IT-Forensik Wiki - Benutzerbeiträge [de]

Hauptseite

2021-07-29T00:49:52Z

St201528: Verschiebung des Artikel OS Fingerprinting zu Fingerprinting (Betriebssystem)

Willkommen beim IT-Forensik-Wiki der Hochschule Wismar. Hier werden wesentliche Begriffe zum Thema „Digitale Forensik“ erläutert.

== Literatur ==

[[Projektarbeiten]]

[[Abschlussarbeiten im Bachelor Studiengang "IT-Forensik"]]

[[Abschlussarbeiten im Master Studiengang "IT-Sicherheit und Forensik"]]

[[Forensik in DB]]

Michael Mundt, Maximilian Vogelei (Absolventen des Master-Fernstudienganges "IT-Sicherheit und Forensik"): IPython: Implementing distributed Processes of Computer Forensics: Combining Methods from Modern Data Science with those of Computer Forensics. Februar 2021, ISBN-13 : 979-8702298122 ([https://www.amazon.de/IPython-Implementing-distributed-Processes-Forensics/dp/B08WJTQF4G/ref=sr_1_6?__mk_de_DE=%C3%85M%C3%85%C5%BD%C3%95%C3%91&dchild=1&keywords=IPython&qid=1616347276&sr=8-6 hier zu erwerben])

== Stichworte IT-Forensik ==
=== A ===
[[ACPO]]

[[Aggregation]]

[[Angriffe auf Forensik-Software]]

[[Anti-Forensik]]

[[Anwendungsarchitektur]]

[[Arbeitsspeicher]]

[[Asset Relocation]]

[[APT]]

=== B ===
[[BBED]]

[[Betriebssystem]]

[[Bitlocker]]

[[BlockchainForensik|Blockchain Forensik]]

[[Blockchainbasierte Datenbank]]

[[Broken Authentication]]

[[Brute Force]]

[[BSI-Vorgehensmodell]]

[[Bundesdatenschutzgesetz (BDSG)]]

[[BurpSuite]]

=== C ===
[[Cache]]

[[Canarytoken]]

[[CERT-Taxonomie]]

[[Chain of Custody]]

[[Cheat Engine]]

[[Checkliste IT-Forensik für Unternehmen]]

[[Chip-Off]]

[[Clickjacking]]

[[Cold Backup]]

[[Command-and-Control-Server]]

[[Computer Sabotage]]

[[Containervirtualisierung]]

[[Cookies]]

[[Cross Site Scripting (XSS)]]

[[CryptoLocker]]

[[Cybercrime]]

=== D ===
[[Darknet]]

[[Dateiheader]]

[[Datenanalyse]]

[[Datenbank Firewall]]

[[Datenbankausführungsplan]]

[[Datenbankforensik]]

[[Datenbankmanagementsystem]]

[[Datenreduktion]]

[[Datensammlung]]

[[Datenschutz in der IT-Forensik]]

[[Datenvernichtung]]

[[Datenverschleierung]]

[[DDL & DML]]

[[Deep Packet Inspection]]

[[Deep Web]]

[[Diff]]

[[Digitale Artefakte]]

[[Digitale Forensik]]

[[DLL (.dll Dateien)]]

[[Dokumentation]]

[[DoS & DDoS]]

[[Doxing]]

[[Dual Use Software]]

[[Dynamische Analyse]]

=== E ===
[[eDiscovery]]

[[Egg Hunting]]

[[Ermittlungsprozess]]

[[Error Based SQL Injection]]

[[Exchangeable Image File Format (EXIF)]]

[[Exploit]]

=== F ===
[[File Carving]]

[[Fingerprinting (Browser)]]

[[Fingerprinting (Betriebssystem)]]

[[Flüchtige Daten]]

[[Footprinting]]

[[Forensik]]

[[Forensic Data Mining]]

[[Forensic Readiness]]

[[Forensische Duplikation]]

[[Forensischer Koffer]]

[[Fragmentierung]]

[[Fuzzing]]

=== G ===
[[Geotag]]

[[GeoIP-Datenbank]]

[[Gerichtsfestigkeit]]

[[Google Hacking]]

=== H ===
[[Hardware-Sicherheitsmodul]]

[[Hashcat]]

[[Hashwert]]

[[Hilfstatort]]

[[Honeypot]]

=== I ===
[[ICMP - Internet Control Message Protocol]]

[[IDS - Intrusion Detection System]]

[[Image]]

[[Imaging]]

[[IMSI-Catcher]]

[[Incident-Response-Team]]

[[Indicator of Compromise]]

[[Integrität]]

[[IT-Forensik]]

[[IPS - Intrusion Prevention System]]

=== J ===
[[Jailbreak]]

[[Journaling-Dateisystem]]

[[Jump Lists]]

=== K ===

[[Installieren eines Live-Kali-Linux-System auf USB-Stick]]

[[Kausalität in der Forensik]]

[[Korrelation]]

=== L ===
[[Lateral Movement]]

[[LDAP-Injection]]

[[Litigation Hold]]

[[Live-Forensik]]

[[Local file inclusion]]

[[Locard'sche Regel]]

[[Lockheed Martin Cyber Kill Chain]]

[[Log-File]]

[[LogMining]]

=== M ===
[[Magnet Axiom]]

[[Memory Forensics]]

[[Metadaten]]

[[Mobiltelefon-Forensik]]

=== N ===
[[Netcat]]

[[Netflow]]

[[Never-Touch-Original]]

[[Nmap]]

[[NTFS]]

=== O ===
[[Online-Forensik]]

[[Offline-Forensik]]

[[Ontologie & Semantik]]

[[Oracle DB]] (Forensische Aspekte)

[[Order of Volatility]]

[[OSINT-Werkzeug]]

=== P ===
[[Pass-the-Hash-Attack]]

[[Payload]]

[[Partition]]

[[PCMCIA]]

[[Penetrationstest]]

[[Post-Mortem-Analyse]]

[[Prepared Statement]]

[[Prozess der Mobiltelefon Forensik]]

[[Prüfsumme]]

[[P2P (Peer-to-Peer) Software / Netzwerke]]

=== Q ===

[[Query Log]]

=== R ===

[[Radare 2 - Reverse Engineering Framework]]

[[Rainbow Table]]

[[Redo Logs]]

[[Registry]]

[[Remote Access Trojaner (RAT)]]

[[Replay Attack]]

[[Reverse Engineering]]

[[Rogue Access Point & Evil Twin]]

[[Rootkit]]

=== S ===
[[SAP-Modell]]

[[Sandbox]]

[[Security Information and Event Management (SIEM)]]

[[Seitenkanalattacke]]

[[Semantik]]

[[ShimCache]]

[[Sigma]]

[[Skimming]]

[[Skript-Kiddie]]

[[Slack Space]]

[[Smishing]]

[[Statische Analyse]]

[[Sniffing]]

[[Sealbag]]

[[SpiderFoot]]

[[Spuren]]

[[SQL Injection]]

[[SQLite Datenbanken auslesen mittels Python]]

[[Sqlmap]]

[[Steganographie]]

=== T ===
[[Tatort]]

[[Team Win Recovery Project]]

[[Threat Intelligence]]

[[Timeline]]

[[Triage]]

[[Trugspur]]

[[Tsurugi-Linux]]

[[Totmannschalter]]

=== U ===
[[Unallocated Data (Nicht zugeordnete Daten)]]

=== V ===
[[Verfügbarkeit]]

[[Vertraulichkeit]]

[[Vertraulichkeit in Datenbanksystemen]]

[[Volume Shadow Copies]]

[[Vorsorge für die IT-Forensik]]

[[Video-Forensik]]

=== W ===
[[W-Fragen]]

[[Watering-Holes]]

[[Web-Application-Firewall]]

[[Whitelisting]]

[[Why-Because-Analyse (WBA)]]

[[Windows-RAM auslesen]]

[[Windows-Prefetch]]

[[Wiping]]

[[Wireshark]]

[[Write Blocker]]

[[Wörterbuchangriff]]

=== X ===
[[Xmount]]

=== Z ===
[[Zeit]]

[[Zenmap]]

[[Zero-Day-Exploit]]

[[Ziele einer forensischen Untersuchung nach A. Geschonneck]]

== Fernstudiengänge an der Hochschule Wismar (berufsbegleitend) ==

[https://www.wings.hs-wismar.de/de/fernstudium_bachelor/it_forensik IT-Forensik, Bachelor]

[https://www.wings.hs-wismar.de/de/fernstudium_master/it_sicherheit_und_forensik/ IT-Sicherheit und Forensik, Master]

== Starthilfen ==

* Hilfe zur Benutzung und Konfiguration der Wiki-Software finden Sie im [https://www.mediawiki.org/wiki/Special:MyLanguage/Help:Contents Benutzerhandbuch]
* [https://www.mediawiki.org/wiki/Special:MyLanguage/Manual:Configuration_settings Liste der Konfigurationsvariablen]
* [https://www.mediawiki.org/wiki/Special:MyLanguage/Manual:FAQ MediaWiki-FAQ]
* [https://lists.wikimedia.org/mailman/listinfo/mediawiki-announce Mailingliste neuer MediaWiki-Versionen]
* [https://www.mediawiki.org/wiki/Special:MyLanguage/Localisation#Translation_resources Übersetze MediaWiki für deine Sprache]
* [https://www.mediawiki.org/wiki/Special:MyLanguage/Manual:Combating_spam Erfahre, wie du Spam auf deinem Wiki bekämpfen kannst]

Fingerprinting (Browser)

2021-07-29T00:42:15Z

St201528:

Beim '''Browser-Fingerprinting''' werden diverse Daten erhoben, die eine Wiedererkennung des Browsers bzw. dessen Nutzers ermöglichen. Die zu diesem Zweck nutzbaren Daten können die eingestellte Sprache, die Zeitzone, der verwendete Browser und die Browser-Version sowie installierte Plugins, Add-ons und vieles mehr sein.<ref>https://www.golem.de/news/datenschutz-browser-fingerprinting-gestern-und-heute-1906-142013.html</ref>

Es werden nicht nur Informationen des Browsers selbst genutzt, sondern u. a. auch Geräte-Informationen. Hierzu zählen das verwendete Betriebssystem, Bildschirmgröße, Informationen über die Grafikkarte, verwendbare Audio-Formate, genutzter lokaler Speicher usw. Mit diesen Informationen ist eine Wiedererkennung von über 90 % möglich.<ref> https://arstechnica.com/information-technology/2017/02/now-sites-can-fingerprint-you-online-even-when-you-use-multiple-browsers/</ref>

Die betrachteten Browser- und Geräte-Informationen können in einen Hash-Algorithmus einfließen und in einer externen Datenbank gespeichert werden. Wird nun eine weitere entsprechende Webseite aufgerufen, kann der neugenerierte Hash-Wert mit der Datenbank abgeglichen und ggf. fortgeschrieben werden. Diese Technik wird Cross-Site-Tracking genannt.<ref>https://www.avast.com/c-what-is-browser-fingerprinting</ref>

<center>
[[Datei:Cross-site-tracking.jpg|gerahmt|400px|zentriert|Abbildung 1: Darstellung zu Cross-Site-Tracking]]
</center>

==Arten von Browser-Fingerprinting==

Beim Öffnen von Webseiten mit dem Browser, werden u. a. Daten zur Konfiguration des Browsers ausgetauscht. Dabei gibt es zwei Varianten:

*Passives Browser-Fingerprinting: Informationen, die automatisch vom Computer an den Webserver übersendet werden (z. B. IP-Adresse, verwendeter Browser)

*Aktives Browser-Fingerprinting: Informationen, welche sich durch JavaScript auslesen lassen (z. B. Angaben über das Betriebssystem, die Zeitzone, die Auflösung, die Fenstergröße)<ref>https://www.giga.de/ratgeber/specials/browser-fingerprint-was-ist-das-wie-verhindern-einfach-erklaert/</ref>

Diese eher allgemeine Einteilung kann weiter unterteilt werden in:

Canvas-Fingerprinting: Canvas-Fingerprinting verwendet das HTML5-Canvas-Element, um den Browser zum Zeichnen und Rendern von Bildern zu zwingen. Über die Art und Weise, wie der Browser das Bild/den Text rendert, werden detaillierte Informationen über den Schriftstil, die Grafikkarte, den Treiber, den verwendeten Webbrowser und das Betriebssystem erzeugt. Canvas-Fingerprinting ist eine weit verbreitete Fingerprinting-Technik.

WebGL (Web Graphics Library)- und Rendering-Fingerprinting: Wie beim Canvas-Fingerprinting zwingen diese beiden Techniken den Browser Bilder zu rendern (ohne Sichtbarkeit für den Nutzer) und verwenden diese Bilder dann, um Informationen über die Hardware und das Grafiksystem des Gerätes abzuleiten.

Geräte-Fingerprinting: Während Geräte-Fingerprinting oft synonym mit Browser-Fingerprinting verwendet wird, bezieht es sich auf eine bestimmte Technik, die eine Liste von verwendeten Mediengeräten (und deren IDs) auf dem PC erstellt. Dazu gehören interne Medienkomponenten wie die Audio- und Videokarte sowie alle angeschlossenen Geräte wie Kopfhörer.

Audio-Fingerprinting: Das Audio-Fingerprinting ermittelt, wie das vom Nutzer verwendete Gerät den Ton wiedergibt. Die daraus resultierenden Schallwellen liefern Informationen über den Audio-Stack des Gerätes, einschließlich der Spezifikationen über dessen Treiber, Sound-Hard- und -Software.<ref>https://www.avast.com/c-what-is-browser-fingerprinting</ref>

==Browser-Fingerprint ermitteln==

Über die Webseiten https://amiunique.org oder https://coveryourtracks.eff.org können Browser-Fingerprints des eigenen Browsers ermittelt werden.

<center>
[[Datei:Fingerprint.png|rahmenlos|800px|zentriert]]
 </center>
<center>Abbildung 2: Einbezogene Fingerprint-Parameter der Webseite https://amiunique.org zur Erstellung eines einzigartigen Browser-Fingerprints </center>

==Quellen==

Fingerprinting (Betriebssystem)

2021-07-29T00:31:26Z

St201528:

Betriebssystem-Fingerprinting (englisch OS Fingerprinting) versucht das Betriebssystem eines entfernten Computers oder Servers zu erkennen, meist um speziell auf dieses Betriebssystem zugeschnittene Angriffsmethoden nutzen zu können. Man unterscheidet zwischen aktiven und passiven Methoden. Passive Methoden setzen keinerlei aktive Datenübertragung zum Zielhost voraus. Es wird lediglich Datenverkehr beobachtet und danach bewertet. Im Gegensatz dazu werden bei aktiven Methoden gezielt Daten übertragen, um aus der Antwort des Zielhosts Erkenntnisse zu gewinnen.

Eine verbreitete Variante des OS Fingerprinting ist das sogenannte TCP/IP Stack Fingerprinting. Da jedes Betriebssystem eine eigene Implementierung des TCP/IP-Stacks hat, kann man im Header von Netzwerkpaketen die Betriebssysteme voneinander unterscheiden. Folgende Felder variieren je nach OS:
* Initial Time to Live (8 Bit)
* Receive Window Size (16 Bit)
* Maximum Segment Size (16 Bit)
* „Don't fragment“ flag (1 Bit)
* sackOK option (1 Bit)
* nop option (1 Bit)
* Window Scale Option (8 Bit)
* Initial packet size (16 Bit)

Insbesondere unter Unix/Linux lassen sich viele dieser Parameter zwar verändern, zum Beispiel um sich als anderes Betriebssystem auszugeben. Dies ist jedoch meist mit tiefen Eingriffen in das System verbunden.
Weniger verbreitet ist das sogenannte Banner-Grabbing, neben dem TCP/IP Fingerprinting eine andere Option, um Daten eines entfernten Betriebssystems zu erhalten. Bei Bannern handelt es sich um Informationen, mit denen sich HTTP- oder FTP-Dienste beim Verbindungsaufbau zu erkennen geben. So ein Banner kann, muss aber keine Informationen über das verwendete System enthalten.
Exemplarisch seien im Folgenden vier Tools aufgelistet, mithilfe derer man OS Fingerprinting durchführen kann:
* p0f (passives OS Fingerprinting)
* Ettercap (passives OS Fingerprinting)
* Nmap (aktives OS Fingerprinting)
* XProbe2 (aktives OS Fingerprinting)

OS Fingerprinting

2021-07-29T00:29:30Z

St201528: St201528 verschob die Seite OS Fingerprinting nach Fingerprinting (Betriebssystem): Vereinheitlichung mit ähnlichem Artikel

#WEITERLEITUNG [[Fingerprinting (Betriebssystem)]]

Fingerprinting (Betriebssystem)

2021-07-29T00:29:30Z

St201528: St201528 verschob die Seite OS Fingerprinting nach Fingerprinting (Betriebssystem): Vereinheitlichung mit ähnlichem Artikel

OS Fingerprinting (englisch für „Betriebssystem-Fingerabdruck) versucht das Betriebssystem eines entfernten Computers oder Servers zu erkennen, meist um speziell auf dieses Betriebssystem zugeschnittene Angriffsmethoden nutzen zu können. Man unterscheidet zwischen aktiven und passiven Methoden. Passive Methoden setzen keinerlei aktive Datenübertragung zum Zielhost voraus. Es wird lediglich Datenverkehr beobachtet und danach bewertet. Im Gegensatz dazu werden bei aktiven Methoden gezielt Daten übertragen, um aus der Antwort des Zielhosts Erkenntnisse zu gewinnen.

Eine verbreitete Variante des OS Fingerprinting ist das sogenannte TCP/IP Stack Fingerprinting. Da jedes Betriebssystem eine eigene Implementierung des TCP/IP-Stacks hat, kann man im Header von Netzwerkpaketen die Betriebssysteme voneinander unterscheiden. Folgende Felder variieren je nach OS:
* Initial Time to Live (8 Bit)
* Receive Window Size (16 Bit)
* Maximum Segment Size (16 Bit)
* „Don't fragment“ flag (1 Bit)
* sackOK option (1 Bit)
* nop option (1 Bit)
* Window Scale Option (8 Bit)
* Initial packet size (16 Bit)

Insbesondere unter Unix/Linux lassen sich viele dieser Parameter zwar verändern, zum Beispiel um sich als anderes Betriebssystem auszugeben. Dies ist jedoch meist mit tiefen Eingriffen in das System verbunden.
Weniger verbreitet ist das sogenannte Banner-Grabbing, neben dem TCP/IP Fingerprinting eine andere Option, um Daten eines entfernten Betriebssystems zu erhalten. Bei Bannern handelt es sich um Informationen, mit denen sich HTTP- oder FTP-Dienste beim Verbindungsaufbau zu erkennen geben. So ein Banner kann, muss aber keine Informationen über das verwendete System enthalten.
Exemplarisch seien im Folgenden vier Tools aufgelistet, mithilfe derer man OS Fingerprinting durchführen kann:
* p0f (passives OS Fingerprinting)
* Ettercap (passives OS Fingerprinting)
* Nmap (aktives OS Fingerprinting)
* XProbe2 (aktives OS Fingerprinting)

Datei:Cross-site-tracking.jpg

2021-07-28T23:55:13Z

St201528: St201528 lud eine neue Version von Datei:Cross-site-tracking.jpg hoch

== Beschreibung ==
https://www.avast.com/c-what-is-browser-fingerprinting

Datei:Cross-site-tracking.jpg

2021-07-28T23:54:44Z

St201528: St201528 lud eine neue Version von Datei:Cross-site-tracking.jpg hoch

== Beschreibung ==
https://www.avast.com/c-what-is-browser-fingerprinting