IT-Forensik Wiki - Benutzerbeiträge [de]

Why-Because-Analyse (WBA)

2019-07-31T12:08:20Z

St181648: Aufzählungen korrekt eingetragen; Einzelbeleg-Angabe eingebunden

== Why-Because-Analyse (WBA) ==

Eine Möglichkeit in der IT-Forensik, um in der abschließenden Dokumentation einen Vorfall zu rekonstruieren, ist die Why-Because Analyse (WBA). Das Ziel der WBA ist es, eine korrekte und hinreichende, kausale Erklärung für das Eintreten von Ereignissen zu liefern.

=== Die Frage der Kausalität ===
Die Frage der „Kausaltität“ wurde von David Lewis in seinem Artikel „Causation“1) ausführlich beschrieben. Kurz zusammengefasst kann gesagt werden:
Ein Ereignis B hängt kausal von einem Ereignis A ab, wenn ohne das Ereignis A das Ereignis B nicht stattfinden hätte können.

=== Schlussfolgerungen ===
Durch die Kausalität ist es möglich Schlussfolgerungen zu treffen. Diese Schlussfolgerungen werden dabei von unterschiedlichen Typen von Fakten abgeleitet:

=== Die vier Typen von Fakten ===
==== Naturgegebene Fakten (given facts) ====
In diesen Typ fallen alle Fakten, welche von Natur aus vorgegeben sind. Dabei soll der Begriff Natur hier als „das Wesen eines Gegenstandes“ verstanden werden und dieser Gegenstand kann durchaus etwas nicht Anfassbares sein.
Beispiele für diese Faktentyp sind z.B.:
* Holz ist brennbar
* Wasser fließt in Häusern in Wasserleitungen
* Bei unverschlüsselten Computerverbindungen werden Daten im Klartext übertragen.

==== Berichtete Fakten (fact given by report) ====
Dieser Typ umfasst alle Informationen, die einer Dokumentation, Aufzeichnung, ... entnommen werden konnten und sind z.B.:
* Berichte von Zeugen („Herr Müller war Hobby-Handwerker“)
* Aufzeichnungen in Anrufprotokollen („Nachbar beschwert sich beim Notruf der Polizei, dass Herr Müller sonntags schon wieder bohrt“)
* Meldungen aus dem Syslog-Strom

==== Fakten die auf anderen Fakten beruhen (based on another fact in the list) ====
In diese Gruppe fallen die Informationen, welche auf Grund von anderen Fakten in der Faktenliste kausal abgeleitet werden können. Solche Fakten könnten z.B. sein:
* Herr Müller hat zum Zeitpunkt des Wasserrohrbruchs gebohrt
* Ein Rechner hat unverschlüsselte Datenverbindungen angeboten.

==== Schlussfolgerungen (causal conclusions) ====
Hierunter werden alle Informationen subsumiert, welche auf Grund von Schlussfolgerungen ermittelt werden. Dies könnten z.B. folgende Schlussfolgerungen sein:
* Es war möglich, dass Herr Müller beim Heimwerken die Wasserleitung angebohrt hat
* Es war möglich über die unverschlüsselte Datenverbindung des Computers personenbezogene Daten auszulesen.

Während der Durchführung einer WBA wird eine Liste von o.g. Fakten und Schlussfolgerungen zusammengetragen. Die Analyse gilt als erfolgreich, wenn jeder Fakt aus bereits vorher vorhandenen Fakten logisch rekonstruiert werden kann.

Um eine bessere Übersicht über die Faktenliste zu erhalten, können die Informationen auch in Form einer Baumstruktur dargestellt werden.

== Einzelbelege ==
1)[https://philarchive.org/archive/YABAFAv1 Causation, David Lewis, Journal of Philosophy, Inc.(1973)]

Imaging

2019-07-31T11:59:35Z

St181648: Kommasetzung und sprachliche Anpassungen

== Imaging ==

Ein forensisches Image (forensische Kopie) ist eine bitweise (sektorweise) direkte Kopie eines physischen Speichergeräts, einschließlich aller Dateien, Ordner und nicht zugeordneten, freien und freigegebenen Speicherplätzen. Forensic-Images enthalten nicht nur alle Dateien, die für das Betriebssystem sichtbar sind, sondern auch gelöschte Dateien und Teile von Dateien, die im freigegebenen Speicherplatz verbleiben.
[[Datei:Speicherbelegung auf dem Originaldatenträger.png|mini|Abbildung 1: Speicherbelegung auf dem Originaldatenträger]]

Das forensische Image ist ein Element der Computerforensik und die Grundlage für die Anwendung von Computeruntersuchungs- und -analysetechniken, um Beweise zu sammeln, die für die Vorlage vor einem Gericht geeignet sind.

Nicht jede Imaging- und Backup-Software erstellt forensische Images. Die Windows-Sicherung erstellt beispielsweise Imagesicherungen, die keine vollständigen Kopien des physischen Geräts sind. Forensische Images können mit einer speziellen forensischen Software erstellt werden.

In Fällen von Cyberkriminalität können zusätzliche Beweise auf Datenträgern entdeckt werden, die nicht über das Betriebssystem ersichtlich sind, und zwar in Form von belastenden Daten, die gelöscht wurden, um eine Entdeckung zu verhindern. Sofern diese Daten nicht sicher gelöscht und überschrieben worden sind, können sie häufig mit Forensik- oder Dateiwiederherstellungssoftware rekonstruiert werden.

Durch das Erstellen und Sichern eines forensischen Abbilds wird verhindert, dass Daten aufgrund von ursprünglichen Laufwerksfehlern verloren gehen. Der Verlust von Daten als Beweismittel kann sich nachteilig auf Rechtsfälle auswirken. Forensische Imagen kann im Allgemeinen auch den Verlust kritischer Dateien verhindern.
[[Datei:Speicherbelegung auf Backupmedium.png|mini|Abbildung 2: Speicherbelegung auf dem Backupmedium]]

=== Imaging versus Backup ===
Das Imaging ist nicht mit der Erstellung eines Backups zu verwechseln.
Während ein Backup (auch Dateisicherung genannt) eine Sicherung von Dateien und Ordnern erstellt, erzeugt das Imaging eine Bit genau Kopie des Ausgangsspeichers inklusive aller evtl. aktuell gar nicht benutzter Bereiche.
Abbildung 1 zeigt symbolisch einen 100 Einheiten großen Datenspeicher mit vier Dateien. Diese werden durch die Farben rot, lila, blau und grün symbolisiert. Die Zahlen in den Feldern geben an in welcher Reihenfolge die einzelnen Blöcke einer Datei gelesen werden müssen. Die grauen Felder sollen bereits benutzte aber aktuell nicht mehr in Verwendung befindliche Blöcke darstellen. Weiße Felder sind bisher noch nie beschriebene Blöcke.

Erzeugt man von diesem Speicher ein Backup, so werden die Dateien sequentiell ausgelesen und Block für Block, Datei für Datei hintereinander gespeichert. Nicht mehr in Benutzung befindliche Blöcke werden bei der Datensicherung nicht betrachtet. Das Ergebnis der Datensicherung ist in Abbildung 2 symbolisch dargestellt:

Erzeugt man von dem Originaldatenträger jedoch ein Image, so erhält man einen neuen Datenspeicher oder eine Datei in welcher die Informationen wie in Abbildung 3 vorliegen.
[[Datei:Speicherbelegung auf dem Originaldatenträger.png|mini|Abbildung 3: Speicherbelegung auf dem Imagedatenträger]]

=== Software zum Erstellen eines Images ===
Die gängigen Betriebssysteme bringen bereits Boardmittel zum Erstellen von Images mit. Sie heißen unter Windows „Systemabbild erstellen“, unter macOS „Festplattendienstprogramm“ und unter Linux „dd“ (in den coreutils enthalten).
Allerdings genügen diese Boardmittel den Anforderungen an das Erstellen von forensischen Abbildern nicht. Veränderungen an den Images nach der Erzeugung können nicht festgestellt werden.

Um diese Anforderung an die „Unverfälschbarkeit“ eines Speicherabbildes zu erfüllen setzt das „forensische Imaging“ auf kryptographische Sicherung des Speicherabbildes. Ein Beispiel eines solchen Tools ist z.B. [https://sourceforge.net/projects/dcfldd/ dcfldd], welches nach einer einstellbaren Anzahl geschriebener Bytes einen Hashwert über diese Bytes erstellt und ebenfalls speichert.

Um jegliche Veränderungen an einem Speicher durch das Erzeugen eines Images zu vermeiden, sollte – wenn dies technisch möglich ist - ein [[Write_Blocker|Writeblocker]] verwendet werden. Dieser verhindert, dass versehentlich schreibend auf den auszulesenden Speicher zugegriffen wird.

Write Blocker

2019-07-28T18:09:33Z

St181648: Satzumbau

== Write Blocker ==
Die durch den Ermittler oder Analysten auszuwertenden Daten und Informationen dürfen im Falle einer IT-Forensischen Untersuchung nicht verändert werden, damit diese für ein eventuelles gerichtliches Verfahren beweissicher sind. Änderungen können, sofern diese nicht entsprechend lesend gesichtet werden, durch den Auswerter aber auch z.B. durch Computer-Viren verändert werden. Um Änderungen während einer Auswertung zu vermeiden können Schreibblocker (write blocker) eingesetzt werden. Diese gibt es als Hardware oder Software.

Ein Writeblocker wird zwischen den zu duplizierenden Datenträger und das Computersystem, mit dem das Duplikat erstellt werden soll, angeschlossen. Er lässt lediglich Lesezugriffe auf den Datenträger zu und filtert Schreibzugriffe. Writeblocker existieren für viele Festplatten- und Datenträger-Schnittstellen, beispielsweise SATA, IDE, SCSI und USB.

=== Hardware ===
Bei der Hardware-Variante handelt es sich um Geräte, die zwischen den Festplatten Controller und die Festplatte angeschlossen werden. Schreibende Kommandos werden technisch unterdrückt.1)

Hardware-Schreibblocker sind auf Schnelligkeit optimiert. Beispiele für Hardware Schreibblocker sind der Logicube und Tableau. Logicube erstellt Hashwerte und imaged ein Verzeichnis mit einer Rate von 3GB/min. Hardware-Schreibblocker sind portabel, klein und ersetzt sperrige PCs am Arbeitsplatz.2)

=== Software ===
Software write blocker sollen ebenfalls schreibschützend sein. Es werden bei der Software-Variante nur bestimmte Befehle zum Datenträger weitergeleitet und soll nicht so effizient wie eine hardware-Lösung sein.1)

Software Schreibblocker gibt es in zwei Varianten. Sie werden entweder als Zusatzsoftware zu existiernenden Bestriebssystemen implementiert und blocken dort das Schreiben auf dem auswertenden Gerät. Die Alternative ist ein Schreibblocker, der als eigenständiger Dienst bootbar ist.2)

=== Vorteile Hardware-Schreibblocker ===
Der Vorteil einer Hardwarelösung ist, dass Inhalte der zu sichtenden Daten und Informationen nicht durch Sicherheitslücken einer Software manipulierbar sind.1)

=== Nachteile Software-Schreibblocker ===
Software-Schreibblocker sind limitiert durch die Portgeschwindigkeit der Ports, die geblockt werden. Zusätzlich wird die Schreibgeschwindigkeit durch Overhead für den Schreibblock-Prozess reduziert.2)

== Einzelbelege ==
* 1) Forensische Informatik, Andreas Dewald, Felix C. Freiling;ISBN-13: 978-3842379473
* 2) [https://www.sciencedirect.com/science/article/pii/B9780128038437000405 Cyber Forensics], Scott R. Ellis, in [https://www.sciencedirect.com/book/9780128038437 Computer and Information Security Handbook (Third Edition)], 2013)

== Bericht zum praktischer Einsatz eines Write Blockers ==

Zur '''Erstellung eines Images''' wird ein '''Write Blocker''' der Firma Tableau verwendet.
Dabei wurden die Daten eines USB-Sticks, die als '''Beweismittel''' zu sichern waren, als logisches
Image auf die Forensik-Arbeitsstation kopiert.

Zur Gewährleistung der '''Unversehrtheit der Daten''' auf dem USB-Stick wurde ein Write-Blocker eingesetzt.
Zum '''Nachweis''' der Unversehrheit der Daten wurden die Hashwerte gebildet.
Das "'''Vier-Augen-Prinzip'''" bekräftigt die geforderte "'''Chain of Custody'''".

Das Szenario, mit dem der Write Blocker getestet wurde, war ein z.B. im Rahmen der Strafverfolgung sichergestellter USB-Stick mit darauf gespeicherten Beweisstücken.

[[Datei:Image1.jpg|mini]]
Abbildung: 1 – Beweisstück USB-Stick mit darauf gespeicherten Dateien

Um diesen USB-Stick als Beweisstück zu sichern und in der forensischen Analyse einzusetzen, wird nun der Aufbau mit dem Write Blocker hergestellt: Host (Forensik) < Write Blocker < USB-Stick.

[[Datei:Image2.jpg|mini]]
Abbildung: 2 – Komponenten zum Erstellen des logischen Abbildes

Der Write Blocker wird zwischen den Host und das Beweisstück USB-Stick geschaltet. Damit wird verhindert, dass beim Sichern der Inhalte des USB Sticks keine Veränderungen auf dem USB Stick eintreten. Der Write Blocker verhindert auf anerkannte Weise den Schreibzugriff auf dem USB-Stick. Auf der anderen Seite wird der lesende Zugriff auf den USB-Stick ermöglicht.
Der Write Blocker verfügt über einen USB-Port zum Anschluss des Beweisstücks, eine Stromversorgung und ein USB 3.0 Ausgang zur Verbindung des Gerätes mit dem Host.

[[Datei:Image3.jpg|mini]]
Abbildung: 3 – Write Blocker mit Bedienungsanleitung und Zubehör

Es gibt Write Blocker mit unterschiedlichen Anschlussmöglichkeiten z.B. für SATA, SCSI Festplatten oder weitere Endgeräte mit spezifischen Steckern für das jeweilige Medium.
In der Reihenfolge 1) Einstecken des USB Sticks (Beweisstück) 2) Verbindung zum Host 3) Stromverbindung wird nun die Verbindung hergestellt.

[[Datei:Image4.jpg|mini]]
Abbildung: 4 – Gesamtaufbau Host < Write Blocker < Beweisstück USB-Stick

Im nächsten Schritt werden die Hashwerte der Inhalte des USB Sticks gebildet. Somit wird von Vorneherein sichergestellt, Aussagen zur Integrität der Beweismittel treffen zu können. Jede spätere Veränderung der Daten wird dadurch nachgewiesen werden können, dass erneut ein Hashwert - hier md5- der Daten gebildet wird. Nur wenn die Hashwerte übereinstimmen, ist die Datei unverändert. Bereits beim Erstellen der Hashwerte und generell beim Aufbau Host < Write Blocker < USB Stick ist das Vier-Augen-Prinzip einzuhalten. In diesem ersten Beispiel wurden die Hashwerte mit den Linux-Funktionen des Hosts gebildet:
z.B. für die Datei “File01.pdf”: echo File01.pdf | md5sum File01.pdf > Hash_File01.txt

[[Datei:Image5.jpg|mini]]
Abbildung: 5 – Erstellen der Hashwerte (Integrität, Gerichtsfestigkeit)

Nach dem Bilden der Hashwerte kann dann das Image gezogen werden oder, wie in diesem Falle ausprobiert, die Dateien von dem USB Stick auf den Host (Forensik-Arbeitsstation) kopiert werden. Nach dem Kopieren werden erneut die Hashwerte gebildet und verglichen.

[[Datei:Image6.jpg|mini]]
Abbildung: 6 – logisches Abbild der Inhalte des USB-Sticks

Eine andere Möglichkeit wäre gewesen, weitere Werkzeuge einzusetzen. So hätte beispielsweise der FTK Imager hier die Möglichkeit geboten, ein logisches Image des USB Sticks zu erstellen und in diesem Vorgang direkt auch die Verifikation durchzuführen, also die Hashwerte zu bilden. Hier wurde bewusst zunächst die manuelle Methode verwendet, um den Aufbau und die Vorgehensweise mit dem Write Blocker einzustudieren. Im nächsten Schritt wurde dann die Funktionalität des FTK Imagers verwendet, um das Image der Praktikumsaufgabe zu erstellen.

[[Datei:Image7.jpg|mini]]
Abbildung: 7 – Komponenten des Gesamtaufbaus

Der Vorgang wurde dokumentiert.
[[Datei:Dokumentation.pdf|mini|Write Blocker der Firma Tableau]]

Write Blocker

2019-07-28T18:09:04Z

St181648: Umbau des Artikels

== Write Blocker ==
Die durch den Ermittler oder Analysten auszuwertenden Daten und Informationen im Falle einer IT-Forensischen Untersuchung dürfen nicht verändert werden, damit diese für ein eventuelles gerichtliches Verfahren beweissicher sind. Änderungen können, sofern diese nicht entsprechend lesend gesichtet werden, durch den Auswerter aber auch z.B. durch Computer-Viren verändert werden. Um Änderungen während einer Auswertung zu vermeiden können Schreibblocker (write blocker) eingesetzt werden. Diese gibt es als Hardware oder Software.

Ein Writeblocker wird zwischen den zu duplizierenden Datenträger und das Computersystem, mit dem das Duplikat erstellt werden soll, angeschlossen. Er lässt lediglich Lesezugriffe auf den Datenträger zu und filtert Schreibzugriffe. Writeblocker existieren für viele Festplatten- und Datenträger-Schnittstellen, beispielsweise SATA, IDE, SCSI und USB.

=== Hardware ===
Bei der Hardware-Variante handelt es sich um Geräte, die zwischen den Festplatten Controller und die Festplatte angeschlossen werden. Schreibende Kommandos werden technisch unterdrückt.1)

Hardware-Schreibblocker sind auf Schnelligkeit optimiert. Beispiele für Hardware Schreibblocker sind der Logicube und Tableau. Logicube erstellt Hashwerte und imaged ein Verzeichnis mit einer Rate von 3GB/min. Hardware-Schreibblocker sind portabel, klein und ersetzt sperrige PCs am Arbeitsplatz.2)

=== Software ===
Software write blocker sollen ebenfalls schreibschützend sein. Es werden bei der Software-Variante nur bestimmte Befehle zum Datenträger weitergeleitet und soll nicht so effizient wie eine hardware-Lösung sein.1)

Software Schreibblocker gibt es in zwei Varianten. Sie werden entweder als Zusatzsoftware zu existiernenden Bestriebssystemen implementiert und blocken dort das Schreiben auf dem auswertenden Gerät. Die Alternative ist ein Schreibblocker, der als eigenständiger Dienst bootbar ist.2)

=== Vorteile Hardware-Schreibblocker ===
Der Vorteil einer Hardwarelösung ist, dass Inhalte der zu sichtenden Daten und Informationen nicht durch Sicherheitslücken einer Software manipulierbar sind.1)

=== Nachteile Software-Schreibblocker ===
Software-Schreibblocker sind limitiert durch die Portgeschwindigkeit der Ports, die geblockt werden. Zusätzlich wird die Schreibgeschwindigkeit durch Overhead für den Schreibblock-Prozess reduziert.2)

== Einzelbelege ==
* 1) Forensische Informatik, Andreas Dewald, Felix C. Freiling;ISBN-13: 978-3842379473
* 2) [https://www.sciencedirect.com/science/article/pii/B9780128038437000405 Cyber Forensics], Scott R. Ellis, in [https://www.sciencedirect.com/book/9780128038437 Computer and Information Security Handbook (Third Edition)], 2013)

== Bericht zum praktischer Einsatz eines Write Blockers ==

Zur '''Erstellung eines Images''' wird ein '''Write Blocker''' der Firma Tableau verwendet.
Dabei wurden die Daten eines USB-Sticks, die als '''Beweismittel''' zu sichern waren, als logisches
Image auf die Forensik-Arbeitsstation kopiert.

Zur Gewährleistung der '''Unversehrtheit der Daten''' auf dem USB-Stick wurde ein Write-Blocker eingesetzt.
Zum '''Nachweis''' der Unversehrheit der Daten wurden die Hashwerte gebildet.
Das "'''Vier-Augen-Prinzip'''" bekräftigt die geforderte "'''Chain of Custody'''".

Das Szenario, mit dem der Write Blocker getestet wurde, war ein z.B. im Rahmen der Strafverfolgung sichergestellter USB-Stick mit darauf gespeicherten Beweisstücken.

[[Datei:Image1.jpg|mini]]
Abbildung: 1 – Beweisstück USB-Stick mit darauf gespeicherten Dateien

Um diesen USB-Stick als Beweisstück zu sichern und in der forensischen Analyse einzusetzen, wird nun der Aufbau mit dem Write Blocker hergestellt: Host (Forensik) < Write Blocker < USB-Stick.

[[Datei:Image2.jpg|mini]]
Abbildung: 2 – Komponenten zum Erstellen des logischen Abbildes

Der Write Blocker wird zwischen den Host und das Beweisstück USB-Stick geschaltet. Damit wird verhindert, dass beim Sichern der Inhalte des USB Sticks keine Veränderungen auf dem USB Stick eintreten. Der Write Blocker verhindert auf anerkannte Weise den Schreibzugriff auf dem USB-Stick. Auf der anderen Seite wird der lesende Zugriff auf den USB-Stick ermöglicht.
Der Write Blocker verfügt über einen USB-Port zum Anschluss des Beweisstücks, eine Stromversorgung und ein USB 3.0 Ausgang zur Verbindung des Gerätes mit dem Host.

[[Datei:Image3.jpg|mini]]
Abbildung: 3 – Write Blocker mit Bedienungsanleitung und Zubehör

Es gibt Write Blocker mit unterschiedlichen Anschlussmöglichkeiten z.B. für SATA, SCSI Festplatten oder weitere Endgeräte mit spezifischen Steckern für das jeweilige Medium.
In der Reihenfolge 1) Einstecken des USB Sticks (Beweisstück) 2) Verbindung zum Host 3) Stromverbindung wird nun die Verbindung hergestellt.

[[Datei:Image4.jpg|mini]]
Abbildung: 4 – Gesamtaufbau Host < Write Blocker < Beweisstück USB-Stick

Im nächsten Schritt werden die Hashwerte der Inhalte des USB Sticks gebildet. Somit wird von Vorneherein sichergestellt, Aussagen zur Integrität der Beweismittel treffen zu können. Jede spätere Veränderung der Daten wird dadurch nachgewiesen werden können, dass erneut ein Hashwert - hier md5- der Daten gebildet wird. Nur wenn die Hashwerte übereinstimmen, ist die Datei unverändert. Bereits beim Erstellen der Hashwerte und generell beim Aufbau Host < Write Blocker < USB Stick ist das Vier-Augen-Prinzip einzuhalten. In diesem ersten Beispiel wurden die Hashwerte mit den Linux-Funktionen des Hosts gebildet:
z.B. für die Datei “File01.pdf”: echo File01.pdf | md5sum File01.pdf > Hash_File01.txt

[[Datei:Image5.jpg|mini]]
Abbildung: 5 – Erstellen der Hashwerte (Integrität, Gerichtsfestigkeit)

Nach dem Bilden der Hashwerte kann dann das Image gezogen werden oder, wie in diesem Falle ausprobiert, die Dateien von dem USB Stick auf den Host (Forensik-Arbeitsstation) kopiert werden. Nach dem Kopieren werden erneut die Hashwerte gebildet und verglichen.

[[Datei:Image6.jpg|mini]]
Abbildung: 6 – logisches Abbild der Inhalte des USB-Sticks

Eine andere Möglichkeit wäre gewesen, weitere Werkzeuge einzusetzen. So hätte beispielsweise der FTK Imager hier die Möglichkeit geboten, ein logisches Image des USB Sticks zu erstellen und in diesem Vorgang direkt auch die Verifikation durchzuführen, also die Hashwerte zu bilden. Hier wurde bewusst zunächst die manuelle Methode verwendet, um den Aufbau und die Vorgehensweise mit dem Write Blocker einzustudieren. Im nächsten Schritt wurde dann die Funktionalität des FTK Imagers verwendet, um das Image der Praktikumsaufgabe zu erstellen.

[[Datei:Image7.jpg|mini]]
Abbildung: 7 – Komponenten des Gesamtaufbaus

Der Vorgang wurde dokumentiert.
[[Datei:Dokumentation.pdf|mini|Write Blocker der Firma Tableau]]

Why-Because-Analyse (WBA)

2019-07-25T20:09:17Z

St181648: /* Why-Because-Analyse (WBA) */

== Why-Because-Analyse (WBA) ==

Eine Möglichkeit in der IT-Forensik, um in der abschließenden Dokumentation einen Vorfall zu rekonstruieren, ist die Why-Because Analyse (WBA). Das Ziel der WBA ist es, eine korrekte und hinreichende, kausale Erklärung für das Eintreten von Ereignissen zu liefern.

=== Die Frage der Kausalität ===
Die Frage der „Kausaltität“ wurde von David Lewis in seinem Artikel „Causation“[https://philarchive.org/archive/YABAFAv1] im „Journal of Philosophy, Inc.“ im Jahre 1973 ausführlich beschrieben. Kurz zusammengefasst kann gesagt werden:
Ein Ereignis B hängt kausal von einem Ereignis A ab, wenn ohne das Ereignis A das Ereignis B nicht stattfinden hätte können.

=== Schlussfolgerungen ===
Durch die Kausalität ist es möglich Schlussfolgerungen zu treffen. Diese Schlussfolgerungen werden dabei von unterschiedlichen Typen von Fakten abgeleitet:

=== Die vier Typen von Fakten ===
==== Naturgegebene Fakten (given facts) ====
In diesen Typ fallen alle Fakten, welche von Natur aus vorgegeben sind. Dabei soll der Begriff Natur hier als „das Wesen eines Gegenstandes“ verstanden werden und dieser Gegenstand kann durchaus etwas nicht Anfassbares sein.
Beispiele für diese Faktentyp sind z.B.:
Holz ist brennbar
Wasser fließt in Häusern in Wasserleitungen
Bei unverschlüsselten Computerverbindungen werden Daten im Klartext übertragen.

==== Berichtete Fakten (fact given by report) ====
Dieser Typ umfasst alle Informationen, die einer Dokumentation, Aufzeichnung, ... entnommen werden konnten und sind z.B.:
Berichte von Zeugen („Herr Müller war Hobby-Handwerker“)
Aufzeichnungen in Anrufprotokollen („Nachbar beschwert sich beim Notruf der Polizei, dass Herr Müller sonntags schon wieder bohrt“)
Meldungen aus dem Syslog-Strom

==== Fakten die auf anderen Fakten beruhen (based on another fact in the list) ====
In diese Gruppe fallen die Informationen, welche auf Grund von anderen Fakten in der Faktenliste kausal abgeleitet werden können. Solche Fakten könnten z.B. sein:
Herr Müller hat zum Zeitpunkt des Wasserrohrbruchs gebohrt
Ein Rechner hat unverschlüsselte Datenverbindungen angeboten.

==== Schlussfolgerungen (causal conclusions) ====
Hierunter werden alle Informationen subsumiert, welche auf Grund von Schlussfolgerungen ermittelt werden. Dies könnten z.B. folgende Schlussfolgerungen sein:
Es war möglich, dass Herr Müller beim Heimwerken die Wasserleitung angebohrt hat
Es war möglich über die unverschlüsselte Datenverbindung des Computers personenbezogene Daten auszulesen.

Während der Durchführung einer WBA wird eine Liste von o.g. Fakten und Schlussfolgerungen zusammengetragen. Die Analyse gilt als erfolgreich, wenn jeder Fakt aus bereits vorher vorhandenen Fakten logisch rekonstruiert werden kann.

Um eine bessere Übersicht über die Faktenliste zu erhalten, können die Informationen auch in Form einer Baumstruktur dargestellt werden.

Why-Because-Analyse (WBA)

2019-07-25T20:04:43Z

St181648: Versuch einer Referenz

== Why-Because-Analyse (WBA) ==

Eine Möglichkeit in der IT-Forensik, um in der abschließenden Dokumentation einen Vorfall zu rekonstruieren, ist die Why-Because Analyse (WBA). Das Ziel der WBA ist es, eine korrekte und hinreichende, kausale Erklärung für das Eintreten von Ereignissen zu liefern.

=== Die Frage der Kausalität ===
Die Frage der „Kausaltität“ wurde von David Lewis in seinem Artikel „Causation“ im „Journal of Philosophy, Inc.“ im Jahre 1973 Causation <ref name="causation">[https://philarchive.org/archive/YABAFAv1],Causation; Autor: David Lewis</ref> ausführlich beschrieben. Kurz zusammengefasst kann gesagt werden:
Ein Ereignis B hängt kausal von einem Ereignis A ab, wenn ohne das Ereignis A das Ereignis B nicht stattfinden hätte können.

=== Schlussfolgerungen ===
Durch die Kausalität ist es möglich Schlussfolgerungen zu treffen. Diese Schlussfolgerungen werden dabei von unterschiedlichen Typen von Fakten abgeleitet:

=== Die vier Typen von Fakten ===
==== Naturgegebene Fakten (given facts) ====
In diesen Typ fallen alle Fakten, welche von Natur aus vorgegeben sind. Dabei soll der Begriff Natur hier als „das Wesen eines Gegenstandes“ verstanden werden und dieser Gegenstand kann durchaus etwas nicht Anfassbares sein.
Beispiele für diese Faktentyp sind z.B.:
Holz ist brennbar
Wasser fließt in Häusern in Wasserleitungen
Bei unverschlüsselten Computerverbindungen werden Daten im Klartext übertragen.

==== Berichtete Fakten (fact given by report) ====
Dieser Typ umfasst alle Informationen, die einer Dokumentation, Aufzeichnung, ... entnommen werden konnten und sind z.B.:
Berichte von Zeugen („Herr Müller war Hobby-Handwerker“)
Aufzeichnungen in Anrufprotokollen („Nachbar beschwert sich beim Notruf der Polizei, dass Herr Müller sonntags schon wieder bohrt“)
Meldungen aus dem Syslog-Strom

==== Fakten die auf anderen Fakten beruhen (based on another fact in the list) ====
In diese Gruppe fallen die Informationen, welche auf Grund von anderen Fakten in der Faktenliste kausal abgeleitet werden können. Solche Fakten könnten z.B. sein:
Herr Müller hat zum Zeitpunkt des Wasserrohrbruchs gebohrt
Ein Rechner hat unverschlüsselte Datenverbindungen angeboten.

==== Schlussfolgerungen (causal conclusions) ====
Hierunter werden alle Informationen subsumiert, welche auf Grund von Schlussfolgerungen ermittelt werden. Dies könnten z.B. folgende Schlussfolgerungen sein:
Es war möglich, dass Herr Müller beim Heimwerken die Wasserleitung angebohrt hat
Es war möglich über die unverschlüsselte Datenverbindung des Computers personenbezogene Daten auszulesen.

Während der Durchführung einer WBA wird eine Liste von o.g. Fakten und Schlussfolgerungen zusammengetragen. Die Analyse gilt als erfolgreich, wenn jeder Fakt aus bereits vorher vorhandenen Fakten logisch rekonstruiert werden kann.

Um eine bessere Übersicht über die Faktenliste zu erhalten, können die Informationen auch in Form einer Baumstruktur dargestellt werden.

Why-Because-Analyse (WBA)

2019-07-25T20:00:17Z

St181648: Initiale Erstellung des Artikels

== Why-Because-Analyse (WBA) ==

Eine Möglichkeit in der IT-Forensik, um in der abschließenden Dokumentation einen Vorfall zu rekonstruieren, ist die Why-Because Analyse (WBA). Das Ziel der WBA ist es, eine korrekte und hinreichende, kausale Erklärung für das Eintreten von Ereignissen zu liefern.

=== Die Frage der Kausalität ===
Die Frage der „Kausaltität“ wurde von David Lewis in seinem Artikel „Causation“ im „Journal of Philosophy, Inc.“ im Jahre 1973 (1) ausführlich beschrieben. Kurz zusammengefasst kann gesagt werden:
Ein Ereignis B hängt kausal von einem Ereignis A ab, wenn ohne das Ereignis A das Ereignis B nicht stattfinden hätte können.

=== Schlussfolgerungen ===
Durch die Kausalität ist es möglich Schlussfolgerungen zu treffen. Diese Schlussfolgerungen werden dabei von unterschiedlichen Typen von Fakten abgeleitet:

=== Die vier Typen von Fakten ===
==== Naturgegebene Fakten (given facts) ====
In diesen Typ fallen alle Fakten, welche von Natur aus vorgegeben sind. Dabei soll der Begriff Natur hier als „das Wesen eines Gegenstandes“ verstanden werden und dieser Gegenstand kann durchaus etwas nicht Anfassbares sein.
Beispiele für diese Faktentyp sind z.B.:
Holz ist brennbar
Wasser fließt in Häusern in Wasserleitungen
Bei unverschlüsselten Computerverbindungen werden Daten im Klartext übertragen.

==== Berichtete Fakten (fact given by report) ====
Dieser Typ umfasst alle Informationen, die einer Dokumentation, Aufzeichnung, ... entnommen werden konnten und sind z.B.:
Berichte von Zeugen („Herr Müller war Hobby-Handwerker“)
Aufzeichnungen in Anrufprotokollen („Nachbar beschwert sich beim Notruf der Polizei, dass Herr Müller sonntags schon wieder bohrt“)
Meldungen aus dem Syslog-Strom

==== Fakten die auf anderen Fakten beruhen (based on another fact in the list) ====
In diese Gruppe fallen die Informationen, welche auf Grund von anderen Fakten in der Faktenliste kausal abgeleitet werden können. Solche Fakten könnten z.B. sein:
Herr Müller hat zum Zeitpunkt des Wasserrohrbruchs gebohrt
Ein Rechner hat unverschlüsselte Datenverbindungen angeboten.

==== Schlussfolgerungen (causal conclusions) ====
Hierunter werden alle Informationen subsumiert, welche auf Grund von Schlussfolgerungen ermittelt werden. Dies könnten z.B. folgende Schlussfolgerungen sein:
Es war möglich, dass Herr Müller beim Heimwerken die Wasserleitung angebohrt hat
Es war möglich über die unverschlüsselte Datenverbindung des Computers personenbezogene Daten auszulesen.

Während der Durchführung einer WBA wird eine Liste von o.g. Fakten und Schlussfolgerungen zusammengetragen. Die Analyse gilt als erfolgreich, wenn jeder Fakt aus bereits vorher vorhandenen Fakten logisch rekonstruiert werden kann.

Um eine bessere Übersicht über die Faktenliste zu erhalten, können die Informationen auch in Form einer Baumstruktur dargestellt werden.

Why-Because-Analyse (WBA)

2019-07-25T19:55:49Z

St181648: Seite initial angelegt

== Why-Because-Analyse (WBA) ==

Hauptseite

2019-07-25T19:55:25Z

St181648: WBA eingefuegt

Willkommen beim IT-Forensik-Wiki der Hochschule Wismar. Hier werden wesentliche Begriffe zum Thema „Digitale Forensik“ erläutert.

== Literatur ==

[[Abschlussarbeiten im Bachelor Studiengang "IT-Forensik"]]

[[Abschlussarbeiten im Master Studiengang "IT-Sicherheit und Forensik"]]

[[Projektarbeiten]]

[[Forensik in DB]]

== Stichworte IT-Forensik ==
=== A ===
[[Anti-Forensik]]

[[Asset Relocation]]

=== B ===
[[BSI-Vorgehensmodell]]

[[Betriebssystem]]

=== C ===
[[Cache]]

[[CERT-Taxonomie]]

[[Chip-Off]]

[[Cross Site Scripting (XSS)]]

=== D ===
[[Darknet]]

[[Datenanalyse]]

[[Datenbankforensik]]

[[Datenvernichtung]]

[[Datensammlung]]

[[DDL & DML]]

[[Digitale Forensik]]

[[Dokumentation]]

[[Dual Use Software]]

=== E ===
[[Ermittlungsprozess]] 

[[Exploit]]

=== F ===
[[File Carving]]

[[Flüchtige Daten]]

[[Forensischer Koffer]]

[[Fragmentierung]]

=== G ===
[[Geotag]]

[[GeoIP-Datenbank]]

[[Gerichtsfestigkeit]]

=== H ===
[[Hilfstatort]]

[[Hardware-Sicherheitsmodul]]

[[Hashcat]]

[[Honeypot]]

=== I ===
[[Imaging]]

[[Incident-Response-Team]]

[[Integrität]]

[[IT-Forensik]]

=== J ===
[[Jailbreak]]

=== K ===
[[Kausalität in der Forensik]]

[[Korrelation]]

=== L ===
[[Live-Forensik]]

[[Log-File]]

=== M ===
[[Metadaten]]

[[Mobiltelefon-Forensik]]

=== N ===
[[Netflow]]

[[Never-Touch-Original]]

=== O ===
[[Online-Forensik]]

[[Offline-Forensik]]

[[OS Fingerprinting]]

[[OSINT-Werkzeug]]

=== P ===
[[Partition]]

[[P2P (Peer-to-Peer) Software / Netzwerke]]

[[Post-Mortem-Analyse]]

[[Prozess der Mobiltelefon Forensik]]

[[Prüfsumme]]

[[PCMCIA]]

[[Penetrationstest]]

=== R ===
[[Rainbow Table]]

[[Remote Access Trojaner (RAT)]]

[[Reverse Engineering]]

=== S ===
[[SAP-Modell]]

[[Sandbox]]

[[Security Information and Event Management (SIEM)]]

[[Skimming]]

[[Sniffing]]

[[SQL Injection]]

[[Sealbag]]

[[SpiderFoot]]

=== T ===
[[Tatort]]

[[Timeline]]

[[Trugspur]]

=== U ===
[[Unallocated Data (Nicht zugeordnete Daten)]]

=== V ===
[[Verfügbarkeit]]

[[Vertraulichkeit]]

[[Video-Forensik]]

=== W ===
[[W-Fragen]]

[[Why-Because-Analyse (WBA)]]

[[Wiping]]

[[Write Blocker]]

=== Z ===
[[Zeit]]

== Interessante Links ==

Tsurugi Forensik-Linux https://tsurugi-linux.org

== Fernstudiengänge an der Hochschule Wismar (berufsbegleitend) ==

[https://fiw.hs-wismar.de/bereiche/eui/studiengaenge/it-forensik-bachelor-fernstudium-beng/ IT-Forensik, Bachelor]

[https://fiw.hs-wismar.de/bereiche/eui/studiengaenge/it-sicherheit-und-forensik-master-fernstudium-meng/ IT-Sicherheit und Forensik, Master]

== Starthilfen ==

* Hilfe zur Benutzung und Konfiguration der Wiki-Software finden Sie im [https://www.mediawiki.org/wiki/Special:MyLanguage/Help:Contents Benutzerhandbuch]
* [https://www.mediawiki.org/wiki/Special:MyLanguage/Manual:Configuration_settings Liste der Konfigurationsvariablen]
* [https://www.mediawiki.org/wiki/Special:MyLanguage/Manual:FAQ MediaWiki-FAQ]
* [https://lists.wikimedia.org/mailman/listinfo/mediawiki-announce Mailingliste neuer MediaWiki-Versionen]
* [https://www.mediawiki.org/wiki/Special:MyLanguage/Localisation#Translation_resources Übersetze MediaWiki für deine Sprache]
* [https://www.mediawiki.org/wiki/Special:MyLanguage/Manual:Combating_spam Erfahre, wie du Spam auf deinem Wiki bekämpfen kannst]

Imaging

2019-07-25T19:44:24Z

St181648: Initiale Fertigstellung des Artikels

== Imaging ==

Ein forensisches Image (forensische Kopie) ist eine bitweise (sektorweise) direkte Kopie eines physischen Speichergeräts, einschließlich aller Dateien, Ordner und nicht zugeordneten, freien und freien Speicherplätze. Forensic-Images enthalten nicht nur alle Dateien, die für das Betriebssystem sichtbar sind, sondern auch gelöschte Dateien und Teile von Dateien, die im freien Speicherplatz verbleiben.
[[Datei:Speicherbelegung auf dem Originaldatenträger.png|mini|Abbildung 1: Speicherbelegung auf dem Originaldatenträger]]

Das forensische Image ist ein Element der Computerforensik, die Anwendung von Computeruntersuchungs- und -analysetechniken, um Beweise zu sammeln, die für die Vorlage vor einem Gericht geeignet sind.

Nicht jede Imaging- und Backup-Software erstellt forensische Images. Die Windows-Sicherung erstellt beispielsweise Imagesicherungen, die keine vollständigen Kopien des physischen Geräts sind. Forensische Images können mit einer speziellen forensischen Software erstellt werden.

In Fällen von Cyberkriminalität können zusätzliche Beweise auf Datenträgern entdeckt werden, die nicht über das Betriebssystem ersichtlich sind, und zwar in Form von belastenden Daten, die gelöscht wurden, um eine Entdeckung zu verhindern. Sofern diese Daten nicht sicher gelöscht und überschrieben worden sind, können sie häufig mit Forensik- oder Dateiwiederherstellungssoftware rekonstruiert werden.

Durch das Erstellen und Sichern eines forensischen Abbilds wird verhindert, dass Daten aufgrund von ursprünglichen Laufwerksfehlern verloren gehen. Der Verlust von Daten als Beweismittel kann sich nachteilig auf Rechtsfälle auswirken. Forensische Imagen kann im Allgemeinen auch den Verlust kritischer Dateien verhindern.
[[Datei:Speicherbelegung auf Backupmedium.png|mini|Abbildung 2: Speicherbelegung auf dem Backupmedium]]

=== Imaging versus Backup ===
Das Imaging ist nicht mit der Erstellung eines Backups zu verwechseln.
Während ein Backup (auch Dateisicherung genannt) eine Sicherung von Dateien und Ordnern erstellt erzeugt das Imaging eine Bit genau Kopie des Ausgangsspeichers inklusive aller evtl. aktuell gar nicht benutzter Bereiche.
Abbildung 1 zeigt symbolisch einen 100 Einheiten großen Datenspeicher mit vier Dateien. Diese werden durch die Farben rot, lila, blau und grün symbolisiert. Die Zahlen in den Feldern geben an in welcher Reihenfolge die einzelnen Blöcke einer Datei gelesen werden müssen. Die grauen Felder sollen bereits benutzte aber aktuell nicht mehr in Verwendung befindliche Blöcke darstellen. Weiße Felder sind bisher noch nie beschriebene Blöcke.

Erzeugt man von diesem Speicher ein Backup, so werden die Dateien sequentiell ausgelesen und Block für Block, Datei für Datei hintereinander gespeichert. Nicht mehr in Benutzung befindliche Blöcke werden bei der Datensicherung nicht betrachtet. Das Ergebnis der Datensicherung ist in Abbildung 2 symbolisch dargestellt:

Erzeugt man von dem Originaldatenträger jedoch ein Image, so erhält man einen neuen Datenspeicher oder eine Datei in welcher die Informationen wie in Abbildung 3 vorliegen.
[[Datei:Speicherbelegung auf dem Originaldatenträger.png|mini|Abbildung 3: Speicherbelegung auf dem Imagedatenträger]]

=== Software zum Erstellen eines Images ===
Die gängigen Betriebssysteme bringen bereits Boardmittel zum Erstellen von Images mit. Sie heißen unter Windows „Systemabbild erstellen“, unter macOS „Festplattendienstprogramm“ und unter Linux „dd“ (in den coreutils enthalten).
Allerdings genügen diese Boardmittel den Anforderungen an das Erstellen von forensischen Abbildern nicht. Veränderungen an den Images nach der Erzeugung können nicht festgestellt werden.

Um diese Anforderung an die „Unverfälschbarkeit“ eines Speicherabbildes zu erfüllen setzt das „forensische Imaging“ auf kryptographische Sicherung des Speicherabbildes. Ein Beispiel eines solchen Tools ist z.B. [https://sourceforge.net/projects/dcfldd/ dcfldd], welches nach einer einstellbaren Anzahl geschriebener Bytes einen Hashwert über diese Bytes erstellt und ebenfalls speichert.

Um jegliche Veränderungen an einem Speicher durch das Erzeugen eines Images zu vermeiden, sollte – wenn dies technisch möglich ist - ein Writeblocker verwendet werden. Dieser verhindert, dass versehentlich schreibend auf den auszulesenden Speicher zugegriffen wird.

Datei:Speicherbelegung auf Backupmedium.png

2019-07-25T19:34:44Z

St181648:

Speicherbelegung auf Backupmedium

Datei:Speicherbelegung auf dem Originaldatenträger.png

2019-07-25T19:30:28Z

St181648:

Speicherbelegung auf dem Originaldatenträger

Imaging

2019-07-25T11:50:53Z

St181648: Initiale Erstellung

Hauptseite

2019-07-25T11:36:54Z

St181648: /* I */

Willkommen beim IT-Forensik-Wiki der Hochschule Wismar. Hier werden wesentliche Begriffe zum Thema „Digitale Forensik“ erläutert.

== Literatur ==

[[Abschlussarbeiten im Bachelor Studiengang "IT-Forensik"]]

[[Abschlussarbeiten im Master Studiengang "IT-Sicherheit und Forensik"]]

[[Projektarbeiten]]

[[Forensik in DB]]

== Stichworte IT-Forensik ==
=== A ===
[[Anti-Forensik]]

[[Asset Relocation]]

=== B ===
[[BSI-Vorgehensmodell]]

[[Betriebssystem]]

=== C ===
[[Cache]]

[[CERT-Taxonomie]]

[[Chip-Off]]

[[Cross Site Scripting (XSS)]]

=== D ===
[[Darknet]]

[[Datenanalyse]]

[[Datenbankforensik]]

[[Datenvernichtung]]

[[Datensammlung]]

[[DDL & DML]]

[[Digitale Forensik]]

[[Dokumentation]]

[[Dual Use Software]]

=== E ===
[[Ermittlungsprozess]] 

[[Exploit]]

=== F ===
[[File Carving]]

[[Flüchtige Daten]]

[[Forensischer Koffer]]

[[Fragmentierung]]

=== G ===
[[Geotag]]

[[GeoIP-Datenbank]]

[[Gerichtsfestigkeit]]

=== H ===
[[Hilfstatort]]

[[Hardware-Sicherheitsmodul]]

[[Hashcat]]

[[Honeypot]]

=== I ===
[[Imaging]]

[[Incident-Response-Team]]

[[Integrität]]

[[IT-Forensik]]

=== J ===
[[Jailbreak]]

=== K ===
[[Kausalität in der Forensik]]

[[Korrelation]]

=== L ===
[[Live-Forensik]]

[[Log-File]]

=== M ===
[[Metadaten]]

[[Mobiltelefon-Forensik]]

=== N ===
[[Netflow]]

[[Never-Touch-Original]]

=== O ===
[[Online-Forensik]]

[[Offline-Forensik]]

[[OS Fingerprinting]]

[[OSINT-Werkzeug]]

=== P ===
[[Partition]]

[[P2P (Peer-to-Peer) Software / Netzwerke]]

[[Post-Mortem-Analyse]]

[[Prozess der Mobiltelefon Forensik]]

[[Prüfsumme]]

[[PCMCIA]]

[[Penetrationstest]]

=== R ===
[[Rainbow Table]]

[[Remote Access Trojaner (RAT)]]

[[Reverse Engineering]]

=== S ===
[[SAP-Modell]]

[[Sandbox]]

[[Security Information and Event Management (SIEM)]]

[[Skimming]]

[[Sniffing]]

[[SQL Injection]]

[[Sealbag]]

[[SpiderFoot]]

=== T ===
[[Tatort]]

[[Timeline]]

[[Trugspur]]

=== U ===
[[Unallocated Data (Nicht zugeordnete Daten)]]

=== V ===
[[Verfügbarkeit]]

[[Vertraulichkeit]]

[[Video-Forensik]]

=== W ===
[[W-Fragen]]

[[Wiping]]

[[Write Blocker]]

=== Z ===
[[Zeit]]

== Interessante Links ==

Tsurugi Forensik-Linux https://tsurugi-linux.org

== Fernstudiengänge an der Hochschule Wismar (berufsbegleitend) ==

[https://fiw.hs-wismar.de/bereiche/eui/studiengaenge/it-forensik-bachelor-fernstudium-beng/ IT-Forensik, Bachelor]

[https://fiw.hs-wismar.de/bereiche/eui/studiengaenge/it-sicherheit-und-forensik-master-fernstudium-meng/ IT-Sicherheit und Forensik, Master]

== Starthilfen ==

* Hilfe zur Benutzung und Konfiguration der Wiki-Software finden Sie im [https://www.mediawiki.org/wiki/Special:MyLanguage/Help:Contents Benutzerhandbuch]
* [https://www.mediawiki.org/wiki/Special:MyLanguage/Manual:Configuration_settings Liste der Konfigurationsvariablen]
* [https://www.mediawiki.org/wiki/Special:MyLanguage/Manual:FAQ MediaWiki-FAQ]
* [https://lists.wikimedia.org/mailman/listinfo/mediawiki-announce Mailingliste neuer MediaWiki-Versionen]
* [https://www.mediawiki.org/wiki/Special:MyLanguage/Localisation#Translation_resources Übersetze MediaWiki für deine Sprache]
* [https://www.mediawiki.org/wiki/Special:MyLanguage/Manual:Combating_spam Erfahre, wie du Spam auf deinem Wiki bekämpfen kannst]