steuern.

Eine Besonderheit von RATs ist es, dass deren Eigentümer sehr viel investieren, um möglichst lange unentdeckt bleiben und immer wieder auf das infizierte System zugreifen zu können. Komplexe Remote-Access-Trojaner gehen daher sparsam mit Ressourcen um und heften sich an Prozesse legitimer Programme an.

Die möglichen Schutzmaßnahmen vor gezieltem Einsatz von RATs sind sehr begrenzt und orientieren sich im wesentlichen an den allgemeinen Sicherheitsmaßnahmen, die für die Umsetzung der IT-Schutzziele in der Informationssicherheit, Stand der Technik sind. Da sich RATs vorwiegend der Technik von Client-Server-Modellen bedienen, sollten insbesondere der ein- und ausgehenden Netzwerkverkehr kontinuierlich überwacht und protokolliert werden. Anwendungen, die keinen Zugriff auf das Internet benötigen, sollten zudem für den ausgehenden Netzwerkverkehr blockiert werden.

''Weitere Informationen:''

https://www.symantec.com/connect/blogs/creepware-who-s-watching-you

https://blog.varonis.de/dnsmessenger-rat/

https://go.recordedfuture.com/hubfs/reports/threat-identification.pdf

https://www.oneconsult.com/de/eine-kurze-geschichte-der-remote-access-trojaner/

https://www.heise.de/security/meldung/l-f-Biologischer-Remote-Access-Trojaner-4092389.html

Hauptseite

2019-07-15T16:34:10Z

St181049: /* Stichworte IT-Forensik */

Willkommen beim IT-Forensik-Wiki der Hochschule Wismar. Hier werden wesentliche Begriffe zum Thema „Digitale Forensik“ erläutert.

== Literatur ==

[[Abschlussarbeiten im Bachelor Studiengang "IT-Forensik"]]

[[Abschlussarbeiten im Master Studiengang "IT-Sicherheit und Forensik"]]

[[Projektarbeiten]]

[[Forensik in DB]]

== Stichworte IT-Forensik ==
=== A ===
[[Anti-Forensik]]

=== B ===
[[BSI-Vorgehensmodell]]

[[Betriebssystem]]

=== C ===
[[Cache]]

[[CERT-Taxonomie]]

[[Chip-Off]]

[[Cross Site Scripting (XSS)]]

=== D ===
[[Darknet]]

[[Datenanalyse]]

[[Datenvernichtung]]

[[Datensammlung]]

[[DDL & DML]]

[[Digitale Forensik]]

[[Dokumentation]]

[[Dual Use Software]]

=== E ===
[[Ermittlungsprozess]] 

[[Exploit]]

=== F ===
[[File Carving]]

[[Fragmentierung]]

=== G ===
[[Geotag]]

[[Gerichtsfestigkeit]]

=== H ===
[[Hilfstatort]]

[[Hashcat]]

[[Honeypot]]

=== I ===
[[Incident-Response-Team]]

[[IT-Forensik]]

=== J ===
[[Jailbreak]]

=== K ===
[[Korrelation]]

=== L ===
[[Live-Forensik]]

[[Log-File]]

=== M ===
[[Metadaten]]

[[Mobiltelefon-Forensik]]

=== O ===
[[Online-Forensik]]

[[Offline-Forensik]]

[[OS Fingerprinting]]

=== P ===
[[P2P (Peer-to-Peer) Software / Netzwerke]]

[[Post-Mortem-Analyse]]

[[Prozess der Mobiltelefon Forensik]]

[[Prüfsumme]]

[[PCMCIA]]

=== R ===
[[Rainbow Table]]

[[Remote Access Trojan (RAT)]]

[[Reverse Engineering]]

=== S ===
[[SAP-Modell]]

[[Sandbox]]

[[Security Information and Event Management (SIEM)]]

[[Skimming]]

[[Sniffing]]

[[SQL Injection]]

[[Sealbag]]

[[SpiderFoot]]

=== T ===
[[Tatort]]

[[Timeline]]

=== U ===
[[Unallocated Data (Nicht zugeordnete Daten)]]

=== V ===
[[Video-Forensik]]

=== W ===
[[W-Fragen]]

[[Wiping]]

[[Write Blocker]]

=== Z ===
[[Zeit]]

== Interessante Links ==

Tsurugi Forensik-Linux https://tsurugi-linux.org

== Fernstudiengänge an der Hochschule Wismar (berufsbegleitend) ==

[https://fiw.hs-wismar.de/bereiche/eui/studiengaenge/it-forensik-bachelor-fernstudium-beng/ IT-Forensik, Bachelor]

[https://fiw.hs-wismar.de/bereiche/eui/studiengaenge/it-sicherheit-und-forensik-master-fernstudium-meng/ IT-Sicherheit und Forensik, Master]

== Starthilfen ==

* Hilfe zur Benutzung und Konfiguration der Wiki-Software finden Sie im [https://www.mediawiki.org/wiki/Special:MyLanguage/Help:Contents Benutzerhandbuch]
* [https://www.mediawiki.org/wiki/Special:MyLanguage/Manual:Configuration_settings Liste der Konfigurationsvariablen]
* [https://www.mediawiki.org/wiki/Special:MyLanguage/Manual:FAQ MediaWiki-FAQ]
* [https://lists.wikimedia.org/mailman/listinfo/mediawiki-announce Mailingliste neuer MediaWiki-Versionen]
* [https://www.mediawiki.org/wiki/Special:MyLanguage/Localisation#Translation_resources Übersetze MediaWiki für deine Sprache]
* [https://www.mediawiki.org/wiki/Special:MyLanguage/Manual:Combating_spam Erfahre, wie du Spam auf deinem Wiki bekämpfen kannst]

Honeypot

2019-07-15T16:33:21Z

St181049:

Honeypot

2019-07-15T16:30:35Z

St181049: Die Seite wurde neu angelegt: „Als Honeypot wird ein Programm oder System bezeichnet, das die Netzwerkdienste eines Computers, eines Rechnernetzes oder das Verhalten eines Anwenders simulier…“

Als Honeypot wird ein Programm oder System bezeichnet, das die Netzwerkdienste eines Computers, eines Rechnernetzes oder das Verhalten eines Anwenders simuliert um einen Angreifer vom eigentlichen Ziel ablenken soll und ggf. in eine Falle lockt um weitere Informationen über den Angreifer und seine Absichten zu erhalten.

Der Begriff Honeypot ("Honigtopf") stammt aus der Überlegung, dass Bären mit einem Honigtopf sowohl abgelenkt als auch in eine Falle gelockt werden könnten. Sobald ein Angreifer auf einen Honeypot hereinfällt und diesen attackiert werden alle damit verbundenen Aktionen protokolliert und gegebenenfalls ein Alarm ausgelöst.

Ein Honeypot ist so konfiguriert das ein normaler Nutzer des Netzwerks niemals auf diesen Server kommt. Ein Angreifer der die Systemlandschaft nicht im Detail kennt und generisch nach Schwachstellen sucht wird aber früher oder später auf den Honeypot stoßen und versuchen Sicherheitslücken auszunutzen um sich zugriff zu verschaffen. So kann bei Analysen leicht festgestellt werden ob sich innerhalb eines Netzes ein Angreifer bewegt.

Ein System welches für Angreifer interessante und verlockende Sicherheitslücken bietet kann jedoch auch selbst leicht zum Risiko werden. Daher ist es wichtig für eine größtmögliche Trennung des Honeypots von den restlichen Produktivsystemen zu sorgen.

Man unterscheidet beim Honeypot zwischen verschiedenen Arten der Implementierung:
* '''Phyischer Honeypot:''' Ein realer Rechner im Netzwerk mit eigener IP Adresse
* '''Virtueller Honeypot:''' Ein logisches System welches in einer virtuellen Maschine auf einem anderen Rechner simuliert wird
* '''Client Honeypot:''' Ein realer Server wird von einer Honeypot Software angesprochen
* '''Server Honeypot:''' Reale Clients werden von Honeypot Software angesprochen

Unabhängig von der Art der Implementierung wird beim Honeypot noch zwischen folgenden Typen unterschieden:
Server Honeypot: Bietet lediglich einige Standard Dienste die für gewöhnlcih für Angreifer interessant sind. Dabei sind Low-interaction Server Honeypots aber in der Regel leicht durch einen Angreifer zu erkennen und er wird sich dort nicht lange aufhalten. Der Hauptzweck eines solchen Typs ist daher die Intrusion Detection (Erkennen von Einbrüchen) da er alle Aktivitäten protokolliert.
High-interaction Server Honeypot: Hierbei handelt es sich um eine deutlich aufwendigere Methode bei der sowohl der Server an sich weitaus mehr Dienste anbietet als auch mit mehr vermeintlich interessantem Inhalt gefüllt ist. Ziel ist es im Gegensatz zum vorher genannten Typ nicht nur den Einbruch als solches zu dokumentieren sondern insbesondere die Vorgehensweise manueller Angriffe zu beobachten und nachzuvollziehen. Dies ermöglicht es die Methoden des Angreifers zu analysieren und kann unter Umständen sogar zur Identifizierung des Angreifers führen (mit Hilfe von Tracking Files).

Hauptseite

2019-07-15T16:16:32Z

St181049: /* Stichworte IT-Forensik */

Willkommen beim IT-Forensik-Wiki der Hochschule Wismar. Hier werden wesentliche Begriffe zum Thema „Digitale Forensik“ erläutert.

== Literatur ==

[[Abschlussarbeiten im Bachelor Studiengang "IT-Forensik"]]

[[Abschlussarbeiten im Master Studiengang "IT-Sicherheit und Forensik"]]

[[Projektarbeiten]]

[[Forensik in DB]]

== Stichworte IT-Forensik ==
=== A ===
[[Anti-Forensik]]

=== B ===
[[BSI-Vorgehensmodell]]

[[Betriebssystem]]

=== C ===
[[Cache]]

[[CERT-Taxonomie]]

[[Chip-Off]]

[[Cross Site Scripting (XSS)]]

=== D ===
[[Darknet]]

[[Datenanalyse]]

[[Datenvernichtung]]

[[Datensammlung]]

[[DDL & DML]]

[[Digitale Forensik]]

[[Dokumentation]]

[[Dual Use Software]]

=== E ===
[[Ermittlungsprozess]] 

[[Exploit]]

=== F ===
[[File Carving]]

[[Fragmentierung]]

=== G ===
[[Geotag]]

[[Gerichtsfestigkeit]]

=== H ===
[[Hilfstatort]]

[[Hashcat]]

[[Honeypot]]

=== I ===
[[Incident-Response-Team]]

[[IT-Forensik]]

=== J ===
[[Jailbreak]]

=== K ===
[[Korrelation]]

=== L ===
[[Live-Forensik]]

[[Log-File]]

=== M ===
[[Metadaten]]

[[Mobiltelefon-Forensik]]

=== O ===
[[Online-Forensik]]

[[Offline-Forensik]]

[[OS Fingerprinting]]

=== P ===
[[P2P (Peer-to-Peer) Software / Netzwerke]]

[[Post-Mortem-Analyse]]

[[Prozess der Mobiltelefon Forensik]]

[[Prüfsumme]]

[[PCMCIA]]

=== R ===
[[Rainbow Table]]

[[Reverse Engineering]]

=== S ===
[[SAP-Modell]]

[[Sandbox]]

[[Security Information and Event Management (SIEM)]]

[[Skimming]]

[[Sniffing]]

[[SQL Injection]]

[[Sealbag]]

[[SpiderFoot]]

=== T ===
[[Tatort]]

[[Timeline]]

=== U ===
[[Unallocated Data (Nicht zugeordnete Daten)]]

=== V ===
[[Video-Forensik]]

=== W ===
[[W-Fragen]]

[[Wiping]]

[[Write Blocker]]

=== Z ===
[[Zeit]]

== Interessante Links ==

Tsurugi Forensik-Linux https://tsurugi-linux.org

== Fernstudiengänge an der Hochschule Wismar (berufsbegleitend) ==

[https://fiw.hs-wismar.de/bereiche/eui/studiengaenge/it-forensik-bachelor-fernstudium-beng/ IT-Forensik, Bachelor]

[https://fiw.hs-wismar.de/bereiche/eui/studiengaenge/it-sicherheit-und-forensik-master-fernstudium-meng/ IT-Sicherheit und Forensik, Master]

== Starthilfen ==

* Hilfe zur Benutzung und Konfiguration der Wiki-Software finden Sie im [https://www.mediawiki.org/wiki/Special:MyLanguage/Help:Contents Benutzerhandbuch]
* [https://www.mediawiki.org/wiki/Special:MyLanguage/Manual:Configuration_settings Liste der Konfigurationsvariablen]
* [https://www.mediawiki.org/wiki/Special:MyLanguage/Manual:FAQ MediaWiki-FAQ]
* [https://lists.wikimedia.org/mailman/listinfo/mediawiki-announce Mailingliste neuer MediaWiki-Versionen]
* [https://www.mediawiki.org/wiki/Special:MyLanguage/Localisation#Translation_resources Übersetze MediaWiki für deine Sprache]
* [https://www.mediawiki.org/wiki/Special:MyLanguage/Manual:Combating_spam Erfahre, wie du Spam auf deinem Wiki bekämpfen kannst]

Hauptseite

2019-07-15T16:15:57Z

St181049: /* Stichworte IT-Forensik */

Willkommen beim IT-Forensik-Wiki der Hochschule Wismar. Hier werden wesentliche Begriffe zum Thema „Digitale Forensik“ erläutert.

== Literatur ==

[[Abschlussarbeiten im Bachelor Studiengang "IT-Forensik"]]

[[Abschlussarbeiten im Master Studiengang "IT-Sicherheit und Forensik"]]

[[Projektarbeiten]]

[[Forensik in DB]]

== Stichworte IT-Forensik ==
=== A ===
[[Anti-Forensik]]

=== B ===
[[BSI-Vorgehensmodell]]

[[Betriebssystem]]

=== C ===
[[Cache]]

[[CERT-Taxonomie]]

[[Chip-Off]]

[[Cross Site Scripting (XSS)]]

=== D ===
[[Darknet]]

[[Datenanalyse]]

[[Datenvernichtung]]

[[Datensammlung]]

[[DDL & DML]]

[[Digitale Forensik]]

[[Dokumentation]]

[[Dual Use Software]]

=== E ===
[[Ermittlungsprozess]] 

[[Exploit]]

=== F ===
[[File Carving]]

[[Fragmentierung]]

=== G ===
[[Geotag]]

[[Gerichtsfestigkeit]]

=== H ===
[[Hilfstatort]]
[[Honeypot]]

[[Hashcat]]

=== I ===
[[Incident-Response-Team]]

[[IT-Forensik]]

=== J ===
[[Jailbreak]]

=== K ===
[[Korrelation]]

=== L ===
[[Live-Forensik]]

[[Log-File]]

=== M ===
[[Metadaten]]

[[Mobiltelefon-Forensik]]

=== O ===
[[Online-Forensik]]

[[Offline-Forensik]]

[[OS Fingerprinting]]

=== P ===
[[P2P (Peer-to-Peer) Software / Netzwerke]]

[[Post-Mortem-Analyse]]

[[Prozess der Mobiltelefon Forensik]]

[[Prüfsumme]]

[[PCMCIA]]

=== R ===
[[Rainbow Table]]

[[Reverse Engineering]]

=== S ===
[[SAP-Modell]]

[[Sandbox]]

[[Security Information and Event Management (SIEM)]]

[[Skimming]]

[[Sniffing]]

[[SQL Injection]]

[[Sealbag]]

[[SpiderFoot]]

=== T ===
[[Tatort]]

[[Timeline]]

=== U ===
[[Unallocated Data (Nicht zugeordnete Daten)]]

=== V ===
[[Video-Forensik]]

=== W ===
[[W-Fragen]]

[[Wiping]]

[[Write Blocker]]

=== Z ===
[[Zeit]]

== Interessante Links ==

Tsurugi Forensik-Linux https://tsurugi-linux.org

== Fernstudiengänge an der Hochschule Wismar (berufsbegleitend) ==

[https://fiw.hs-wismar.de/bereiche/eui/studiengaenge/it-forensik-bachelor-fernstudium-beng/ IT-Forensik, Bachelor]

[https://fiw.hs-wismar.de/bereiche/eui/studiengaenge/it-sicherheit-und-forensik-master-fernstudium-meng/ IT-Sicherheit und Forensik, Master]

== Starthilfen ==

* Hilfe zur Benutzung und Konfiguration der Wiki-Software finden Sie im [https://www.mediawiki.org/wiki/Special:MyLanguage/Help:Contents Benutzerhandbuch]
* [https://www.mediawiki.org/wiki/Special:MyLanguage/Manual:Configuration_settings Liste der Konfigurationsvariablen]
* [https://www.mediawiki.org/wiki/Special:MyLanguage/Manual:FAQ MediaWiki-FAQ]
* [https://lists.wikimedia.org/mailman/listinfo/mediawiki-announce Mailingliste neuer MediaWiki-Versionen]
* [https://www.mediawiki.org/wiki/Special:MyLanguage/Localisation#Translation_resources Übersetze MediaWiki für deine Sprache]
* [https://www.mediawiki.org/wiki/Special:MyLanguage/Manual:Combating_spam Erfahre, wie du Spam auf deinem Wiki bekämpfen kannst]

Anti-Forensik

2019-07-15T16:15:16Z

St181049: Die Seite wurde neu angelegt: „Die Anti-Forensik umfasst vielseitige Techniken, Methoden und Werkzeuge, um Beweise und Spuren einer (kriminellen) Handlung oder eines Vorgehens zu sabotieren,…“

Hauptseite

2019-07-15T16:08:42Z

St181049: /* Stichworte IT-Forensik */

Willkommen beim IT-Forensik-Wiki der Hochschule Wismar. Hier werden wesentliche Begriffe zum Thema „Digitale Forensik“ erläutert.

== Literatur ==

[[Abschlussarbeiten im Bachelor Studiengang "IT-Forensik"]]

[[Abschlussarbeiten im Master Studiengang "IT-Sicherheit und Forensik"]]

[[Projektarbeiten]]

[[Forensik in DB]]

== Stichworte IT-Forensik ==
=== A ===
[[Anti-Forensik]]

=== B ===
[[BSI-Vorgehensmodell]]

[[Betriebssystem]]

=== C ===
[[Cache]]

[[CERT-Taxonomie]]

[[Chip-Off]]

[[Cross Site Scripting (XSS)]]

=== D ===
[[Darknet]]

[[Datenanalyse]]

[[Datenvernichtung]]

[[Datensammlung]]

[[DDL & DML]]

[[Digitale Forensik]]

[[Dokumentation]]

[[Dual Use Software]]

=== E ===
[[Ermittlungsprozess]] 

[[Exploit]]

=== F ===
[[File Carving]]

[[Fragmentierung]]

=== G ===
[[Geotag]]

[[Gerichtsfestigkeit]]

=== H ===
[[Hilfstatort]]

[[Hashcat]]

=== I ===
[[Incident-Response-Team]]

[[IT-Forensik]]

=== J ===
[[Jailbreak]]

=== K ===
[[Korrelation]]

=== L ===
[[Live-Forensik]]

[[Log-File]]

=== M ===
[[Metadaten]]

[[Mobiltelefon-Forensik]]

=== O ===
[[Online-Forensik]]

[[Offline-Forensik]]

[[OS Fingerprinting]]

=== P ===
[[P2P (Peer-to-Peer) Software / Netzwerke]]

[[Post-Mortem-Analyse]]

[[Prozess der Mobiltelefon Forensik]]

[[Prüfsumme]]

[[PCMCIA]]

=== R ===
[[Rainbow Table]]

[[Reverse Engineering]]

=== S ===
[[SAP-Modell]]

[[Sandbox]]

[[Security Information and Event Management (SIEM)]]

[[Skimming]]

[[Sniffing]]

[[SQL Injection]]

[[Sealbag]]

[[SpiderFoot]]

=== T ===
[[Tatort]]

[[Timeline]]

=== U ===
[[Unallocated Data (Nicht zugeordnete Daten)]]

=== V ===
[[Video-Forensik]]

=== W ===
[[W-Fragen]]

[[Wiping]]

[[Write Blocker]]

=== Z ===
[[Zeit]]

== Interessante Links ==

Tsurugi Forensik-Linux https://tsurugi-linux.org

== Fernstudiengänge an der Hochschule Wismar (berufsbegleitend) ==

[https://fiw.hs-wismar.de/bereiche/eui/studiengaenge/it-forensik-bachelor-fernstudium-beng/ IT-Forensik, Bachelor]

[https://fiw.hs-wismar.de/bereiche/eui/studiengaenge/it-sicherheit-und-forensik-master-fernstudium-meng/ IT-Sicherheit und Forensik, Master]

== Starthilfen ==

* Hilfe zur Benutzung und Konfiguration der Wiki-Software finden Sie im [https://www.mediawiki.org/wiki/Special:MyLanguage/Help:Contents Benutzerhandbuch]
* [https://www.mediawiki.org/wiki/Special:MyLanguage/Manual:Configuration_settings Liste der Konfigurationsvariablen]
* [https://www.mediawiki.org/wiki/Special:MyLanguage/Manual:FAQ MediaWiki-FAQ]
* [https://lists.wikimedia.org/mailman/listinfo/mediawiki-announce Mailingliste neuer MediaWiki-Versionen]
* [https://www.mediawiki.org/wiki/Special:MyLanguage/Localisation#Translation_resources Übersetze MediaWiki für deine Sprache]
* [https://www.mediawiki.org/wiki/Special:MyLanguage/Manual:Combating_spam Erfahre, wie du Spam auf deinem Wiki bekämpfen kannst]