IT-Forensik Wiki - Benutzerbeiträge [de]

Hauptseite

2021-07-29T09:22:05Z

St200770: Hinzufügen von internen Links.

Willkommen beim IT-Forensik-Wiki der Hochschule Wismar. Hier werden wesentliche Begriffe zum Thema „Digitale Forensik“ erläutert.

== Literatur ==

[[Projektarbeiten]]

[[Abschlussarbeiten im Bachelor Studiengang "IT-Forensik"]]

[[Abschlussarbeiten im Master Studiengang "IT-Sicherheit und Forensik"]]

[[Forensik in DB]]

Michael Mundt, Maximilian Vogelei (Absolventen des Master-Fernstudienganges "IT-Sicherheit und Forensik"): IPython: Implementing distributed Processes of Computer Forensics: Combining Methods from Modern Data Science with those of Computer Forensics. Februar 2021, ISBN-13 : 979-8702298122 ([https://www.amazon.de/IPython-Implementing-distributed-Processes-Forensics/dp/B08WJTQF4G/ref=sr_1_6?__mk_de_DE=%C3%85M%C3%85%C5%BD%C3%95%C3%91&dchild=1&keywords=IPython&qid=1616347276&sr=8-6 hier zu erwerben])

== Stichworte IT-Forensik ==
=== A ===
[[ACPO]]

[[Aggregation]]

[[Angriffe auf Forensik-Software]]

[[Anti-Forensik]]

[[Anwendungsarchitektur]]

[[Arbeitsspeicher]]

[[Asset Relocation]]

[[APT]]

=== B ===
[[BBED]]

[[Betriebssystem]]

[[Bitlocker]]

[[BlockchainForensik|Blockchain Forensik]]

[[Blockchainbasierte Datenbank]]

[[Broken Authentication]]

[[Brute Force]]

[[BSI-Vorgehensmodell]]

[[Bundesdatenschutzgesetz (BDSG)]]

[[BurpSuite]]

=== C ===
[[Cache]]

[[Canarytoken]]

[[CERT-Taxonomie]]

[[Chain of Custody]]

[[Cheat Engine]]

[[Checkliste IT-Forensik für Unternehmen]]

[[Chip-Off]]

[[Clickjacking]]

[[Cold Backup]]

[[Command-and-Control-Server]]

[[Computer Sabotage]]

[[Containervirtualisierung]]

[[Cookies]]

[[Cross Site Scripting (XSS)]]

[[CryptoLocker]]

[[Cybercrime]]

=== D ===
[[Darknet]]

[[Dateiheader]]

[[Datenanalyse]]

[[Datenbank Firewall]]

[[Datenbankausführungsplan]]

[[Datenbankforensik]]

[[Datenbankmanagementsystem]]

[[Datenreduktion]]

[[Datensammlung]]

[[Datenschutz in der IT-Forensik]]

[[Datenvernichtung]]

[[Datenverschleierung]]

[[DDL & DML]]

[[Deep Packet Inspection]]

[[Deep Web]]

[[Diff]]

[[Digitale Artefakte]]

[[Digitale Forensik]]

[[DLL (.dll Dateien)]]

[[Dokumentation]]

[[DoS & DDoS]]

[[Doxing]]

[[.DS-Store]]

[[Dual Use Software]]

[[Dynamische Analyse]]

=== E ===
[[eDiscovery]]

[[Egg Hunting]]

[[Ermittlungsprozess]]

[[Error Based SQL Injection]]

[[Exchangeable Image File Format (EXIF)]]

[[Exploit]]

=== F ===
[[File Carving]]

[[Fingerprinting (Browser)]]

[[Fingerprinting (Betriebssystem)]]

[[Flüchtige Daten]]

[[Footprinting]]

[[Forensik]]

[[Forensic Data Mining]]

[[Forensic Readiness]]

[[Forensische Duplikation]]

[[Forensischer Koffer]]

[[Fragmentierung]]

[[Fuzzing]]

=== G ===
[[Geotag]]

[[GeoIP-Datenbank]]

[[Gerichtsfestigkeit]]

[[Google Hacking]]

=== H ===
[[Hardware-Sicherheitsmodul]]

[[Hashcat]]

[[Hashwert]]

[[Hilfstatort]]

[[Honeypot]]

=== I ===
[[ICMP - Internet Control Message Protocol]]

[[Identitätsanbieter]]

[[IDS - Intrusion Detection System]]

[[Image]]

[[Imaging]]

[[IMSI-Catcher]]

[[Incident-Response-Team]]

[[Indicator of Compromise]]

[[Integrität]]

[[IT-Forensik]]

[[IPS - Intrusion Prevention System]]

=== J ===
[[Jailbreak]]

[[Journaling-Dateisystem]]

[[Jump Lists]]

=== K ===

[[Installieren eines Live-Kali-Linux-System auf USB-Stick|Kali-Linux-Live-System auf USB-Stick installieren]]

[[Kausalität in der Forensik]]

[[Kerberos]]

[[Korrelation]]

=== L ===
[[Lateral Movement]]

[[LDAP-Injection]]

[[Litigation Hold]]

[[Live-Forensik]]

[[Local file inclusion]]

[[Locard'sche Regel]]

[[Lockheed Martin Cyber Kill Chain]]

[[Log-File]]

[[LogMining]]

=== M ===
[[Magnet Axiom]]

[[Memory Forensics]]

[[Metadaten]]

[[Mobiltelefon-Forensik]]

=== N ===
[[Netcat]]

[[Netflow]]

[[Never-Touch-Original]]

[[Nmap]]

[[NTFS]]

=== O ===
[[Online-Forensik]]

[[Offline-Forensik]]

[[Ontologie & Semantik]]

[[Oracle DB]] (Forensische Aspekte)

[[Order of Volatility]]

[[OSINT-Werkzeug]]

=== P ===
[[Pass-the-Hash-Attack]]

[[Payload]]

[[Partition]]

[[PCMCIA]]

[[Penetrationstest]]

[[Post-Mortem-Analyse]]

[[Prepared Statement]]

[[Prozess der Mobiltelefon Forensik]]

[[Prüfsumme]]

[[P2P (Peer-to-Peer) Software / Netzwerke]]

=== Q ===

[[Query Log]]

=== R ===

[[Radare 2 - Reverse Engineering Framework]]

[[Rainbow Table]]

[[Redo Logs]]

[[Registry]]

[[Remote Access Trojaner (RAT)]]

[[Replay Attack]]

[[Reverse Engineering]]

[[Rogue Access Point & Evil Twin]]

[[Rootkit]]

=== S ===
[[SAP-Modell]]

[[Sandbox]]

[[Security Information and Event Management (SIEM)]]

[[Seitenkanalattacke]]

[[Semantik]]

[[ShimCache]]

[[Sigma]]

[[Skimming]]

[[Skript-Kiddie]]

[[Slack Space]]

[[Smishing]]

[[Statische Analyse]]

[[Sniffing]]

[[Sealbag]]

[[SpiderFoot]]

[[Spuren]]

[[SQL Injection]]

[[SQLite Datenbanken auslesen mittels Python]]

[[Sqlmap]]

[[Steganographie]]

=== T ===
[[Tatort]]

[[Team Win Recovery Project]]

[[Threat Intelligence]]

[[Thunderspy]]

[[Timeline]]

[[Triage]]

[[Trugspur]]

[[Tsurugi-Linux]]

[[Totmannschalter]]

=== U ===
[[Unallocated Data (Nicht zugeordnete Daten)]]

=== V ===
[[Verfügbarkeit]]

[[Vertraulichkeit]]

[[Vertraulichkeit in Datenbanksystemen]]

[[Volume Shadow Copies]]

[[Vorsorge für die IT-Forensik]]

[[Video-Forensik]]

=== W ===
[[W-Fragen]]

[[Watering-Holes]]

[[Web-Application-Firewall]]

[[Whitelisting]]

[[Why-Because-Analyse (WBA)]]

[[Windows-RAM auslesen]]

[[Windows-Prefetch]]

[[Wiping]]

[[Wireshark]]

[[Write Blocker]]

[[Wörterbuchangriff]]

=== X ===
[[Xmount]]

=== Z ===
[[Zeit]]

[[Zenmap]]

[[Zero-Day-Exploit]]

[[Ziele einer forensischen Untersuchung nach A. Geschonneck]]

== Fernstudiengänge an der Hochschule Wismar (berufsbegleitend) ==

[https://www.wings.hs-wismar.de/de/fernstudium_bachelor/it_forensik IT-Forensik, Bachelor]

[https://www.wings.hs-wismar.de/de/fernstudium_master/it_sicherheit_und_forensik/ IT-Sicherheit und Forensik, Master]

== Starthilfen ==

* Hilfe zur Benutzung und Konfiguration der Wiki-Software finden Sie im [https://www.mediawiki.org/wiki/Special:MyLanguage/Help:Contents Benutzerhandbuch]
* [https://www.mediawiki.org/wiki/Special:MyLanguage/Manual:Configuration_settings Liste der Konfigurationsvariablen]
* [https://www.mediawiki.org/wiki/Special:MyLanguage/Manual:FAQ MediaWiki-FAQ]
* [https://lists.wikimedia.org/mailman/listinfo/mediawiki-announce Mailingliste neuer MediaWiki-Versionen]
* [https://www.mediawiki.org/wiki/Special:MyLanguage/Localisation#Translation_resources Übersetze MediaWiki für deine Sprache]
* [https://www.mediawiki.org/wiki/Special:MyLanguage/Manual:Combating_spam Erfahre, wie du Spam auf deinem Wiki bekämpfen kannst]

Replay-Attack

2021-07-29T09:10:34Z

St200770: Zusammenführung zweier identischer Seiten. Weiterleitung des Duplikats auf das Original.

#REDIRECT [[Replay Attack]]

Zero-Day-Exploit

2021-07-29T09:06:48Z

St200770: Hinzufügen von internen Links.

== Zero-Day-Exploit ==
Als Zero-Day-Exploit wird ein [[Exploit]] bezeichnet, der eingesetzt wird, um eine Schwachstelle auszunutzen, bevor die Sicherheitslücke vom Hersteller entdeckt und geschlossen wurde. Hersteller haben dadurch keine keine Zeit (null Tage – zero day) um eine Sicherheitsücke zu schließen, bevor eine Gefahr entsteht.
Zero-Day-Exploits können sowohl in Soft- als auch Hardware auftreten.

Mit Hilfe eines Zero-Day-Exploits lässt sich beispielsweise Schadsoftware verbreiten, um ein anfälliges System zu sabotieren oder auf dem anfälligen System Informationen abzugreifen.

Zero-Day-Angriffe sind aufgrund des zeitlichen Vorsprungs der Angreifer und somit der Unkenntnis der Hersteller besonders gefährlich. Ein Zero-Day-Exploit kann frühestens nach einem ersten Angriff erkannt werden. Laut einer [https://www.rand.org/pubs/research_reports/RR1751.html Analyse des amerikanischen Think Tank RAND Corportation] vergehen zwischen Entstehung eines Zero-Day-Exploits und dessen Behebung im Mittel 7 Jahre.

== Ablauf eines Zero-Day-Angriffs ==
# Ein Hersteller programmiert Software die versehentlich oder gar wissentlich eine Schwachstelle enthält, über die Angreifer Informationen abgreifen oder das Systeme manipulieren können.
# Ein Angreifer findet diese Sicherheitslücke vor dem Hersteller oder nutzt diese bevor sie geschlossen wird.
# Der Hersteller wird auf die Sicherheitslücke aufmerksam (bspw. durch eine Schadensmeldung) und schreibt einen Patch, um die Sicherheitslücke zu schließen.

== Schutzmöglichkeiten und Gegenmaßnahmen ==
Da die Schwachstelle, die ein Zero-Day-Exploit ausnutzt im Vorfeld nicht bekannt ist, ist es sehr schwer entsprechende Systeme wirksam zu schützen.
Entsprechende Angriffe lassen sich jedoch durch [[IDS - Intrusion Detection System|Intrusion Detection Systeme (IDS)]] und Intrusion Prevention Systeme (IPS) minimieren bzw. aufspüren, indem die zuvor genannten Systeme auf ungewöhnliche Kommunikationsmuster reagiert und Administratoren informiert oder direkt automatisiert Gegenmaßnahmen durchführen.

Sicherheitsexperten versuchen vorbeugend entsprechende Sicherheitslücken aufzuspüren und die Hersteller entsprechend zu informieren.

== Beispiele für Zero-Day-Exploits ==
Die vermutlich durch hohe Medienpräsenz bekanntesten Hardware Zero-Day-Sicherheitslücken der vergangenen Jahre sind die in Form eines Designfehlers in Prozessoren entstandenen Sicherheitslücken [https://de.wikipedia.org/wiki/Meltdown_(Sicherheitsl%C3%BCcke) Meltdown] (CVE-2017-5754) und [https://de.wikipedia.org/wiki/Spectre_(Sicherheitsl%C3%BCcke) Spectre] (CVE-2017-5753 und CVE-2017-5715).

Eine der vermutlich schwerwiegendsten Zero-Day-Sicherheitslücken der vergangenen Jahre ist die im Dezember 2019 in den [https://support.citrix.com/article/CTX267027 Citrix Produkten „Citrix Application Delivery Controller“, Gateway und SD-WAN WANOP bekannt gewordene Sicherheitslücke] mit der Kennung CVE-2019-19781. Potentiell betraf diese Sicherheitslücke 80.000 Unternehmen. Der Hersteller Citrix hat über einen Monat für die Veröffentlichung eines Sicherheitsupdates zum Schließen der Sicherheitslücke auf sich warten lassen [https://www.heise.de/security/meldung/Gefaehrliche-Sicherheitsluecke-Alle-Updates-fuer-Citrix-Schwachstelle-erschienen-4646177.html (vgl. Heise)].

Das Unternehmen Google pflegt im Rahmen des „Project Zero“ eine 120 Einträge lange [https://docs.google.com/spreadsheets/d/1lkNJ0uQwbeC1ZTRrxdtuPLCIl7mlUreoKfSIgajnSyY/view#gid=0 „0day “In the Wild““]-Liste die die größten seit dem Jahre 2014 bekannt gewordenen Zero-Day-Sicherheitslücken der Hersteller Adobe, Apple, Cisco, Facebook, Ghostscript, Google, IBM, Linux, Microsoft, Mozilla, Oracle und Trend Micro enthält.

== Bezug zu Datenbanken ==
Da Zero-Day-Exploits grundsätzlich in jeglicher Software auftreten können sind natürlich auch Datenbanksysteme anfällig für Zero-Day Exploits. Dabei existieren sowohl Zero-Day-Exploits für die Datenbanksysteme selbst als auch für entsprechende Web-Anwendungen, die auf Datenbanken zurückgreifen wodurch beispielsweise SQL-Injektion-Angriffe möglich sind.

Grade in den beliebten und somit weit verbreiteten Produkten WordPress und Joomla werden immer wieder Zero-Day-Sicherheitslücken gefunden die Anfälligkeiten für SQL-Injektion ausnutzen.

== Weblinks ==
# [https://de.wikipedia.org/wiki/Exploit de.wikipedia.org - Exploit]
# [https://www.ionos.de/digitalguide/server/sicherheit/zero-day-exploit/ ionos.de - Zero-Day-Exploit]
# [https://www.rand.org/pubs/research_reports/RR1751.html rand.org - Zero Days, Thousands of Nights]
# [https://de.wikipedia.org/wiki/Meltdown_(Sicherheitslücke) de.wikipedia.org - Meltdown_(Sicherheitslücke)]
# [https://de.wikipedia.org/wiki/Spectre_(Sicherheitslücke) de.wikipedia.org - Spectre_(Sicherheitslücke)]
# [https://www.heise.de/security/meldung/Gefaehrliche-Sicherheitsluecke-Alle-Updates-fuer-Citrix-Schwachstelle-erschienen-4646177.html heise.de - Gefährliche Sicherheitslücke: Alle Updates für Citrix-Schwachstelle erschienen]
# [https://docs.google.com/spreadsheets/d/1lkNJ0uQwbeC1ZTRrxdtuPLCIl7mlUreoKfSIgajnSyY/view#gid=0 docs.google.com - 0day "In the Wild"]

Hauptseite

2021-07-29T08:59:23Z

St200770: Hinzufügen des Links auf den Artikel .DS-Store

Willkommen beim IT-Forensik-Wiki der Hochschule Wismar. Hier werden wesentliche Begriffe zum Thema „Digitale Forensik“ erläutert.

== Literatur ==

[[Projektarbeiten]]

[[Abschlussarbeiten im Bachelor Studiengang "IT-Forensik"]]

[[Abschlussarbeiten im Master Studiengang "IT-Sicherheit und Forensik"]]

[[Forensik in DB]]

Michael Mundt, Maximilian Vogelei (Absolventen des Master-Fernstudienganges "IT-Sicherheit und Forensik"): IPython: Implementing distributed Processes of Computer Forensics: Combining Methods from Modern Data Science with those of Computer Forensics. Februar 2021, ISBN-13 : 979-8702298122 ([https://www.amazon.de/IPython-Implementing-distributed-Processes-Forensics/dp/B08WJTQF4G/ref=sr_1_6?__mk_de_DE=%C3%85M%C3%85%C5%BD%C3%95%C3%91&dchild=1&keywords=IPython&qid=1616347276&sr=8-6 hier zu erwerben])

== Stichworte IT-Forensik ==
=== A ===
[[ACPO]]

[[Aggregation]]

[[Angriffe auf Forensik-Software]]

[[Anti-Forensik]]

[[Anwendungsarchitektur]]

[[Arbeitsspeicher]]

[[Asset Relocation]]

[[APT]]

=== B ===
[[BBED]]

[[Betriebssystem]]

[[Bitlocker]]

[[BlockchainForensik|Blockchain Forensik]]

[[Blockchainbasierte Datenbank]]

[[Broken Authentication]]

[[Brute Force]]

[[BSI-Vorgehensmodell]]

[[Bundesdatenschutzgesetz (BDSG)]]

[[BurpSuite]]

=== C ===
[[Cache]]

[[Canarytoken]]

[[CERT-Taxonomie]]

[[Chain of Custody]]

[[Cheat Engine]]

[[Checkliste IT-Forensik für Unternehmen]]

[[Chip-Off]]

[[Clickjacking]]

[[Cold Backup]]

[[Command-and-Control-Server]]

[[Computer Sabotage]]

[[Containervirtualisierung]]

[[Cookies]]

[[Cross Site Scripting (XSS)]]

[[CryptoLocker]]

[[Cybercrime]]

=== D ===
[[Darknet]]

[[Dateiheader]]

[[Datenanalyse]]

[[Datenbank Firewall]]

[[Datenbankausführungsplan]]

[[Datenbankforensik]]

[[Datenbankmanagementsystem]]

[[Datenreduktion]]

[[Datensammlung]]

[[Datenschutz in der IT-Forensik]]

[[Datenvernichtung]]

[[Datenverschleierung]]

[[DDL & DML]]

[[Deep Packet Inspection]]

[[Deep Web]]

[[Diff]]

[[Digitale Artefakte]]

[[Digitale Forensik]]

[[DLL (.dll Dateien)]]

[[Dokumentation]]

[[DoS & DDoS]]

[[Doxing]]

[[.DS-Store]]

[[Dual Use Software]]

[[Dynamische Analyse]]

=== E ===
[[eDiscovery]]

[[Egg Hunting]]

[[Ermittlungsprozess]]

[[Error Based SQL Injection]]

[[Exchangeable Image File Format (EXIF)]]

[[Exploit]]

=== F ===
[[File Carving]]

[[Fingerprinting (Browser)]]

[[Fingerprinting (Betriebssystem)]]

[[Flüchtige Daten]]

[[Footprinting]]

[[Forensik]]

[[Forensic Data Mining]]

[[Forensic Readiness]]

[[Forensische Duplikation]]

[[Forensischer Koffer]]

[[Fragmentierung]]

[[Fuzzing]]

=== G ===
[[Geotag]]

[[GeoIP-Datenbank]]

[[Gerichtsfestigkeit]]

[[Google Hacking]]

=== H ===
[[Hardware-Sicherheitsmodul]]

[[Hashcat]]

[[Hashwert]]

[[Hilfstatort]]

[[Honeypot]]

=== I ===
[[ICMP - Internet Control Message Protocol]]

[[IDS - Intrusion Detection System]]

[[Image]]

[[Imaging]]

[[IMSI-Catcher]]

[[Incident-Response-Team]]

[[Indicator of Compromise]]

[[Integrität]]

[[IT-Forensik]]

[[IPS - Intrusion Prevention System]]

=== J ===
[[Jailbreak]]

[[Journaling-Dateisystem]]

[[Jump Lists]]

=== K ===

[[Installieren eines Live-Kali-Linux-System auf USB-Stick]]

[[Kausalität in der Forensik]]

[[Korrelation]]

=== L ===
[[Lateral Movement]]

[[LDAP-Injection]]

[[Litigation Hold]]

[[Live-Forensik]]

[[Local file inclusion]]

[[Locard'sche Regel]]

[[Lockheed Martin Cyber Kill Chain]]

[[Log-File]]

[[LogMining]]

=== M ===
[[Magnet Axiom]]

[[Memory Forensics]]

[[Metadaten]]

[[Mobiltelefon-Forensik]]

=== N ===
[[Netcat]]

[[Netflow]]

[[Never-Touch-Original]]

[[Nmap]]

[[NTFS]]

=== O ===
[[Online-Forensik]]

[[Offline-Forensik]]

[[Ontologie & Semantik]]

[[Oracle DB]] (Forensische Aspekte)

[[Order of Volatility]]

[[OSINT-Werkzeug]]

=== P ===
[[Pass-the-Hash-Attack]]

[[Payload]]

[[Partition]]

[[PCMCIA]]

[[Penetrationstest]]

[[Post-Mortem-Analyse]]

[[Prepared Statement]]

[[Prozess der Mobiltelefon Forensik]]

[[Prüfsumme]]

[[P2P (Peer-to-Peer) Software / Netzwerke]]

=== Q ===

[[Query Log]]

=== R ===

[[Radare 2 - Reverse Engineering Framework]]

[[Rainbow Table]]

[[Redo Logs]]

[[Registry]]

[[Remote Access Trojaner (RAT)]]

[[Replay Attack]]

[[Reverse Engineering]]

[[Rogue Access Point & Evil Twin]]

[[Rootkit]]

=== S ===
[[SAP-Modell]]

[[Sandbox]]

[[Security Information and Event Management (SIEM)]]

[[Seitenkanalattacke]]

[[Semantik]]

[[ShimCache]]

[[Sigma]]

[[Skimming]]

[[Skript-Kiddie]]

[[Slack Space]]

[[Smishing]]

[[Statische Analyse]]

[[Sniffing]]

[[Sealbag]]

[[SpiderFoot]]

[[Spuren]]

[[SQL Injection]]

[[SQLite Datenbanken auslesen mittels Python]]

[[Sqlmap]]

[[Steganographie]]

=== T ===
[[Tatort]]

[[Team Win Recovery Project]]

[[Threat Intelligence]]

[[Timeline]]

[[Triage]]

[[Trugspur]]

[[Tsurugi-Linux]]

[[Totmannschalter]]

=== U ===
[[Unallocated Data (Nicht zugeordnete Daten)]]

=== V ===
[[Verfügbarkeit]]

[[Vertraulichkeit]]

[[Vertraulichkeit in Datenbanksystemen]]

[[Volume Shadow Copies]]

[[Vorsorge für die IT-Forensik]]

[[Video-Forensik]]

=== W ===
[[W-Fragen]]

[[Watering-Holes]]

[[Web-Application-Firewall]]

[[Whitelisting]]

[[Why-Because-Analyse (WBA)]]

[[Windows-RAM auslesen]]

[[Windows-Prefetch]]

[[Wiping]]

[[Wireshark]]

[[Write Blocker]]

[[Wörterbuchangriff]]

=== X ===
[[Xmount]]

=== Z ===
[[Zeit]]

[[Zenmap]]

[[Zero-Day-Exploit]]

[[Ziele einer forensischen Untersuchung nach A. Geschonneck]]

== Fernstudiengänge an der Hochschule Wismar (berufsbegleitend) ==

[https://www.wings.hs-wismar.de/de/fernstudium_bachelor/it_forensik IT-Forensik, Bachelor]

[https://www.wings.hs-wismar.de/de/fernstudium_master/it_sicherheit_und_forensik/ IT-Sicherheit und Forensik, Master]

== Starthilfen ==

* Hilfe zur Benutzung und Konfiguration der Wiki-Software finden Sie im [https://www.mediawiki.org/wiki/Special:MyLanguage/Help:Contents Benutzerhandbuch]
* [https://www.mediawiki.org/wiki/Special:MyLanguage/Manual:Configuration_settings Liste der Konfigurationsvariablen]
* [https://www.mediawiki.org/wiki/Special:MyLanguage/Manual:FAQ MediaWiki-FAQ]
* [https://lists.wikimedia.org/mailman/listinfo/mediawiki-announce Mailingliste neuer MediaWiki-Versionen]
* [https://www.mediawiki.org/wiki/Special:MyLanguage/Localisation#Translation_resources Übersetze MediaWiki für deine Sprache]
* [https://www.mediawiki.org/wiki/Special:MyLanguage/Manual:Combating_spam Erfahre, wie du Spam auf deinem Wiki bekämpfen kannst]

Aggregation

2021-07-29T08:49:44Z

St200770: Hinzufügen von internen Links. Aufbesserung der Quellenverweise.

== Definition Aggregation ==
Im Allgemeinen ist die Aggregation eine Gruppierung von Datensätzen, die in ihrem Inhalt Ähnlichkeiten aufweisen. Mit Ähnlichkeiten sind gleiche Eigenschaften gemeint, die jeweilige Daten besitzen. In verschiedenen Themengebieten kann die Aggregation einen anderen Zweck erfüllen, jedoch ist das Ergebnis immer die Gruppierung von Daten. 
 
Themengebiete, die betrachtet werden, sind: 
* Informatik
* [[Datenschutz in der IT-Forensik|Datenschutz]] (DSGVO)
* IT-Forensik 

== Aggregation in der Informatik ==
In der Informatik bezeichnet die Aggregation entweder die Verbindung zwischen Objekten bzw. Daten, oder die Auswertung von [[Metadaten]] aus einzelnen Daten, die gruppiert werden, um dann eine Aussage über die gesamte Gruppe zu erstellen.<ref>Wikipedia: Aggregation (Informatik), [online, 10,07.2020] https://de.wikipedia.org/wiki/Aggregation_(Informatik)</ref>

== Aggregation im Datenschutz (DSGVO) ==
Im Datenschutz (DSGVO) liegt das Augenmerk auf personenbezogenen Daten. Die Aggregation findet dabei Verwendung, um personenbezogene Daten zu pseudonymisieren oder anonymisieren. Dabei werden gleiche Eigenschaften aus den verschiedenen personenbezogenen Daten (Personen) in eine Gruppe zusammengefasst, und diese als Pseudonym für Daten verwendet, die es verhindern bzw. erschweren, auf einzelne personenbezogene Daten (Personen) zurückzuführen.<ref>DSGVO-Vorlagen: Aggregation (Datenschutz DSGVO), [online, 10.07.2020] https://dsgvo-vorlagen.de/glossar/aggregiert</ref><ref>Universität Oldenburg (10.07.2020): Aggregation (Datenschutz DSGVO), [online] https://uol.de/dism/dsm/grundlagen/pseudonymisierung-aggregation-und-anonymisierung</ref>

== Aggregation in der IT-Forensik ==
Die Aggregation in der [[IT-Forensik]] kann als Prozess bezeichnet werden, der damit beginnt, dass ein Ermittler bei einer forensischen Untersuchung Teile einer Datenmenge als interessant bewertet/definiert und diese für die darauffolgende Datenanalyse auswählt (Gruppierung). In der Datenanalyse wird diese Gruppe nach Ihrer Sichtung, Filterung und Relevanz bewertet. Dabei gibt es in der IT-Forensik weitere Aggregationsstufen, die die Auswahl vergröbern (um den Suchbereich auszudehnen, z.B. Gruppierung von Gruppen zu einer Obergruppe) oder verfeinern (um eine gestellte Hypothese des Analysten zu bestätigen/falsifizieren, z.B. verkleinern der bereits analysierten Gruppe durch Untergruppen) können.<ref>Pawlaszczyk (2017): Forensik in der digitalen Welt, Kap. 5.2 Aggregation (IT-Forensik)</ref><ref>Wang, L./Jajodia, S./Wijesekera, D. (2007): Preserving Privacy in On-Line Analytical Processing (OLAP), Kap. 2 Aggregation (IT-Forensik)</ref>

== Quellen ==

Forensische Duplikation

2021-07-29T08:34:33Z

St200770: Hinzufügen von internen Links.

Die forensische Duplikation beschreibt die beweis-sichere Anfertigung eines Datenträgerabbilds.

== Einleitung ==
Ein forensisches Duplikat ist eine 1:1 Kopie eines Datenträgers, an dem verschiedene Untersuchungsschritte mehrfach ausgeführt werden können, ohne die Originaldaten zu verändern. Die Arbeit an dem zu untersuchenden Image kann auch parallelisiert werden, das heißt es können mehrere Personen gleichzeitig an dem selben Image an unterschiedlichen Gesichtspunkten arbeiten.

Oberstes Gebot ist das [[Gerichtsfestigkeit|gerichtsverwertbare Arbeiten]], daher ist die Unveränderbarkeit des Dateninhalts am Original Image oder auch Master Image und dem Asservat von Bedeutung.

== Anforderungen an eine forensische Duplikation ==
* physische Kopie: Der gesamte Sektorinhalt aller Sektoren wird in eine Datei hineingeschrieben
* Fehlerbehandlung: Lesefehler müssen eindeutig erkannt und protokolliert werden und durch vorher festgelegte Füllmuster erstetzt werden
* Vollständigkeit des Abbildes: Reservierte Bereiche von Massenspeichern müssen sicher erkannt werden und für den Zeitpunkt der Abbilderstellung deaktiviert werden
* Unveränderbarkeit: Die Erstellung des Abbildes muss mit der Berechnung einer Checksumme abgeschlossen werden, um die Unveränderbarkeit nachweisen zu können (Integrität)

== Writeblocker ==
→ ''Hauptartikel [[Write Blocker|Writeblocker]]'' 
Damit sichergestellt werden kann, dass das zu sichernde Medium nicht verändert wird muss ein Writeblocker eingesetzt werden. Writeblocker filtern sämtliche Schreibzugriffe auf den Massenspeicher heraus und sind für alle gängigen Schnittstellen verfügbar. Es gibt auch Software-basierte Writeblocker.

== Ablauf in Kurzfassung: ==
# Identifikation der Datenträger, Auswahl geeigneter Werkzeuge zur Abbildgewinnung
# Durchführung der Gewinnung des phsysischen und vollständigen Abbilds
# Absicherung der Integrität und nachfolgende Verifikation mit dem Originaldatenträger

Forensischer Koffer

2021-07-29T08:24:09Z

St200770: Hinzufügen von internen Links.

Um eine forensische Untersuchung durchzuführen, wird mehr benötigt, als nur ein Laptop mit entsprechender Datensicherungssoftware und das notwendige Know-How. Es gibt eigene „forensische Koffer“, die mit diversen Utensilien ausgestattet sind, die bei keinem operativen Einsatz fehlen sollten. Dabei empfiehlt es sich, nach jedem Einsatz das verbrauchte Material direkt wieder aufzustocken, denn in Eile hat man nicht immer die Zeit, den Koffer auf Vollständigkeit zu prüfen. Welche Gegenstände keinesfalls in dem Koffer fehlen sollten, ist in der unteren Tabelle aufgelistet.

{| class="wikitable"
|-
| Kamera || Dient der [[Dokumentation]] der Umgebung und um den Ursprungszustand des zu untersuchenden Computers festzuhalten. Für die spätere Auswertung können detaillierte Informationen von Bedeutung sein, an die man sich möglicherweise kaum erinnert. Insbesondere dann, wenn es sich um verwirrende Kabelverbindungen handelt. Mithilfe von Bildmaterial lassen sich diese einfacher rekonstruieren.
|-
| Verpackungsmaterialien || Zum Schutz empfindlicher elektronischer Komponenten vor jeglicher Art von äußeren Einflüssen ist es wichtig, entsprechendes Verpackungsmaterial mitzuführen. Festplatten, Computer und Peripheriegeräte sind insbesondere vor Hitze durch Sonneneinstrahlung, Nässe, Schmutz und Staub sowie transportbedingten Erschütterungen zu schützen. Bei offenliegenden Platinen und Chips ist eine antistatische Verpackung unabdingbar.
|-
| Handschuhe || In erster Linie verhindert man mit dem Tragen von Handschuhen das Verbreiten der eigenen Fingerabdrücke auf den Komponenten und je nach Auftrag kann es notwendig sein, spurenschonend vorzugehen. Weiterhin sind Computergehäuse selten eine saubere Angelegenheit. Insbesondere die Kombination aus Staub und Zigarettenrauch erzeugt einen schmierigen Film auf den Komponenten, mit dem man ungern ungeschützt in Kontakt kommen möchte.
|-
| Taschenlampe inkl. Ersatzbatterien || Mit der zusätzlichen Lichtquelle verschafft man sich einen besseren Überblick im dunklen Computergehäuse. Besonders kleine Jumper, Steckverbindungen und Seriennummern sind mit einer Taschenlampe viel leichter zu erkennen.
|-
| Aufkleber und Umhängeschilder || Zur Kennzeichnung von Geräten und Kabelverbindungen. Es empfiehlt sich, die Komponenten zu nummerieren, um diese später eindeutig identifizieren und zuordnen zu können. Messer, Schere und Zange helfen dabei, die Aufkleber auf die richtige Größe zuzuschneiden und Kabelbinder zu lösen.
|-
| Schraubendreherset inkl. vollständigem Bitsatz || Unabdingbar zum Öffnen eines PC- oder Notebook-Gehäuses, zur Entnahme einer Festplatte oder zum Öffnen einer externen Festplatte.
|-
| [[Write Blocker|Schreibschutzadapter]] || Wird benötigt, sobald eine [[Forensische Duplikation|forensische Datensicherung]] erstellt werden soll. Er gewährleistet, dass keine Schreibzugriffe auf das zu sichernde Medium stattfinden. Entsprechende Anschlüsse für Festplatten aller Art sind dabei mitzuführen.
|-
| Festplattenkabel/-anschlüsse || Je nach Alter oder Bauweise des Rechners trifft man auf unterschiedliche Anschlüsse. Deshalb sollten Anschlüsse für SATA-, SAS-, IDE- und auch SCSI-Festplatten vorrätig sein, da all diese Anschlussarten noch immer zum Einsatz kommen und vorher unbekannt ist, welche Art von Festplatte in einem Computer verbaut ist.
|-
| Speichermedien || Speichermedien intern sowie extern mit Schnittstellen wie eSATA, USB, Firewire und auch LAN sind die Arbeitsgrundlage für jede Datensicherung. Irgendwo müssen die zu sichernden Daten ja hingeschrieben werden. Im Zweifel gilt: Lieber zu viel Speicher vorhalten als zu wenig.
|-
| Boot-DVDs und Software || Auf dem Laptop sollte bereits sämtliche Software, die man für eine forensische Untersuchung benötigt, installiert sein. Ebenso sollten Boot-DVDs, mit denen man auf das System zugreifen kann, nicht im Koffer fehlen. Insbesondere eignen sich dabei Boot-DVDs mit dem [[Betriebssystem]] Linux.
|-
| Formulare || Werden benötigt, sobald Abläufe und Vorgehensweisen dokumentiert werden müssen. In der Regel ist dies der Fall, wenn man mit Verfahren zu tun hat, die eine betriebliche oder gerichtliche Relevanz besitzen.
|-
| Kabel || Netzwerkkabel oder Crossover-Kabel kommen dann zum Einsatz, sobald man eigenständig in einem Netzwerk tätig werden will. Über ein Crossover-Kabel kann beispielsweise die Sicherung eines kompletten Datenträgers über das Netzwerk auf den eigenen Computer erfolgen.
|-
| Erdungs-/Anti-Statik-Armband || Verhindert, dass das eigene oder fremde technische Gerät beim Ein- und Ausbau durch sich entladende elektrostatische Aufladung beschädigt oder gar zerstört wird.
|-
| Funkuhr || Für eine sekundengenaue Dokumentation der erfolgten Maßnahmen und bei einer Live-Sicherung kann anhand einer Funkuhr die Abweichung der Systemzeit zur Echtzeit festgestellt werden.
|-
| Stift und Papier || Kann man immer gut gebrauchen, um sich schnell Notizen zu machen z.B. Seriennummern, Dokumentation der Maßnahmen, Zeichnen einer Netzplanskizze, etc.
|-
| Umzugskartons || Dienen dem Transport von Geräten und zugehörigen Beweismitteln, wenn eine Datensicherung außerhalb des Büros/Labors durchgeführt werden musste. Vorher ist stets unklar, wie viele Geräte vom Untersuchungsort ins Labor/Büro transportiert werden müssen.
|-
| WLAN-Sniffer/-Scanner || Zum Aufspüren kabelloser Netzwerkspeicher. Insbesondere dann, wenn eine Datensicherung außerhalb der eigenen Büros durchgeführt werden muss.
|-
| Büroklammer || Dient als universeller DVD-Fach-Öffner.
|-
| Mouse Jiggler || Ein Mouse Jiggler ist ein USB-Stöpsel, der dem PC eine bewegte Maus vorgaukelt. ... Sie verhindern PC-Schlaf auch während Präsentationen oder bei Messungen der Akkulaufzeit, wenn man die Einstellungen für die Energiesparfunktionen nicht verändern kann oder will. Im Kontext der IT-Forensik wird ein Mouse Jiggler genutzt um zu vermeiden, dass das Gerät in den Schlafmodus verfällt und somit ein Pin zum Entsperren benötigt wird.
|}

Mobiltelefon Forensik

2021-07-29T08:09:00Z

St200770: Zusammenführung zweier identischer Seiten. Weiterleitung des Duplikats auf das Original.

#REDIRECT [[Mobiltelefon-Forensik]]

IDS

2021-07-29T08:05:19Z

St200770: Zusammenführung zweier identischer Seiten. Weiterleitung des Duplikats auf das Original.

#REDIRECT [[IDS - Intrusion Detection System]]

Remote Access Trojaner (RAT)

2021-07-28T17:41:45Z

St200770: Hinzufügen von Links, Fehlerkorrektur

Bei Remote Access Trojanern (Abk. RAT) handelt es sich um eine spezielle Form von Trojanern. Der Einsatz erfolgt dabei i.d.R. gezielt, z.B. bei Advanced Persistent Threats (APTs) oder aber auch in breiteren allgemeinen Angriffen.

Wie für Trojaner oftmals typisch, wird dem Opfer ein scheinbar nützliches Programm bereitgestellt, in dem sich tatsächlich jedoch eine getarnte Malware mit bösartiger Absicht und Zugriff aus der Ferne ('''Fernadministration''') verbirgt.

Die Möglichkeiten, welche sich für den entfernten Angreifer bieten, können vielseitig sein, sind jedoch davon abhängig, mit welchen Rechten der eingeschleuste Schadcode ausgeführt wird. Denkbar ist beispielsweise, dass neben Anzeige des Bildschirminhaltes und Aufzeichnung der Tastatureingaben auch verwendete Peripheriegeräte, wie Webcams oder Mikrofone abgehört werden können. Durch Nachlässigkeit, Unachtsamkeit oder Unwissenheit führt ein Benutzer das scheinbare nützliche Programm mit administrativen Rechten aus. Durch dieses wird dann der entsprechende Schadcode nachgeladen und ausgeführt.

Durch den Einsatz von Remote-Access-Trojanern (RATs), als Untergruppe der klassischen Trojaner, wird durch den Angreifer primär das Ziel verfolgt, eine Hintertür ('''Backdoor''') auf dem System des Opfers einzurichten. Über diese Hintertür strebt ein Angreifer die Fernsteuerung ('''Remote-Access and Administration''') des Opersystems ohne Kenntnis des Eigentümers/Betreibers an. Es wird besonderer Wert darauf gelegt, hierbei möglichst lange oder im besten Falle für immer unerkannt zu bleiben. Sind die Ziele des Angreifers erreicht, so werden oftmals im Anschluss sämtliche Spuren entfernt oder verwischt, damit die verwendete Technik zukünftig nicht durch Heuristiken oder Signaturen erkannt wird.

'''Einsatzgebiete für Remote-Access-Trojaner (RAT):'''
* Botnetze
* Advanced-Persistent-Threat (APT)
* Polizeiliche Ermittlungen (z.B. Remote-Forensik)
* Nachrichtendienstliche Hintergründe
* Militärische Zwecke
* Wirtschaftspionage/-sabotage
* Skript-Kiddies

RATs werden im sog. Client-Server-Modell betrieben, welches durch den Angreifer beherrscht und gesteuert wird. Der Computer des Opfers stellt dabei den Server dar, auf den sich der Angreifers mit seinem zugehörigen Client verbindet. Der Angreifer kann beliebige Kommandos und Befehle an den Server richten und hierdurch aus der Ferne (administrative) Tätigkeiten am System vornehmen, wie als würde diejenige Person unmittelbar davor sitzen. Bekannt ist dieses Modell bereits aus den Botnetzen, in denen sog. [[Command-and-Control-Server]] verwendet werden, um die Botclients zu steuern.

Eine Besonderheit von RATs ist, dass deren Eigentümer sehr viel Energie investieren, um möglichst lange unentdeckt bleiben und immer wieder auf das infizierte System zugreifen zu können. Komplexe Remote-Access-Trojaner gehen daher sparsam mit Ressourcen um und heften sich an Prozesse legitimer Programme an.

Die möglichen Schutzmaßnahmen vor gezieltem Einsatz von RATs sind sehr begrenzt und orientieren sich im wesentlichen an den allgemeinen Sicherheitsmaßnahmen, die für die Umsetzung der IT-Schutzziele in der Informationssicherheit, Stand der Technik sind. Da sich RATs vorwiegend der Technik von Client-Server-Modellen bedienen, sollten insbesondere der ein- und ausgehenden Netzwerkverkehr kontinuierlich überwacht und protokolliert werden. Anwendungen, die keinen Zugriff auf das Internet benötigen, sollten zudem für den ausgehenden Netzwerkverkehr blockiert werden.

''Weitere Informationen:''

https://www.symantec.com/connect/blogs/creepware-who-s-watching-you

https://blog.varonis.de/dnsmessenger-rat/

https://go.recordedfuture.com/hubfs/reports/threat-identification.pdf

https://www.oneconsult.com/de/eine-kurze-geschichte-der-remote-access-trojaner/

https://www.heise.de/security/meldung/l-f-Biologischer-Remote-Access-Trojaner-4092389.html

C&C-Server

2021-07-28T17:34:23Z

St200770: Erstellung der Weiterleitungsseite für die abgekürzte Schreibweise des Namens des Haupt-Artikels (C&C-Server).

#REDIRECT [[Command-and-Control-Server]]

Command-and-Control-Server

2021-07-28T17:29:38Z

St200770: Schreibfehler-Korrektur, Einfügen von Bildern und Links

Bei einem '''Command-and-Control-Server''' (C&C-Server) handelt es sich um einen Server, der dazu verwendet wird, Befehle an ein kompromittiertes System zu senden und es auf diese Art zu steuern. In den meisten Fällen wird ein solcher Server von Angreifern oder [[Cybercrime|Cyberkriminellen]] betrieben, um unbemerkt Schadcode in das System des Opfers zu schleusen, Passwörter auszulesen, Daten zu stehlen oder zu manipulieren oder den betroffenen Rechner unbemerkt als Mitglied eines Botnetzes auszunutzen. Im Fall eines Botnetzes ist es dem Angreifer möglich, viele hunderte oder gar tausende infizierte Opfer gleichzeitig zu kontrollieren und über diesen Weg beispielsweise zentral gesteuerte [[DoS & DDoS|DDoS-Angriffe]] durchzuführen oder einen Massenversand an Spam-Mails zu verursachen.

== C&C-Server Architekturen ==
C&C-Server können in folgende Architekturen klassifiziert werden:
=== Sterntopologie: ===
Alle kompromittierten Clients sind um einen zentralen Server herum organisiert. 
[[Datei:C&C-Server_Sterntopologie.png]] 
''Abbildung 1: C&C-Server Sterntopologie'' 
Die Sterntopologie stellt die einfachste Variante aller C&C-Server Architekturen dar. Sie kann auf unkomplizierte Art implementiert werden. Die Kommunikation zwischen C&C-Server und kompromittierten Client erfolgt auf direktem Weg, weshalb hier die geringsten Latenzen zu erwarten sind. Auf Grund der einfachen Implementierung ist diese Architektur aber auch am verwundbarsten. Da in jedem kompromittierten Client die Adresse des C&C-Servers hinterlegt werden muss, um die Verbindung zu initiieren, kann diese auch leicht von Dritten oder dem Opfer selbst entdeckt werden. Resultiert daraus der Kontrollverlust über den C&C-Server, ist das gesamte Netz und somit die Kontrolle über alle anderen kompromittierten Clients ebenfalls verloren. Es handelt sich um einen so genannten Single Point of Failure (SPOF).

=== Multi-Server-Topologie: ===
Mehrere C&C-Server sorgen für Redundanz. 
[[Datei:C&C-Server_Multi-Server-Topologie.png]] 
''Abbildung 2: C&C-Server Multi-Server-Topologie'' 
Die Multi-Server-Topologie stellt eine Erweiterung der Sterntopologie dar. Um das Problem des SPOF zu beseitigen, werden hier mehrere C&C-Server betrieben, welche miteinander kommunizieren können und somit für Redundanz sorgen. Die kompromittierten Clients haben hier nicht nur die Adresse eines C&C-Servers hinterlegt, sondern eine Liste aller vorhandenen C&C-Server. Geht die Verbindung zu einem der Server verloren, wir automatisch eine neue Verbindung zum nächsten initiiert.

=== Hierarchische Topologie: ===
Erweiterung durch Proxy-Server zur Verschleierung der Herkunft des C&C-Servers. 
[[Datei:C&C-Server_Hierarchische-Topologie.png]] 
''Abbildung 3: C&C-Server Hierarchische Topologie'' 
Die komplexeste Variante der C&C-Server Architekturen ist die hierarchische. Sie zeichnet sich dadurch aus, dass sie durch eine Ebene von Proxy-Servern erweitert wird. Diese fungieren als eine Art Zwischenhändler zwischen kompromittierten Client und C&C-Server. Da dem Client nur die Adresse des Proxy-Servers bekannt ist und dieser die Kommunikation zum C&C-Server weiterleitet, kann die Herkunft des C&C-Servers verschleiert werden. Dadurch ist diese Architektur besonders stabil und langlebig. Daraus resultiert allerdings der Nachteil von längeren Latenzen sowie eine kompliziertere Implementierung.

== Kommunikationstechniken ==
Jeder kompromittierte Client muss eine Verbindung zum C&C-Server aufbauen, worüber fortlaufend die Kommunikation stattfindet. Zum Initiieren dieser Verbindung können unterschiedliche Kommunikationsprotokolle verwendet werden.
=== Internet Relay Chat (IRC) ===
Bei IRC handelt es sich prinzipiell um eine Internet-Chat-Lösung. Diese verwendet einen IRC-Channel (Gesprächskanal), der einer beliebigen Anzahl von Teilnehmern sogenannte Gesprächsrunden ermöglicht. Diese Funktionalität wird sich für die Command and Control-Struktur zu Nutzen gemacht. Sowohl der kompromittierte Client, als auch der C&C-Server verbinden sich mit dem IRC-Channel und können fortan miteinander kommunizieren und der C&C-Server kann seine Kommandos an den Client senden. Vorteil dieser Technik ist die einfache Implementierung. Nachteilig zu sehen ist, dass IRC für die Kommunikation TCP-Port 194 oder 6667 verwendet. Daher kann die Kommunikation relativ leicht entdeckt und unterbunden werden.
=== Webbasiert ===
Bei dieser Variante fungiert der C&C-Server als Webserver, mit welchem sich die kompromittierten Clients über das Internet verbinden. Diese Art der Implementierung ist ebenfalls relativ einfach, da lediglich ein Webserver betrieben werden muss, der zeitgleich das passende Webinterface für das Command-and-Control-Management hosten kann. Der große Vorteil gegenüber dem IRC-Protokoll ist, dass die Kommunikation über das HTTP-Protokoll auf TCP-Port 80 läuft. Somit ist die Kommunikation zwischen Webseitenaufrufen und Internetanwendungen getarnt und schwer zu entlarven.

=== Weitere Kommunikationsvarianten ===
Bei der Kommunikation mittels IRC und HTTP handelt es sich um die weit verbreitetsten Methoden. Es gibt darüber hinaus eine Vielzahl weiterer Varianten, die auf diese Prinzipien aufbauen. Dazu zählen Kommunikationen über das File Transfer Protokoll (FTP), Telnet, Instant Messaging Dienste wie bspw. Skype, sowie Kommunikationen über soziale Netze wie Facebook oder Twitter oder über cloudbasierte Dienste wie die Amazon Elastic Compute Cloud (Amazon EC2) oder die Google App Engine.

== Wie werden die Opfer infiziert? ==
Die Clients müssen auf irgendeinen Weg kompromittiert werden, damit sie eine Verbindung zum C&C-Server initiieren. Hierfür gibt es verschiedene Szenarien. 
'''Malware''': Die häufigste Methode um Clients zu kompromittieren ist mittles Malware, insbesondere in Form von Viren. Dem Opfer wird das Installationsprogramm bspw. per Email geschickt oder er wird durch einen manipulierten Link zum Download verleitet. Führt das Opfer das Programm auf Grund von Unwissenheit oder versehentlich aus, ist das System infiziert und die Verbindung zum C&C-Server wird automatisch initiiert. 
Eine Modifikation dieser Methode stellen die so genannten [[Remote Access Trojaner (RAT)]] dar. Hierbei handelt es sich um eine spezielle Art von Malware, die in einem als nützlich getarnten Programm versteckt ist. Das Opfer führt also eine Installationsdatei aus von der er denkt, es wäre ein legitimes Programm. In Wahrheit wird der RAT installiert, welcher die Verbindung zum C&C-Server aufbaut. Dies wird in diesem Zusammenhang auch als Backdoor bezeichnet. 
Es besteht ebenfalls die Möglichkeit, dass diese '''Backdoor''' direkt von einem Angreifer auf einem System geöffnet wird. Dies geschieht durch immer wieder vorhandene [[Exploit|Exploits]] in Betriebssystemen, Browsern oder Software. Es werden also gezielt Sicherheitslücken in diesen Anwendungen ausgenutzt, um das System des Opfers mit der Schadsoftware zu infizieren. 
Alle Methoden haben die Gemeinsamkeit, dass sie möglichst unbemerkt vom Opfer ausgeführt werden.

== Sicherheitsmaßnahmen ==
Aus technischer Sicht gibt es zwei Stellen, an denen Sicherheitsmaßnahmen implementiert werden können. 
Zum einen ist dies der Client selbst. Hier ist dringend zu empfehlen, alle Softwareupdates für Betriebssystem, verwendete Programme insbesondere der Browser immer zeitnah durchzuführen um Exploits entgegenzuwirken. Außerdem sollte ein '''AntiVirus''' (AV) Programm verwendet werden, dessen Pattern-Updates ebenfalls immer aktuell zuhalten sind, um alle Virensignaturen prüfen zu können. Hiermit kann im besten Fall verhindert werden, dass die Schadsoftware auf dem Client installiert und er somit kompromittiert wird. Da diese Schadsoftware aber immer wieder modifiziert oder gar durch Codierung verschleiert wird, kann es durchaus passieren, dass der AV sie nicht erkennt. 
Ein zusätzlicher Schutz auf Clientseite stellt die Verwendung eines '''Host Intrusion Prevention System (HIPS)''' dar (siehe auch [[IDS - Intrusion Detection System|Intrusion Detection System - IDS]]). Hiermit ist es möglich, gewisse Angriffsmuster zu erkennen und zu blockieren. Im konkreten Beispiel wäre das die Kommunikation zum C&C-Server, welche durch das HIPS unterbunden werden kann. 
Die zweite Stelle, an der Sicherheitsmaßnahmen implementiert werden können, ist der Perimeter. Durch eine Firewall kann selektiert werden, welche Kommunikationsports nach außen geöffnet werden sollen. Standardmäßig sind immer alle Ports geöffnet. Wenn man weiß, dass man bspw. kein IRC nutzt, könnte man dies auf der '''Firewall''' blockieren und somit einen weiteren Angriffsvektor eliminieren. Ebenfalls wie am Client kann auch am Perimeter eine IPS betrieben werden. In diesem Fall spricht man von einem '''Network Intrusion Prevention System (NIPS)'''. Ebenfalls mit dem Ziel das Angriffsmuster des C&C-Servers zu erkennen und zu blockieren. Sehr empfehlenswert ist zusätzlich der Betrieb eines Web-Proxy-Server. Dieser fungiert als Zwischenhändler zwischen LAN und Internet und hat dadurch besondere Möglichkeiten, die Clients zu schützen. Durch ihn besteht die Möglichkeit, bereits am Perimeter einen AV-Scan durchzuführen oder Kommunikationen zu IP-Adressen, die auf Grund von Command-and-Control-Aktivitäten auf einer Blacklist gelandet sind, zu sperren. 
Zusätzlich gibt es einige nicht-technische Maßnahmen um sich zu schützen. Hierzu zählt in erster Linie die Nutzersensibilisierung. 
Es wird dringend empfohlen:
* Keine Programme öffnen oder installieren, deren Herkunft man nicht vertraut.
* Keine Links verwenden, dessen Herkunft man nicht kennt.
* Keine Webseiten besuchen, die keine gesicherten Protokolle wie z.B. https verwenden.
* System nur mit Userrechten und nicht mit Admin-Rechten ausführen.
* Keine sensiblen Daten, insbesondere Passwortlisten auf dem Rechner speichern.

== Literatur: ==
Crimeware: Understanding New Attacks and Defenses von Markus Jakobsson, Zulfikar Ramzan 2008 
Botnetze: Aufbau, Funktion & Anwendung Matthis C. Laass 2011

Datei:C&C-Server Hierarchische-Topologie.png

2021-07-28T17:19:30Z

St200770: Darstellung einer hierarchischen Topologie mittels Proxy eines Command and Control Server System-Aufbaus.

== Beschreibung ==
Darstellung einer hierarchischen Topologie mittels Proxy eines Command and Control Server System-Aufbaus.

Datei:C&C-Server Multi-Server-Topologie.png

2021-07-28T17:18:23Z

St200770: Darstellung einer Multi-Server-Topologie eines Command and Control Server System-Aufbaus.

== Beschreibung ==
Darstellung einer Multi-Server-Topologie eines Command and Control Server System-Aufbaus.

Datei:C&C-Server Sterntopologie.png

2021-07-28T17:17:36Z

St200770: Darstellung einer Sterntopologie eines Command and Control Server System-Aufbau.

== Beschreibung ==
Darstellung einer Sterntopologie eines Command and Control Server System-Aufbau.

Hauptseite

2021-07-28T13:59:54Z

St200770: Hinzufügen des Artikels über C&C-Server

Willkommen beim IT-Forensik-Wiki der Hochschule Wismar. Hier werden wesentliche Begriffe zum Thema „Digitale Forensik“ erläutert.

== Literatur ==

[[Projektarbeiten]]

[[Abschlussarbeiten im Bachelor Studiengang "IT-Forensik"]]

[[Abschlussarbeiten im Master Studiengang "IT-Sicherheit und Forensik"]]

[[Forensik in DB]]

Michael Mundt, Maximilian Vogelei (Absolventen des Master-Fernstudienganges "IT-Sicherheit und Forensik"): IPython: Implementing distributed Processes of Computer Forensics: Combining Methods from Modern Data Science with those of Computer Forensics. Februar 2021, ISBN-13 : 979-8702298122 ([https://www.amazon.de/IPython-Implementing-distributed-Processes-Forensics/dp/B08WJTQF4G/ref=sr_1_6?__mk_de_DE=%C3%85M%C3%85%C5%BD%C3%95%C3%91&dchild=1&keywords=IPython&qid=1616347276&sr=8-6 hier zu erwerben])

== Stichworte IT-Forensik ==
=== A ===
[[ACPO]]

[[Aggregation]]

[[Angriffe auf Forensik-Software]]

[[Anti-Forensik]]

[[Anwendungsarchitektur]]

[[Arbeitsspeicher]]

[[Asset Relocation]]

[[APT]]

=== B ===
[[BBED]]

[[Betriebssystem]]

[[Bitlocker]]

[[BlockchainForensik|Blockchain Forensik]]

[[Blockchainbasierte Datenbank]]

[[Broken Authentication]]

[[Brute Force]]

[[BSI-Vorgehensmodell]]

[[Bundesdatenschutzgesetz (BDSG)]]

[[BurpSuite]]

=== C ===
[[Cache]]

[[Canarytoken]]

[[CERT-Taxonomie]]

[[Chain of Custody]]

[[Cheat Engine]]

[[Checkliste IT-Forensik für Unternehmen]]

[[Chip-Off]]

[[Clickjacking]]

[[Cold Backup]]

[[Command-and-Control-Server]]

[[Computer Sabotage]]

[[Containervirtualisierung]]

[[Cookies]]

[[Cross Site Scripting (XSS)]]

[[CryptoLocker]]

[[Cybercrime]]

=== D ===
[[Darknet]]

[[Dateiheader]]

[[Datenanalyse]]

[[Datenbank Firewall]]

[[Datenbankausführungsplan]]

[[Datenbankforensik]]

[[Datenbankmanagementsystem]]

[[Datenreduktion]]

[[Datensammlung]]

[[Datenschutz in der IT-Forensik]]

[[Datenvernichtung]]

[[Datenverschleierung]]

[[DDL & DML]]

[[Deep Packet Inspection]]

[[Deep Web]]

[[Diff]]

[[Digitale Artefakte]]

[[Digitale Forensik]]

[[DLL (.dll Dateien)]]

[[Dokumentation]]

[[DoS & DDoS]]

[[Doxing]]

[[Dual Use Software]]

[[Dynamische Analyse]]

=== E ===
[[eDiscovery]]

[[Egg Hunting]]

[[Ermittlungsprozess]]

[[Error Based SQL Injection]]

[[Exchangeable Image File Format (EXIF)]]

[[Exploit]]

=== F ===
[[File Carving]]

[[Fingerprinting (Browser)]]

[[Flüchtige Daten]]

[[Footprinting]]

[[Forensik]]

[[Forensic Data Mining]]

[[Forensic Readiness]]

[[Forensische Duplikation]]

[[Forensischer Koffer]]

[[Fragmentierung]]

[[Fuzzing]]

=== G ===
[[Geotag]]

[[GeoIP-Datenbank]]

[[Gerichtsfestigkeit]]

[[Google Hacking]]

=== H ===
[[Hardware-Sicherheitsmodul]]

[[Hashcat]]

[[Hashwert]]

[[Hilfstatort]]

[[Honeypot]]

=== I ===
[[ICMP - Internet Control Message Protocol]]

[[IDS - Intrusion Detection System]]

[[Image]]

[[Imaging]]

[[IMSI-Catcher]]

[[Incident-Response-Team]]

[[Indicator of Compromise]]

[[Integrität]]

[[IT-Forensik]]

[[IPS - Intrusion Prevention System]]

=== J ===
[[Jailbreak]]

[[Journaling-Dateisystem]]

[[Jump Lists]]

=== K ===

[[Installieren eines Live-Kali-Linux-System auf USB-Stick]]

[[Kausalität in der Forensik]]

[[Korrelation]]

=== L ===
[[Lateral Movement]]

[[LDAP-Injection]]

[[Litigation Hold]]

[[Live-Forensik]]

[[Local file inclusion]]

[[Locard'sche Regel]]

[[Lockheed Martin Cyber Kill Chain]]

[[Log-File]]

[[LogMining]]

=== M ===
[[Magnet Axiom]]

[[Memory Forensics]]

[[Metadaten]]

[[Mobiltelefon-Forensik]]

=== N ===
[[Netcat]]

[[Netflow]]

[[Never-Touch-Original]]

[[Nmap]]

=== O ===
[[Online-Forensik]]

[[Offline-Forensik]]

[[Ontologie & Semantik]]

[[Oracle DB]] (Forensische Aspekte)

[[Order of Volatility]]

[[OS Fingerprinting]]

[[OSINT-Werkzeug]]

=== P ===
[[Pass-the-Hash-Attack]]

[[Payload]]

[[Partition]]

[[PCMCIA]]

[[Penetrationstest]]

[[Post-Mortem-Analyse]]

[[Prepared Statement]]

[[Prozess der Mobiltelefon Forensik]]

[[Prüfsumme]]

[[P2P (Peer-to-Peer) Software / Netzwerke]]

=== Q ===

[[Query Log]]

=== R ===

[[Radare 2 - Reverse Engineering Framework]]

[[Rainbow Table]]

[[Redo Logs]]

[[Registry]]

[[Remote Access Trojaner (RAT)]]

[[Replay Attack]]

[[Reverse Engineering]]

[[Rogue Access Point & Evil Twin]]

[[Rootkit]]

=== S ===
[[SAP-Modell]]

[[Sandbox]]

[[Security Information and Event Management (SIEM)]]

[[Seitenkanalattacke]]

[[Semantik]]

[[ShimCache]]

[[Sigma]]

[[Skimming]]

[[Skript-Kiddie]]

[[Slack Space]]

[[Smishing]]

[[Statische Analyse]]

[[Sniffing]]

[[Sealbag]]

[[SpiderFoot]]

[[Spuren]]

[[SQL Injection]]

[[SQLite Datenbanken auslesen mittels Python]]

[[Sqlmap]]

[[Steganographie]]

=== T ===
[[Tatort]]

[[Team Win Recovery Project]]

[[Threat Intelligence]]

[[Timeline]]

[[Triage]]

[[Trugspur]]

[[Tsurugi-Linux]]

[[Totmannschalter]]

=== U ===
[[Unallocated Data (Nicht zugeordnete Daten)]]

=== V ===
[[Verfügbarkeit]]

[[Vertraulichkeit]]

[[Vertraulichkeit in Datenbanksystemen]]

[[Volume Shadow Copies]]

[[Vorsorge für die IT-Forensik]]

[[Video-Forensik]]

=== W ===
[[W-Fragen]]

[[Watering-Holes]]

[[Web-Application-Firewall]]

[[Whitelisting]]

[[Why-Because-Analyse (WBA)]]

[[Windows-RAM auslesen]]

[[Windows-Prefetch]]

[[Wiping]]

[[Wireshark]]

[[Write Blocker]]

[[Wörterbuchangriff]]

=== X ===
[[Xmount]]

=== Z ===
[[Zeit]]

[[Zenmap]]

[[Zero-Day-Exploit]]

[[Ziele einer forensischen Untersuchung nach A. Geschonneck]]

== Fernstudiengänge an der Hochschule Wismar (berufsbegleitend) ==

[https://www.wings.hs-wismar.de/de/fernstudium_bachelor/it_forensik IT-Forensik, Bachelor]

[https://www.wings.hs-wismar.de/de/fernstudium_master/it_sicherheit_und_forensik/ IT-Sicherheit und Forensik, Master]

== Starthilfen ==

* Hilfe zur Benutzung und Konfiguration der Wiki-Software finden Sie im [https://www.mediawiki.org/wiki/Special:MyLanguage/Help:Contents Benutzerhandbuch]
* [https://www.mediawiki.org/wiki/Special:MyLanguage/Manual:Configuration_settings Liste der Konfigurationsvariablen]
* [https://www.mediawiki.org/wiki/Special:MyLanguage/Manual:FAQ MediaWiki-FAQ]
* [https://lists.wikimedia.org/mailman/listinfo/mediawiki-announce Mailingliste neuer MediaWiki-Versionen]
* [https://www.mediawiki.org/wiki/Special:MyLanguage/Localisation#Translation_resources Übersetze MediaWiki für deine Sprache]
* [https://www.mediawiki.org/wiki/Special:MyLanguage/Manual:Combating_spam Erfahre, wie du Spam auf deinem Wiki bekämpfen kannst]

Command-and-Control-Server

2021-07-28T13:58:16Z

St200770: Anlegen der Seite C&C-Server

Bei einem '''Command-and-Control-Server''' handelt es sich um einen Server, der dazu verwendet wird, Befehle an ein kompromittiertes System zu senden und es auf diese Art zu steuern. In den meisten Fällen wird ein solcher Server von Angreifern oder Cyberkriminellen betrieben, um unbemerkt Schadcode in das System des Opfers zu schleusen, Passwörter auszulesen, Daten zu stehlen oder zu manipulieren oder den betroffenen Rechner unbemerkt als Mitglied eines Botnetzes auszunutzen. Im Fall eines Botnetzes ist es dem Angreifer möglich, viele hunderte oder gar tausende infizierte Opfer gleichzeitig zu kontrollieren und über diesen Weg beispielsweise zentral gesteuerte [[DoS & DDoS|DDoS-Angriffe]] durchzuführen oder einen Massenversand an Spam-Mails zu verursachen.

== C&C-Server Architekturen ==
C&C-Server können in folgende Architekturen klassifiziert werden:
=== Sterntopologie: ===
Alle kompromittierten Clients sind um einen zentralen Server herum organisiert. 

Abbildung 1: C&C-Server Sterntopologie 
Die Sterntopologie stellt die einfachste Variante aller C&C-Server Architekturen dar. Sie kann auf unkomplizierte Art implementiert werden. Die Kommunikation zwischen C&C-Server und kompromittierten Client erfolgt auf direktem Weg, weshalb hier die geringsten Latenzen zu erwarten sind. Auf Grund der einfachen Implementierung ist diese Architektur aber auch am verwundbarsten. Da in jedem kompromittierten Client die Adresse des C&C-Servers hinterlegt werden muss, um die Verbindung zu initiieren, kann diese auch leicht von Dritten oder dem Opfer selbst entdeckt werden. Resultiert daraus der Kontrollverlust über den C&C-Server, ist das gesamte Netz und somit die Kontrolle über alle anderen kompromittierten Clients ebenfalls verloren. Es handelt sich um einen so genannten Single Point of Failure (SPOF).

=== Multi-Server-Topologie: ===
Mehrere C&C-Server sorgen für Redundanz. 

Abbildung 2: C&C-Server Multi-Server-Topologie 
Die Multi-Server-Topologie stellt eine Erweiterung der Sterntopologie dar. Um das Problem des SPOF zu beseitigen, werden hier mehrere C&C-Server betrieben, welche miteinander kommunizieren können und somit für Redundanz sorgen. Die kompromittierten Clients haben hier nicht nur die Adresse eines C&C-Servers hinterlegt, sondern eine Liste aller vorhandenen C&C-Server. Geht die Verbindung zu einem der Server verloren, wir automatisch eine neue Verbindung zum nächsten initiiert.

=== Hierarchische Topologie: ===
Erweiterung durch Proxy-Server zur Verschleierung der Herkunft des C&C-Servers. 

Abbildung 3: C&C-Server Hierarchische Topologie 
Die komplexeste Variante der C&C-Server Architekturen ist die hierarchische. Sie zeichnet sich dadurch aus, dass sie durch eine Ebene von Proxy-Servern erweitert wird. Diese fungieren als eine Art Zwischenhändler zwischen kompromittierten Client und C&C-Server. Da dem Client nur die Adresse des Proxy-Servers bekannt ist und dieser die Kommunikation zum C&C-Server weiterleitet, kann die Herkunft des C&C-Servers verschleiert werden. Dadurch ist diese Architektur besonders stabil und langlebig. Daraus resultiert allerdings der Nachteil von längeren Latenzen sowie eine kompliziertere Implementierung.

== Kommunikationstechniken ==
Jeder kompromittierte Client muss eine Verbindung zum C&C-Server aufbauen, worüber fortlaufend die Kommunikation stattfindet. Zum initiieren dieser Verbindung können unterschiedliche Kommunikationsprotokolle verwendet werden.
=== Internet Relay Chat (IRC) ===
Bei IRC handelt es sich prinzipiell um eine Internet-Chat-Lösung. Diese verwendet einen IRC-Channel (Gesprächskanal), der einer beliebigen Anzahl von Teilnehmern sogenannte Gesprächsrunden ermöglicht. Diese Funktionalität wird sich für die Command and Control-Struktur zu Nutzen gemacht. Sowohl der kompromittierte Client, als auch der C&C-Server verbinden sich mit dem IRC-Channel und können fortan miteinander kommunizieren und der C&C-Server kann seine Kommandos an den Client senden. Vorteil dieser Technik ist die einfache Implementierung. Nachteilig zu sehen ist, dass IRC für die Kommunikation TCP-Port 194 oder 6667 verwendet. Daher kann die Kommunikation relativ leicht entdeckt und unterbunden werden.
=== Webbasiert ===
Bei dieser Variante fungiert der C&C-Server als Webserver, mit welchem sich die kompromittierten Clients über das Internet verbinden. Diese Art der Implementierung ist ebenfalls relativ einfach, da lediglich ein Webserver betrieben werden muss, der zeitgleich das passende Webinterface für das Command-and-Control-Management hosten kann. Der große Vorteil gegenüber dem IRC-Protokoll ist, dass die Kommunikation über das HTTP-Protokoll auf TCP-Port 80 läuft. Somit ist die Kommunikation zwischen Webseitenaufrufen und Internetanwendungen getarnt und schwer zu entlarven.

=== Weitere Kommunikationsvarianten ===
Bei der Kommunikation mittels IRC und HTTP handelt es sich um die weit verbreitetsten Methoden. Es gibt darüber hinaus eine Vielzahl weiterer Varianten, die auf diese Prinzipien aufbauen. Dazu zählen Kommunikationen über das File Transfer Protokoll (FTP), Telnet, Instant Messaging Dienste wie bspw. Skype, sowie Kommunikationen über soziale Netze wie Facebook oder Twitter oder über cloudbasierte Dienste wie die Amazon Elastic Compute Cloud (Amazon EC2) oder die Google App Engine.

== Wie werden die Opfer infiziert? ==
Die Clients müssen auf irgendeinen Weg kompromittiert werden, damit sie eine Verbindung zum C&C-Server initiieren. Hierfür gibt es verschiedene Szenarien. 
'''Malware''': Die häufigste Methode um Clients zu kompromittieren ist mittles Malware, insbesondere in Form von Viren. Dem Opfer wird das Installationsprogramm bspw. per Email geschickt oder er wird durch einen manipulierten Link zum Download verleitet. Führt das Opfer das Programm auf Grund von Unwissenheit oder versehentlich aus, ist das System infiziert und die Verbindung zum C&C-Server wird automatisch initiiert. 
Eine Modifikation dieser Methode stellen die so genannten [[Remote Access Trojaner (RAT)]] dar. Hierbei handelt es sich um eine spezielle Art von Malware, die in einem als nützlich getarnten Programm versteckt ist. Das Opfer führt also eine Installationsdatei aus von der er denkt, es wäre ein legitimes Programm. In Wahrheit wird der RAT installiert, welcher die Verbindung zum C&C-Server aufbaut. Dies wird in diesem Zusammenhang auch als Backdoor bezeichnet. 
Es besteht ebenfalls die Möglichkeit, dass diese Backdoor direkt von einem Angreifer auf einem System geöffnet wird. Dies geschieht durch immer wieder vorhandene Exploits in Betriebssystemen, Browsern oder Software. Es werden also gezielt Sicherheitslücken in diesen Anwendungen ausgenutzt, um das System des Opfers mit der Schadsoftware zu infizieren. 
Alle Methoden haben die Gemeinsamkeit, dass sie möglichst unbemerkt vom Opfer ausgeführt werden.

== Sicherheitsmaßnahmen ==
Aus technischer Sicht gibt es zwei Stellen, an denen Sicherheitsmaßnahmen implementiert werden können. 
Zum einen ist dies der Client selbst. Hier ist dringend zu empfehlen, alle Softwareupdates für Betriebssystem, verwendete Programme insbesondere der Browser immer zeitnah durchzuführen um Exploits entgegenzuwirken. Außerdem sollte ein AntiVirus (AV) Programm verwendet werden, dessen Pattern-Updates ebenfalls immer aktuell zuhalten sind, um alle Virensignaturen prüfen zu können. Hiermit kann im besten Fall verhindert werden, dass die Schadsoftware auf dem Client installiert und er somit kompromittiert wird. Da diese Schadsoftware aber immer wieder modifiziert oder gar durch Codierung verschleiert wird, kann es durchaus passieren, dass der AV sie nicht erkennt. 
Ein zusätzlicher Schutz auf Clientseite stellt die Verwendung eines Host Intrusion Prevention System (HIPS) dar. Hiermit ist es möglich, gewisse Angriffsmuster zu erkennen und zu blockieren. Im konkreten Beispiel wäre das die Kommunikation zum C&C-Server, welche durch das HIPS unterbunden werden kann. 
Die zweite Stelle, an der Sicherheitsmaßnahmen implementiert werden können, ist der Perimeter. Durch eine Firewall kann selektiert werden, welche Kommunikationsports nach außen geöffnet werden sollen. Standardmäßig sind immer alle Ports geöffnet. Wenn man weiß, dass man bspw. kein IRC nutzt, könnte man dies auf der Firewall blockieren und somit einen weiteren Angriffsvektor eliminieren. Ebenfalls wie am Client kann auch am Perimeter eine IPS betrieben werden. In diesem Fall spricht man von einem Network Intrusion Prevention System (NIPS). Ebenfalls mit dem Ziel das Angriffsmuster des C&C-Servers zu erkennen und zu blockieren. Sehr empfehlenswert ist zusätzlich der Betrieb eines Web-Proxy-Server. Dieser fungiert als Zwischenhändler zwischen LAN und Internet und hat dadurch besondere Möglichkeiten, die Clients zu schützen. Durch ihn besteht die Möglichkeit, bereits am Perimeter einen AV-Scan durchzuführen oder Kommunikationen zu IP-Adressen, die auf Grund von Command-and-Control-Aktivitäten auf einer Blacklist gelandet sind, zu sperren. 
Zusätzlich gibt es einige nicht-technische Maßnahmen um sich zu schützen. Hierzu zählt in erster Linie die Nutzersensibilisierung. 
Es wird dringend empfohlen:
* Keine Programme öffnen oder installieren, deren Herkunft man nicht vertraut.
* keine Links verwenden, dessen Herkunft man nicht kennt.
* keine Webseiten besuchen, die kein https verwenden.
* System nur mit Userrechten und nicht mit Admin-Rechten ausführen
* Keine sensiblen Daten, insbesondere Passwortlisten auf dem Rechner speichern.

== Literatur: ==
Crimeware: Understanding New Attacks and Defenses von Markus Jakobsson, Zulfikar Ramzan 2008 
Botnetze: Aufbau, Funktion & Anwendung Matthis C. Laass 2011