IT-Forensik Wiki - Benutzerbeiträge [de]

Dokumentation

2019-07-10T11:28:21Z

St181144:

siehe auch [[BSI-Vorgehensmodell]]

Zusammenfassung aller gefundenen Einzelergebnisse zu einer Gesamtbetrachtung. Die Dokumentation erfolgt prozessbegleitend und abschließend.  Zunächst werden alle Daten aufgezeichnet, die gewonnen wurden und die Parameter, mit denen die Datensammlung und spätere Analyse vorgenommen wurde. Die sorgsame Dokumentation aller Parameter und Daten, sowie das schriftliche Abwiegen von Vor- und Nachteilen der Gründe zur Auswahl einer Vorgehensweise, lassen für einen Dritten die Beweggründe ersichtlich werden und die Beweiskraft einschätzen. Im Rahmen der abschließenden Dokumentation wird Aufschluss darüber ermöglicht, welche Informationen aus den untersuchten Daten gewonnen wurden. 

Die Dokumentation findet prinzipiell während des gesamten forensischen Prozesses statt. Diese Dokumentation, auch Verlaufsprotokoll genannt, bildet das Fundament für den zweiten Teil, der sich an die eigentliche Untersuchung anschließt. Diese wird auch als Ergebnisprotokoll bezeichnet. In diesem Protokoll werden die gewonnenen Daten interpretiert und den jeweiligen Adressaten zur Verfügung gestellt. Die Form des Verlaufspro-tokolls ist festgelegt, das Ergebnisprotokoll ist dem jeweiligen Adressatenkreis angepasst.

Hauptseite

2019-07-10T11:27:21Z

St181144: /* D */

Willkommen beim IT-Forensik-Wiki der Hochschule Wismar. Hier werden wesentliche Begriffe zum Thema „Digitale Forensik“ erläutert.

== Literatur ==

[[Abschlussarbeiten im Bachelor Studiengang "IT-Forensik"]]

[[Abschlussarbeiten im Master Studiengang "IT-Sicherheit und Forensik"]]

[[Projektarbeiten]]

[[Forensik in DB]]

== Stichworte IT-Forensik ==

=== B ===
[[BSI-Vorgehensmodell]]

[[Betriebssystem]]

=== C ===
[[Cache]]

[[CERT-Taxonomie]]

[[Chip-Off]]

[[Cross Site Scripting (XSS)]]

=== D ===
[[Darknet]]

[[Datenanalyse]]

[[Datenvernichtung]]

[[Datensammlung]]

[[Digitale Forensik]]

[[DDL & DML]]

[[Dokumentation]]

=== E ===
[[Ermittlungsprozess]] 

[[Exploit]]

=== F ===
[[File Carving]]

=== G ===
[[Geotag]]

[[Gerichtsfestigkeit]]

=== H ===
[[Hilfstatort]]

=== I ===
[[Incident-Response-Team]]

[[IT-Forensik]]

=== J ===
[[Jailbreak]]

=== L ===
[[Live-Forensik]]

[[Log-File]]

=== M ===
[[Metadata]]

[[Mobiltelefon-Forensik]]

=== O ===
[[Online-Forensik]]

[[Offline-Forensik]]

[[OS Fingerprinting]]

=== P ===
[[Post-Mortem-Analyse]]

[[Prozess der Mobiltelefon Forensik]]

[[Prüfsumme]]

[[PCMCIA]]

=== R ===
[[Rainbow Table]]

[[Reverse Engineering]]

=== S ===
[[SAP-Modell]]

[[Sandbox]]

[[Security Information and Event Management (SIEM)]]

[[Skimming]]

[[Sniffing]]

[[SQL Injection]]

[[Sealbag]]

[[SpiderFoot]]

=== T ===
[[Tatort]]

[[Timeline]]

=== V ===
[[Video-Forensik]]

=== W ===
[[W-Fragen]]

[[Wiping]]

[[Write Blocker]]

=== Z ===
[[Zeit]]

== Interessante Links ==

Tsurugi Forensik-Linux https://tsurugi-linux.org

== Fernstudiengänge an der Hochschule Wismar (berufsbegleitend) ==

[https://fiw.hs-wismar.de/bereiche/eui/studiengaenge/it-forensik-bachelor-fernstudium-beng/ IT-Forensik, Bachelor]

[https://fiw.hs-wismar.de/bereiche/eui/studiengaenge/it-sicherheit-und-forensik-master-fernstudium-meng/ IT-Sicherheit und Forensik, Master]

== Starthilfen ==

* Hilfe zur Benutzung und Konfiguration der Wiki-Software finden Sie im [https://www.mediawiki.org/wiki/Special:MyLanguage/Help:Contents Benutzerhandbuch]
* [https://www.mediawiki.org/wiki/Special:MyLanguage/Manual:Configuration_settings Liste der Konfigurationsvariablen]
* [https://www.mediawiki.org/wiki/Special:MyLanguage/Manual:FAQ MediaWiki-FAQ]
* [https://lists.wikimedia.org/mailman/listinfo/mediawiki-announce Mailingliste neuer MediaWiki-Versionen]
* [https://www.mediawiki.org/wiki/Special:MyLanguage/Localisation#Translation_resources Übersetze MediaWiki für deine Sprache]
* [https://www.mediawiki.org/wiki/Special:MyLanguage/Manual:Combating_spam Erfahre, wie du Spam auf deinem Wiki bekämpfen kannst]

Datenanalyse

2019-07-10T11:26:45Z

St181144:

siehe auch [[BSI-Vorgehensmodell]]

Der Prozess der Datenanalyse schließt sich an die Datenuntersuchung an. In der Untersuchung gilt es, interessante Daten zu extrahieren. Bestimmte Datenquellen werden zueinander ins Verhältnis gesetzt. Dazu können z.B. Log-Abschnitte zählen. Im Rahmen der Datenanalyse werden diese miteinander korreliert, um einen gemeinsamen Zeitstrahl für einen bestimmten Zeitraum zu erhalten. Es besteht außerdem die Möglichkeit, dass weitere, noch nicht erfasste Datenquellen identifiziert werden, die eine nachträgliche Datensamm-lung erforderlich machen.

Hier wird eine Detailanalyse der gewonnenen Daten vorgenommen. Soweit möglich werden aufgrund von Inhalten Verbindungen zwischen Daten hergestellt. Diese Ergebnisse werden zu einem einheitlichen Zeitverlauf zusammengeführt und in einen logischen Zusammenhang gebracht. Die Datenanalyse bringt zeitliche Abläufe hervor, die plausibel und nachvollziehbar sind. Die Auswertung von Logdateien ist ein Beispiel für die Maßnahmen in der Datenanalyse. Zudem können sich auch neue Untersuchungen für Komponenten ergeben, die bisher noch nicht betrachtet wurden. Die Durchführung der Datenanalyse ist sorgfältig zu dokumentieren.

Datenanalyse

2019-07-10T11:26:27Z

St181144:

siehe auch [[BSI-Vorgehensmodell]]

Der Prozess der Datenanalyse schließt sich an die Datenuntersuchung an. In der Untersuchung gilt es, interessante Daten zu extrahieren. Bestimmte Datenquellen werden zueinander ins Verhältnis gesetzt. Dazu können z.B. Log-Abschnitte zählen. Im Rah-men der Datenanalyse werden diese miteinander korreliert, um einen gemeinsamen Zeitstrahl für einen bestimmten Zeitraum zu erhalten. Es besteht außerdem die Möglichkeit, dass weite-re, noch nicht erfasste Datenquellen identifiziert werden, die eine nachträgliche Datensamm-lung erforderlich machen.

Hier wird eine Detailanalyse der gewonnenen Daten vorgenommen. Soweit möglich werden aufgrund von Inhalten Verbindungen zwischen Daten hergestellt. Diese Ergebnisse werden zu einem einheitlichen Zeitverlauf zusammengeführt und in einen logischen Zusammenhang gebracht. Die Datenanalyse bringt zeitliche Abläufe hervor, die plausibel und nachvollziehbar sind. Die Auswertung von Logdateien ist ein Beispiel für die Maßnahmen in der Datenanalyse. Zudem können sich auch neue Untersuchungen für Komponenten ergeben, die bisher noch nicht betrachtet wurden. Die Durchführung der Datenanalyse ist sorgfältig zu dokumentieren.

Hauptseite

2019-07-10T11:25:32Z

St181144: /* D */

Willkommen beim IT-Forensik-Wiki der Hochschule Wismar. Hier werden wesentliche Begriffe zum Thema „Digitale Forensik“ erläutert.

== Literatur ==

[[Abschlussarbeiten im Bachelor Studiengang "IT-Forensik"]]

[[Abschlussarbeiten im Master Studiengang "IT-Sicherheit und Forensik"]]

[[Projektarbeiten]]

[[Forensik in DB]]

== Stichworte IT-Forensik ==

=== B ===
[[BSI-Vorgehensmodell]]

[[Betriebssystem]]

=== C ===
[[Cache]]

[[CERT-Taxonomie]]

[[Chip-Off]]

[[Cross Site Scripting (XSS)]]

=== D ===
[[Darknet]]

[[Datenanalyse]]

[[Datenvernichtung]]

[[Datensammlung]]

[[Digitale Forensik]]

[[DDL & DML]]

=== E ===
[[Ermittlungsprozess]] 

[[Exploit]]

=== F ===
[[File Carving]]

=== G ===
[[Geotag]]

[[Gerichtsfestigkeit]]

=== H ===
[[Hilfstatort]]

=== I ===
[[Incident-Response-Team]]

[[IT-Forensik]]

=== J ===
[[Jailbreak]]

=== L ===
[[Live-Forensik]]

[[Log-File]]

=== M ===
[[Metadata]]

[[Mobiltelefon-Forensik]]

=== O ===
[[Online-Forensik]]

[[Offline-Forensik]]

[[OS Fingerprinting]]

=== P ===
[[Post-Mortem-Analyse]]

[[Prozess der Mobiltelefon Forensik]]

[[Prüfsumme]]

[[PCMCIA]]

=== R ===
[[Rainbow Table]]

[[Reverse Engineering]]

=== S ===
[[SAP-Modell]]

[[Sandbox]]

[[Security Information and Event Management (SIEM)]]

[[Skimming]]

[[Sniffing]]

[[SQL Injection]]

[[Sealbag]]

[[SpiderFoot]]

=== T ===
[[Tatort]]

[[Timeline]]

=== V ===
[[Video-Forensik]]

=== W ===
[[W-Fragen]]

[[Wiping]]

[[Write Blocker]]

=== Z ===
[[Zeit]]

== Interessante Links ==

Tsurugi Forensik-Linux https://tsurugi-linux.org

== Fernstudiengänge an der Hochschule Wismar (berufsbegleitend) ==

[https://fiw.hs-wismar.de/bereiche/eui/studiengaenge/it-forensik-bachelor-fernstudium-beng/ IT-Forensik, Bachelor]

[https://fiw.hs-wismar.de/bereiche/eui/studiengaenge/it-sicherheit-und-forensik-master-fernstudium-meng/ IT-Sicherheit und Forensik, Master]

== Starthilfen ==

* Hilfe zur Benutzung und Konfiguration der Wiki-Software finden Sie im [https://www.mediawiki.org/wiki/Special:MyLanguage/Help:Contents Benutzerhandbuch]
* [https://www.mediawiki.org/wiki/Special:MyLanguage/Manual:Configuration_settings Liste der Konfigurationsvariablen]
* [https://www.mediawiki.org/wiki/Special:MyLanguage/Manual:FAQ MediaWiki-FAQ]
* [https://lists.wikimedia.org/mailman/listinfo/mediawiki-announce Mailingliste neuer MediaWiki-Versionen]
* [https://www.mediawiki.org/wiki/Special:MyLanguage/Localisation#Translation_resources Übersetze MediaWiki für deine Sprache]
* [https://www.mediawiki.org/wiki/Special:MyLanguage/Manual:Combating_spam Erfahre, wie du Spam auf deinem Wiki bekämpfen kannst]

Hauptseite

2019-07-10T11:25:06Z

St181144: /* D */

Willkommen beim IT-Forensik-Wiki der Hochschule Wismar. Hier werden wesentliche Begriffe zum Thema „Digitale Forensik“ erläutert.

== Literatur ==

[[Abschlussarbeiten im Bachelor Studiengang "IT-Forensik"]]

[[Abschlussarbeiten im Master Studiengang "IT-Sicherheit und Forensik"]]

[[Projektarbeiten]]

[[Forensik in DB]]

== Stichworte IT-Forensik ==

=== B ===
[[BSI-Vorgehensmodell]]

[[Betriebssystem]]

=== C ===
[[Cache]]

[[CERT-Taxonomie]]

[[Chip-Off]]

[[Cross Site Scripting (XSS)]]

=== D ===
[[Darknet]]

[[Datenvernichtung]]

[[Datensammlung]]

[[Digitale Forensik]]

[[DDL & DML]]

=== E ===
[[Ermittlungsprozess]] 

[[Exploit]]

=== F ===
[[File Carving]]

=== G ===
[[Geotag]]

[[Gerichtsfestigkeit]]

=== H ===
[[Hilfstatort]]

=== I ===
[[Incident-Response-Team]]

[[IT-Forensik]]

=== J ===
[[Jailbreak]]

=== L ===
[[Live-Forensik]]

[[Log-File]]

=== M ===
[[Metadata]]

[[Mobiltelefon-Forensik]]

=== O ===
[[Online-Forensik]]

[[Offline-Forensik]]

[[OS Fingerprinting]]

=== P ===
[[Post-Mortem-Analyse]]

[[Prozess der Mobiltelefon Forensik]]

[[Prüfsumme]]

[[PCMCIA]]

=== R ===
[[Rainbow Table]]

[[Reverse Engineering]]

=== S ===
[[SAP-Modell]]

[[Sandbox]]

[[Security Information and Event Management (SIEM)]]

[[Skimming]]

[[Sniffing]]

[[SQL Injection]]

[[Sealbag]]

[[SpiderFoot]]

=== T ===
[[Tatort]]

[[Timeline]]

=== V ===
[[Video-Forensik]]

=== W ===
[[W-Fragen]]

[[Wiping]]

[[Write Blocker]]

=== Z ===
[[Zeit]]

== Interessante Links ==

Tsurugi Forensik-Linux https://tsurugi-linux.org

== Fernstudiengänge an der Hochschule Wismar (berufsbegleitend) ==

[https://fiw.hs-wismar.de/bereiche/eui/studiengaenge/it-forensik-bachelor-fernstudium-beng/ IT-Forensik, Bachelor]

[https://fiw.hs-wismar.de/bereiche/eui/studiengaenge/it-sicherheit-und-forensik-master-fernstudium-meng/ IT-Sicherheit und Forensik, Master]

== Starthilfen ==

* Hilfe zur Benutzung und Konfiguration der Wiki-Software finden Sie im [https://www.mediawiki.org/wiki/Special:MyLanguage/Help:Contents Benutzerhandbuch]
* [https://www.mediawiki.org/wiki/Special:MyLanguage/Manual:Configuration_settings Liste der Konfigurationsvariablen]
* [https://www.mediawiki.org/wiki/Special:MyLanguage/Manual:FAQ MediaWiki-FAQ]
* [https://lists.wikimedia.org/mailman/listinfo/mediawiki-announce Mailingliste neuer MediaWiki-Versionen]
* [https://www.mediawiki.org/wiki/Special:MyLanguage/Localisation#Translation_resources Übersetze MediaWiki für deine Sprache]
* [https://www.mediawiki.org/wiki/Special:MyLanguage/Manual:Combating_spam Erfahre, wie du Spam auf deinem Wiki bekämpfen kannst]

Hauptseite

2019-07-10T11:24:51Z

St181144: /* E */

Willkommen beim IT-Forensik-Wiki der Hochschule Wismar. Hier werden wesentliche Begriffe zum Thema „Digitale Forensik“ erläutert.

== Literatur ==

[[Abschlussarbeiten im Bachelor Studiengang "IT-Forensik"]]

[[Abschlussarbeiten im Master Studiengang "IT-Sicherheit und Forensik"]]

[[Projektarbeiten]]

[[Forensik in DB]]

== Stichworte IT-Forensik ==

=== B ===
[[BSI-Vorgehensmodell]]

[[Betriebssystem]]

=== C ===
[[Cache]]

[[CERT-Taxonomie]]

[[Chip-Off]]

[[Cross Site Scripting (XSS)]]

=== D ===
[[Darknet]]

[[Datenvernichtung]]

[[Digitale Forensik]]

[[DDL & DML]]

=== E ===
[[Ermittlungsprozess]] 

[[Exploit]]

=== F ===
[[File Carving]]

=== G ===
[[Geotag]]

[[Gerichtsfestigkeit]]

=== H ===
[[Hilfstatort]]

=== I ===
[[Incident-Response-Team]]

[[IT-Forensik]]

=== J ===
[[Jailbreak]]

=== L ===
[[Live-Forensik]]

[[Log-File]]

=== M ===
[[Metadata]]

[[Mobiltelefon-Forensik]]

=== O ===
[[Online-Forensik]]

[[Offline-Forensik]]

[[OS Fingerprinting]]

=== P ===
[[Post-Mortem-Analyse]]

[[Prozess der Mobiltelefon Forensik]]

[[Prüfsumme]]

[[PCMCIA]]

=== R ===
[[Rainbow Table]]

[[Reverse Engineering]]

=== S ===
[[SAP-Modell]]

[[Sandbox]]

[[Security Information and Event Management (SIEM)]]

[[Skimming]]

[[Sniffing]]

[[SQL Injection]]

[[Sealbag]]

[[SpiderFoot]]

=== T ===
[[Tatort]]

[[Timeline]]

=== V ===
[[Video-Forensik]]

=== W ===
[[W-Fragen]]

[[Wiping]]

[[Write Blocker]]

=== Z ===
[[Zeit]]

== Interessante Links ==

Tsurugi Forensik-Linux https://tsurugi-linux.org

== Fernstudiengänge an der Hochschule Wismar (berufsbegleitend) ==

[https://fiw.hs-wismar.de/bereiche/eui/studiengaenge/it-forensik-bachelor-fernstudium-beng/ IT-Forensik, Bachelor]

[https://fiw.hs-wismar.de/bereiche/eui/studiengaenge/it-sicherheit-und-forensik-master-fernstudium-meng/ IT-Sicherheit und Forensik, Master]

== Starthilfen ==

* Hilfe zur Benutzung und Konfiguration der Wiki-Software finden Sie im [https://www.mediawiki.org/wiki/Special:MyLanguage/Help:Contents Benutzerhandbuch]
* [https://www.mediawiki.org/wiki/Special:MyLanguage/Manual:Configuration_settings Liste der Konfigurationsvariablen]
* [https://www.mediawiki.org/wiki/Special:MyLanguage/Manual:FAQ MediaWiki-FAQ]
* [https://lists.wikimedia.org/mailman/listinfo/mediawiki-announce Mailingliste neuer MediaWiki-Versionen]
* [https://www.mediawiki.org/wiki/Special:MyLanguage/Localisation#Translation_resources Übersetze MediaWiki für deine Sprache]
* [https://www.mediawiki.org/wiki/Special:MyLanguage/Manual:Combating_spam Erfahre, wie du Spam auf deinem Wiki bekämpfen kannst]

Datensammlung

2019-07-10T11:23:43Z

St181144:

siehe [[BSI-Vorgehensmodell]]

Sammlung wichtiger Daten betroffener Systeme. 

Idealerweise findet eine vollständige Erfassung und Speicherung aller Daten statt ohne, dass eine Verfälschung der Daten durch diese Sicherrungsmaßnahme eintritt.  Es sollten alle Daten in der Reihenfolge Ihrer Flüchtigkeit gesammelt werden und es sollten  forensische Duplikate von allen betroffenen Massenspeichern gewonnen werden.  Alle erzeugten Duplikate werden mit kryptographischen Verfahren abgesichert, so dass Ihre Integrität gerichtsfest erhalten bleibt.

'''Datensammlung''' 

Der Prozess der Datensammlung schließt sich an die operationale Vorbereitung an. Nachdem ein Symptom eine forensische Untersuchung ausgelöst hat und in der operationalen Vorberei-tungsphase mögliche Datenquellen identifiziert sowie eine Sicherungsstrategie festgelegt wurden, beginnt im Abschnitt der Datensammlung die eigentliche Bestandsaufnahme. Für die Sammlung der Daten werden Werkzeuge aus einem zuvor festgelegten Katalog ausgewählt und angewendet.

Bei der Datenerfassung stehen die folgenden Informationen im Mittelpunkt:
* Erfassung von Systemzeit und Systemdatum
* Erfassung der auf dem System laufenden Prozesse
* Erfassung der am System geöffneten Netzwerkverbindungen (Sockets)
* Erfassung der am System angemeldeten Nutzer
* Forensische Duplikation

Für die genannten Punkte ist die Authentizitätssicherung durch das Vier-Augen-Prinzip in der begleitenden Dokumentation festzuhalten. Im Rahmen der Datensammlung muss auch das Thema Datenschutz betrachtet werden. Um die rechtlichen Aspekte einzuhalten, müssen die gewonnenen Daten durch geeignete Programme verschlüsselt werden.
Ab diesem Abschnitt müssen außerdem der lückenlose Nachweis über den Verbleib der Beweismittel sichergestellt sowie die Einsichtnahme im Rahmen des Weiteren Untersuchungs-prozesses dokumentiert werden.

'''Erfassung von Systemzeit und Systemdatum'''
Für die Erfassung der Systemzeit ist ein forensisches Werkzeug notwendig, welches die Da-tenart „Hardwaredaten“ erfassen kann. Dabei werden sowohl die am System eingestellte Zeit-zone als auch eventuelle Abweichungen zu einer Referenzzeit erfasst. Während der Erfas-sung müssen integritätssichernde Maßnahmen ergriffen und durchgeführt werden.

'''Erfassung der auf dem System laufenden Prozesse'''
Um die laufenden Prozesse erfassen zu können, muss das eingesetzte Werkzeug die Daten-art „Prozessdaten“ erfassen können. Die für die Erfassung notwendigen Veränderungen am lokalen Dateisystem sind ebenfalls sorgfältig zu dokumentieren.

'''Erfassung der am System geöffneten Netzwerkverbindungen (Sockets)'''
Für die Erfassung der offenen Netzwerkverbindungen muss die Datenart „Kommunikations-protokolldaten“ erfasst werden. Die für die Erfassung notwendigen Veränderungen am lokalen Dateisystem sind ebenfalls sorgfältig zu dokumentieren.
'''
Erfassung der am System angemeldeten Nutzer'''
Für die Erfassung der am System eingeloggten Benutzer muss die Datenart „Sitzungsdaten“ erfasst werden. Die für die Erfassung notwendigen Veränderungen am lokalen Dateisystem sind ebenfalls sorgfältig zu dokumentieren.
Forensische Duplikation

Im Rahmen der Datensammlung ist das Erstellen eines forensischen Duplikates erforderlich. Hier werden die Rohdaten erfasst. Forensische Duplikate werden prinzipiell von allen relevan-ten Massenspeichern (z.B. USB-Sticks, externe Festplatten, Mobiltelefone) erstellt. Unverhält-nismäßig hohe Kosten oder zu lange Ausfallzeiten der IT-Komponenten können dazu führen, dass auf eine Anfertigung eines Abbildes verzichtet werden kann. Dies ist allerdings ange-messen zu begründen (vgl. BSI 2011, 88f).

Datensammlung

2019-07-10T11:23:27Z

St181144:

siehe [[BSI-Vorgehensmodell]]

Sammlung wichtiger Daten betroffener Systeme. 

Idealerweise findet eine vollständige Erfassung und Speicherung aller Daten statt ohne, dass eine Verfälschung der Daten durch diese Sicherrungsmaßnahme eintritt.  Es sollten alle Daten in der Reihenfolge Ihrer Flüchtigkeit gesammelt werden und es sollten  forensische Duplikate von allen betroffenen Massenspeichern gewonnen werden.  Alle erzeugten Duplikate werden mit kryptographischen Verfahren abgesichert, so dass Ihre Integrität gerichtsfest erhalten bleibt.

'''Datensammlung'''
Der Prozess der Datensammlung schließt sich an die operationale Vorbereitung an. Nachdem ein Symptom eine forensische Untersuchung ausgelöst hat und in der operationalen Vorberei-tungsphase mögliche Datenquellen identifiziert sowie eine Sicherungsstrategie festgelegt wurden, beginnt im Abschnitt der Datensammlung die eigentliche Bestandsaufnahme. Für die Sammlung der Daten werden Werkzeuge aus einem zuvor festgelegten Katalog ausgewählt und angewendet.

Bei der Datenerfassung stehen die folgenden Informationen im Mittelpunkt:
* Erfassung von Systemzeit und Systemdatum
* Erfassung der auf dem System laufenden Prozesse
* Erfassung der am System geöffneten Netzwerkverbindungen (Sockets)
* Erfassung der am System angemeldeten Nutzer
* Forensische Duplikation

Für die genannten Punkte ist die Authentizitätssicherung durch das Vier-Augen-Prinzip in der begleitenden Dokumentation festzuhalten. Im Rahmen der Datensammlung muss auch das Thema Datenschutz betrachtet werden. Um die rechtlichen Aspekte einzuhalten, müssen die gewonnenen Daten durch geeignete Programme verschlüsselt werden.
Ab diesem Abschnitt müssen außerdem der lückenlose Nachweis über den Verbleib der Beweismittel sichergestellt sowie die Einsichtnahme im Rahmen des Weiteren Untersuchungs-prozesses dokumentiert werden.

'''Erfassung von Systemzeit und Systemdatum'''
Für die Erfassung der Systemzeit ist ein forensisches Werkzeug notwendig, welches die Da-tenart „Hardwaredaten“ erfassen kann. Dabei werden sowohl die am System eingestellte Zeit-zone als auch eventuelle Abweichungen zu einer Referenzzeit erfasst. Während der Erfas-sung müssen integritätssichernde Maßnahmen ergriffen und durchgeführt werden.

'''Erfassung der auf dem System laufenden Prozesse'''
Um die laufenden Prozesse erfassen zu können, muss das eingesetzte Werkzeug die Daten-art „Prozessdaten“ erfassen können. Die für die Erfassung notwendigen Veränderungen am lokalen Dateisystem sind ebenfalls sorgfältig zu dokumentieren.

'''Erfassung der am System geöffneten Netzwerkverbindungen (Sockets)'''
Für die Erfassung der offenen Netzwerkverbindungen muss die Datenart „Kommunikations-protokolldaten“ erfasst werden. Die für die Erfassung notwendigen Veränderungen am lokalen Dateisystem sind ebenfalls sorgfältig zu dokumentieren.
'''
Erfassung der am System angemeldeten Nutzer'''
Für die Erfassung der am System eingeloggten Benutzer muss die Datenart „Sitzungsdaten“ erfasst werden. Die für die Erfassung notwendigen Veränderungen am lokalen Dateisystem sind ebenfalls sorgfältig zu dokumentieren.
Forensische Duplikation

Im Rahmen der Datensammlung ist das Erstellen eines forensischen Duplikates erforderlich. Hier werden die Rohdaten erfasst. Forensische Duplikate werden prinzipiell von allen relevan-ten Massenspeichern (z.B. USB-Sticks, externe Festplatten, Mobiltelefone) erstellt. Unverhält-nismäßig hohe Kosten oder zu lange Ausfallzeiten der IT-Komponenten können dazu führen, dass auf eine Anfertigung eines Abbildes verzichtet werden kann. Dies ist allerdings ange-messen zu begründen (vgl. BSI 2011, 88f).

Datensammlung

2019-07-10T11:22:59Z

St181144:

siehe [[BSI-Vorgehensmodell]]

Sammlung wichtiger Daten betroffener Systeme. 

Idealerweise findet eine vollständige Erfassung und Speicherung aller Daten statt ohne, dass eine Verfälschung der Daten durch diese Sicherrungsmaßnahme eintritt.  Es sollten alle Daten in der Reihenfolge Ihrer Flüchtigkeit gesammelt werden und es sollten  forensische Duplikate von allen betroffenen Massenspeichern gewonnen werden.  Alle erzeugten Duplikate werden mit kryptographischen Verfahren abgesichert, so dass Ihre Integrität gerichtsfest erhalten bleibt.

'''Datensammlung'''
Der Prozess der Datensammlung schließt sich an die operationale Vorbereitung an. Nachdem ein Symptom eine forensische Untersuchung ausgelöst hat und in der operationalen Vorberei-tungsphase mögliche Datenquellen identifiziert sowie eine Sicherungsstrategie festgelegt wurden, beginnt im Abschnitt der Datensammlung die eigentliche Bestandsaufnahme. (Siehe Abbildung 50) Für die Sammlung der Daten werden Werkzeuge aus einem zuvor festgelegten Katalog ausgewählt und angewendet.

Bei der Datenerfassung stehen die folgenden Informationen im Mittelpunkt:
* Erfassung von Systemzeit und Systemdatum
* Erfassung der auf dem System laufenden Prozesse
* Erfassung der am System geöffneten Netzwerkverbindungen (Sockets)
* Erfassung der am System angemeldeten Nutzer
* Forensische Duplikation

Für die genannten Punkte ist die Authentizitätssicherung durch das Vier-Augen-Prinzip in der begleitenden Dokumentation festzuhalten. Im Rahmen der Datensammlung muss auch das Thema Datenschutz betrachtet werden. Um die rechtlichen Aspekte einzuhalten, müssen die gewonnenen Daten durch geeignete Programme verschlüsselt werden.
Ab diesem Abschnitt müssen außerdem der lückenlose Nachweis über den Verbleib der Beweismittel sichergestellt sowie die Einsichtnahme im Rahmen des Weiteren Untersuchungs-prozesses dokumentiert werden.

'''Erfassung von Systemzeit und Systemdatum'''
Für die Erfassung der Systemzeit ist ein forensisches Werkzeug notwendig, welches die Da-tenart „Hardwaredaten“ erfassen kann. Dabei werden sowohl die am System eingestellte Zeit-zone als auch eventuelle Abweichungen zu einer Referenzzeit erfasst. Während der Erfas-sung müssen integritätssichernde Maßnahmen ergriffen und durchgeführt werden.

'''Erfassung der auf dem System laufenden Prozesse'''
Um die laufenden Prozesse erfassen zu können, muss das eingesetzte Werkzeug die Daten-art „Prozessdaten“ erfassen können. Die für die Erfassung notwendigen Veränderungen am lokalen Dateisystem sind ebenfalls sorgfältig zu dokumentieren.

'''Erfassung der am System geöffneten Netzwerkverbindungen (Sockets)'''
Für die Erfassung der offenen Netzwerkverbindungen muss die Datenart „Kommunikations-protokolldaten“ erfasst werden. Die für die Erfassung notwendigen Veränderungen am lokalen Dateisystem sind ebenfalls sorgfältig zu dokumentieren.
'''
Erfassung der am System angemeldeten Nutzer'''
Für die Erfassung der am System eingeloggten Benutzer muss die Datenart „Sitzungsdaten“ erfasst werden. Die für die Erfassung notwendigen Veränderungen am lokalen Dateisystem sind ebenfalls sorgfältig zu dokumentieren.
Forensische Duplikation

Im Rahmen der Datensammlung ist das Erstellen eines forensischen Duplikates erforderlich. Hier werden die Rohdaten erfasst. Forensische Duplikate werden prinzipiell von allen relevan-ten Massenspeichern (z.B. USB-Sticks, externe Festplatten, Mobiltelefone) erstellt. Unverhält-nismäßig hohe Kosten oder zu lange Ausfallzeiten der IT-Komponenten können dazu führen, dass auf eine Anfertigung eines Abbildes verzichtet werden kann. Dies ist allerdings ange-messen zu begründen (vgl. BSI 2011, 88f).

Hauptseite

2019-07-10T11:19:12Z

St181144: /* E */

Willkommen beim IT-Forensik-Wiki der Hochschule Wismar. Hier werden wesentliche Begriffe zum Thema „Digitale Forensik“ erläutert.

== Literatur ==

[[Abschlussarbeiten im Bachelor Studiengang "IT-Forensik"]]

[[Abschlussarbeiten im Master Studiengang "IT-Sicherheit und Forensik"]]

[[Projektarbeiten]]

[[Forensik in DB]]

== Stichworte IT-Forensik ==

=== B ===
[[BSI-Vorgehensmodell]]

[[Betriebssystem]]

=== C ===
[[Cache]]

[[CERT-Taxonomie]]

[[Chip-Off]]

[[Cross Site Scripting (XSS)]]

=== D ===
[[Darknet]]

[[Datenvernichtung]]

[[Digitale Forensik]]

[[DDL & DML]]

=== E ===
[[Ermittlungsprozess]] 

[[Exploit]]

[[Datensammlung]]

=== F ===
[[File Carving]]

=== G ===
[[Geotag]]

[[Gerichtsfestigkeit]]

=== H ===
[[Hilfstatort]]

=== I ===
[[Incident-Response-Team]]

[[IT-Forensik]]

=== J ===
[[Jailbreak]]

=== L ===
[[Live-Forensik]]

[[Log-File]]

=== M ===
[[Metadata]]

[[Mobiltelefon-Forensik]]

=== O ===
[[Online-Forensik]]

[[Offline-Forensik]]

[[OS Fingerprinting]]

=== P ===
[[Post-Mortem-Analyse]]

[[Prozess der Mobiltelefon Forensik]]

[[Prüfsumme]]

[[PCMCIA]]

=== R ===
[[Rainbow Table]]

[[Reverse Engineering]]

=== S ===
[[SAP-Modell]]

[[Sandbox]]

[[Security Information and Event Management (SIEM)]]

[[Skimming]]

[[Sniffing]]

[[SQL Injection]]

[[Sealbag]]

[[SpiderFoot]]

=== T ===
[[Tatort]]

[[Timeline]]

=== V ===
[[Video-Forensik]]

=== W ===
[[W-Fragen]]

[[Wiping]]

[[Write Blocker]]

=== Z ===
[[Zeit]]

== Interessante Links ==

Tsurugi Forensik-Linux https://tsurugi-linux.org

== Fernstudiengänge an der Hochschule Wismar (berufsbegleitend) ==

[https://fiw.hs-wismar.de/bereiche/eui/studiengaenge/it-forensik-bachelor-fernstudium-beng/ IT-Forensik, Bachelor]

[https://fiw.hs-wismar.de/bereiche/eui/studiengaenge/it-sicherheit-und-forensik-master-fernstudium-meng/ IT-Sicherheit und Forensik, Master]

== Starthilfen ==

* Hilfe zur Benutzung und Konfiguration der Wiki-Software finden Sie im [https://www.mediawiki.org/wiki/Special:MyLanguage/Help:Contents Benutzerhandbuch]
* [https://www.mediawiki.org/wiki/Special:MyLanguage/Manual:Configuration_settings Liste der Konfigurationsvariablen]
* [https://www.mediawiki.org/wiki/Special:MyLanguage/Manual:FAQ MediaWiki-FAQ]
* [https://lists.wikimedia.org/mailman/listinfo/mediawiki-announce Mailingliste neuer MediaWiki-Versionen]
* [https://www.mediawiki.org/wiki/Special:MyLanguage/Localisation#Translation_resources Übersetze MediaWiki für deine Sprache]
* [https://www.mediawiki.org/wiki/Special:MyLanguage/Manual:Combating_spam Erfahre, wie du Spam auf deinem Wiki bekämpfen kannst]

Hauptseite

2019-07-10T11:18:58Z

St181144: /* E */

Willkommen beim IT-Forensik-Wiki der Hochschule Wismar. Hier werden wesentliche Begriffe zum Thema „Digitale Forensik“ erläutert.

== Literatur ==

[[Abschlussarbeiten im Bachelor Studiengang "IT-Forensik"]]

[[Abschlussarbeiten im Master Studiengang "IT-Sicherheit und Forensik"]]

[[Projektarbeiten]]

[[Forensik in DB]]

== Stichworte IT-Forensik ==

=== B ===
[[BSI-Vorgehensmodell]]

[[Betriebssystem]]

=== C ===
[[Cache]]

[[CERT-Taxonomie]]

[[Chip-Off]]

[[Cross Site Scripting (XSS)]]

=== D ===
[[Darknet]]

[[Datenvernichtung]]

[[Digitale Forensik]]

[[DDL & DML]]

=== E ===
[[Ermittlungsprozess]] 

[[Exploit]]

[[Datensammlun]]

=== F ===
[[File Carving]]

=== G ===
[[Geotag]]

[[Gerichtsfestigkeit]]

=== H ===
[[Hilfstatort]]

=== I ===
[[Incident-Response-Team]]

[[IT-Forensik]]

=== J ===
[[Jailbreak]]

=== L ===
[[Live-Forensik]]

[[Log-File]]

=== M ===
[[Metadata]]

[[Mobiltelefon-Forensik]]

=== O ===
[[Online-Forensik]]

[[Offline-Forensik]]

[[OS Fingerprinting]]

=== P ===
[[Post-Mortem-Analyse]]

[[Prozess der Mobiltelefon Forensik]]

[[Prüfsumme]]

[[PCMCIA]]

=== R ===
[[Rainbow Table]]

[[Reverse Engineering]]

=== S ===
[[SAP-Modell]]

[[Sandbox]]

[[Security Information and Event Management (SIEM)]]

[[Skimming]]

[[Sniffing]]

[[SQL Injection]]

[[Sealbag]]

[[SpiderFoot]]

=== T ===
[[Tatort]]

[[Timeline]]

=== V ===
[[Video-Forensik]]

=== W ===
[[W-Fragen]]

[[Wiping]]

[[Write Blocker]]

=== Z ===
[[Zeit]]

== Interessante Links ==

Tsurugi Forensik-Linux https://tsurugi-linux.org

== Fernstudiengänge an der Hochschule Wismar (berufsbegleitend) ==

[https://fiw.hs-wismar.de/bereiche/eui/studiengaenge/it-forensik-bachelor-fernstudium-beng/ IT-Forensik, Bachelor]

[https://fiw.hs-wismar.de/bereiche/eui/studiengaenge/it-sicherheit-und-forensik-master-fernstudium-meng/ IT-Sicherheit und Forensik, Master]

== Starthilfen ==

* Hilfe zur Benutzung und Konfiguration der Wiki-Software finden Sie im [https://www.mediawiki.org/wiki/Special:MyLanguage/Help:Contents Benutzerhandbuch]
* [https://www.mediawiki.org/wiki/Special:MyLanguage/Manual:Configuration_settings Liste der Konfigurationsvariablen]
* [https://www.mediawiki.org/wiki/Special:MyLanguage/Manual:FAQ MediaWiki-FAQ]
* [https://lists.wikimedia.org/mailman/listinfo/mediawiki-announce Mailingliste neuer MediaWiki-Versionen]
* [https://www.mediawiki.org/wiki/Special:MyLanguage/Localisation#Translation_resources Übersetze MediaWiki für deine Sprache]
* [https://www.mediawiki.org/wiki/Special:MyLanguage/Manual:Combating_spam Erfahre, wie du Spam auf deinem Wiki bekämpfen kannst]