Hauptseite

2021-07-25T06:53:37Z

St201864: /* S */

Willkommen beim IT-Forensik-Wiki der Hochschule Wismar. Hier werden wesentliche Begriffe zum Thema „Digitale Forensik“ erläutert.

== Literatur ==

[[Projektarbeiten]]

[[Abschlussarbeiten im Bachelor Studiengang "IT-Forensik"]]

[[Abschlussarbeiten im Master Studiengang "IT-Sicherheit und Forensik"]]

[[Forensik in DB]]

Michael Mundt, Maximilian Vogelei (Absolventen des Master-Fernstudienganges "IT-Sicherheit und Forensik"): IPython: Implementing distributed Processes of Computer Forensics: Combining Methods from Modern Data Science with those of Computer Forensics. Februar 2021, ISBN-13 : 979-8702298122 ([https://www.amazon.de/IPython-Implementing-distributed-Processes-Forensics/dp/B08WJTQF4G/ref=sr_1_6?__mk_de_DE=%C3%85M%C3%85%C5%BD%C3%95%C3%91&dchild=1&keywords=IPython&qid=1616347276&sr=8-6 hier zu erwerben])

== Stichworte IT-Forensik ==
=== A ===
[[ACPO]]

[[Aggregation]]

[[Angriffe auf Forensik-Software]]

[[Anti-Forensik]]

[[Anwendungsarchitektur]]

[[Arbeitsspeicher]]

[[Asset Relocation]]

[[APT]]

=== B ===
[[BBED]]

[[Betriebssystem]]

[[Blockchainbasierte Datenbank]]

[[Broken Authentication]]

[[Brute Force]]

[[BSI-Vorgehensmodell]]

[[Bundesdatenschutzgesetz (BDSG)]]

[[BurpSuite]]

=== C ===
[[Cache]]

[[Canarytoken]]

[[CERT-Taxonomie]]

[[Chain of Custody]]

[[Cheat Engine]]

[[Checkliste IT-Forensik für Unternehmen]]

[[Chip-Off]]

[[Cold Backup]]

[[Computer Sabotage]]

[[Cookies]]

[[Cross Site Scripting (XSS)]]

[[CryptoLocker]]

[[Cybercrime]]

=== D ===
[[Darknet]]

[[Dateiheader]]

[[Datenanalyse]]

[[Datenbank Firewall]]

[[Datenbankausführungsplan]]

[[Datenbankforensik]]

[[Datenbankmanagementsystem]]

[[Datensammlung]]

[[Datenschutz in der IT-Forensik]]

[[Datenvernichtung]]

[[Datenverschleierung]]

[[DDL & DML]]

[[Deep Packet Inspection]]

[[Deep Web]]

[[Diff]]

[[Digitale Artefakte]]

[[Digitale Forensik]]

[[DLL (.dll Dateien)]]

[[Dokumentation]]

[[DoS & DDoS]]

[[Doxing]]

[[Dual Use Software]]

[[Dynamische Analyse]]

=== E ===
[[eDiscovery]]

[[Egg Hunting]]

[[Ermittlungsprozess]]

[[Error Based SQL Injection]]

[[Exchangeable Image File Format (EXIF)]]

[[Exploit]]

=== F ===
[[File Carving]]

[[Flüchtige Daten]]

[[Forensik]]

[[Forensic Data Mining]]

[[Forensic Readiness]]

[[Forensische Duplikation]]

[[Forensischer Koffer]]

[[Fragmentierung]]

[[Fuzzing]]

=== G ===
[[Geotag]]

[[GeoIP-Datenbank]]

[[Gerichtsfestigkeit]]

[[Google Hacking]]

=== H ===
[[Hardware-Sicherheitsmodul]]

[[Hashcat]]

[[Hashwert]]

[[Hilfstatort]]

[[Honeypot]]

=== I ===
[[ICMP - Internet Control Message Protocol]]

[[IDS - Intrusion Detection System]]

[[Image]]

[[Imaging]]

[[IMSI-Catcher]]

[[Incident-Response-Team]]

[[Indicator of Compromise]]

[[Integrität]]

[[IT-Forensik]]

[[IPS - Intrusion Prevention System]]

=== J ===
[[Jailbreak]]

[[Journaling-Dateisystem]]

[[Jump Lists]]

=== K ===

[[Installieren eines Live-Kali-Linux-System auf USB-Stick]]

[[Kausalität in der Forensik]]

[[Korrelation]]

=== L ===
[[Lateral Movement]]

[[LDAP-Injection]]

[[Litigation Hold]]

[[Live-Forensik]]

[[Local file inclusion]]

[[Locard'sche Regel]]

[[Lockheed Martin Cyber Kill Chain]]

[[Log-File]]

[[LogMining]]

=== M ===
[[Magnet Axiom]]

[[Memory Forensics]]

[[Metadaten]]

[[Mobiltelefon-Forensik]]

=== N ===
[[Netcat]]

[[Netflow]]

[[Never-Touch-Original]]

[[Nmap]]

=== O ===
[[Online-Forensik]]

[[Offline-Forensik]]

[[Ontologie & Semantik]]

[[Oracle DB]] (Forensische Aspekte)

[[Order of Volatility]]

[[OS Fingerprinting]]

[[OSINT-Werkzeug]]

=== P ===
[[Pass-the-Hash-Attack]]

[[Payload]]

[[Partition]]

[[PCMCIA]]

[[Penetrationstest]]

[[Post-Mortem-Analyse]]

[[Prepared Statement]]

[[Prozess der Mobiltelefon Forensik]]

[[Prüfsumme]]

[[P2P (Peer-to-Peer) Software / Netzwerke]]

=== Q ===

[[Query Log]]

=== R ===

[[Radare 2 - Reverse Engineering Framework]]

[[Rainbow Table]]

[[Redo Logs]]

[[Registry]]

[[Remote Access Trojaner (RAT)]]

[[Replay Attack]]

[[Reverse Engineering]]

[[Rogue Access Point & Evil Twin]]

[[Rootkit]]

=== S ===
[[SAP-Modell]]

[[Sandbox]]

[[Security Information and Event Management (SIEM)]]

[[Seitenkanalattacke]]

[[Semantik]]

[[ShimCache]]

[[Sigma]]

[[Skimming]]

[[Skript-Kiddie]]

[[Slack Space]]

[[Statische Analyse]]

[[Sniffing]]

[[Sealbag]]

[[SpiderFoot]]

[[Spuren]]

[[SQL Injection]]

[[SQLite Datenbanken auslesen mittels Python]]

[[Sqlmap]]

[[Steganographie]]

=== T ===
[[Tatort]]

[[Team Win Recovery Project]]

[[Threat Intelligence]]

[[Timeline]]

[[Triage]]

[[Trugspur]]

[[Tsurugi-Linux]]

[[Totmannschalter]]

=== U ===
[[Unallocated Data (Nicht zugeordnete Daten)]]

=== V ===
[[Verfügbarkeit]]

[[Vertraulichkeit]]

[[Vertraulichkeit in Datenbanksystemen]]

[[Volume Shadow Copies]]

[[Vorsorge für die IT-Forensik]]

[[Video-Forensik]]

=== W ===
[[W-Fragen]]

[[Watering-Holes]]

[[Web-Application-Firewall]]

[[Whitelisting]]

[[Why-Because-Analyse (WBA)]]

[[Windows-RAM auslesen]]

[[Windows-Prefetch]]

[[Wiping]]

[[Wireshark]]

[[Write Blocker]]

[[Wörterbuchangriff]]

=== X ===
[[Xmount]]

=== Z ===
[[Zeit]]

[[Zenmap]]

[[Zero-Day-Exploit]]

[[Ziele einer forensischen Untersuchung nach A. Geschonneck]]

== Fernstudiengänge an der Hochschule Wismar (berufsbegleitend) ==

[https://www.wings.hs-wismar.de/de/fernstudium_bachelor/it_forensik IT-Forensik, Bachelor]

[https://www.wings.hs-wismar.de/de/fernstudium_master/it_sicherheit_und_forensik/ IT-Sicherheit und Forensik, Master]

== Starthilfen ==

* Hilfe zur Benutzung und Konfiguration der Wiki-Software finden Sie im [https://www.mediawiki.org/wiki/Special:MyLanguage/Help:Contents Benutzerhandbuch]
* [https://www.mediawiki.org/wiki/Special:MyLanguage/Manual:Configuration_settings Liste der Konfigurationsvariablen]
* [https://www.mediawiki.org/wiki/Special:MyLanguage/Manual:FAQ MediaWiki-FAQ]
* [https://lists.wikimedia.org/mailman/listinfo/mediawiki-announce Mailingliste neuer MediaWiki-Versionen]
* [https://www.mediawiki.org/wiki/Special:MyLanguage/Localisation#Translation_resources Übersetze MediaWiki für deine Sprache]
* [https://www.mediawiki.org/wiki/Special:MyLanguage/Manual:Combating_spam Erfahre, wie du Spam auf deinem Wiki bekämpfen kannst]

ShimCache

2021-07-21T17:48:21Z

St201864: Beim ShimCache (auch: Application Compatibility Cache, AppCompatCache) handelt es sich um eine Datenbank, mittels derer Windows in der Lage ist Inkompatibilitäten bei ausführbaren Dateien zu identifizieren.

Beim '''ShimCache''' (auch: Application Compatibility Cache, AppCompatCache) handelt es sich um eine Datenbank, mittels derer Windows in der Lage ist Inkompatibilitäten bei ausführbaren Dateien zu identifizieren.

'''Unter Windows 10 wird diese Datenbank nicht mehr gepflegt, daher kann diese nur für ältere Windowsversionen ausgewertet werden.'''

Jede im ShimCache enthaltene Anwendung wird beim Laden, Updaten oder Umbenennen durch das Betriebssystem auf Kompatibilität geprüft, also ob ein Shimming notwendig ist. Selbst wenn kein Shimming notwendig ist, wird trotzdem der ShimCache überprüft und ein Eintrag darin erzeugt und ggf. eine Kompatibilitätserweiterung zur bestehenden Datei hinzugefügt.

Dies ermöglicht älteren Programmen auch auf neueren Windows-Systemen ausgeführt zu werden (-> Abwärtskompatibilität). Der ShimCache fungiert in diesem Fall als Proxy-Schicht zwischen der alten Anwendung und dem neuen Betriebssystem. Dadurch entfällt die Notwendigkeit die Anwendung wegen eines Upgrades des Hostbetriebssystems anpassen zu müssen. Diese Kompatibilitätserweiterungen werden auch als Shims bezeichnet. Je nach Menge der ausführbaren Dateien kann es Hunderte von Shims auf einem Windows-Betriebssystem geben.

Die Datenbank mit ihren Einträgen ist in der Registry unter SYSTEM\CurrentControlSet\Control\Session Manager\AppCompatCache\zu finden.

Für jede ausführbare Datei des Systems sind im ShimCache folgende Informationen enthalten:

Cache Entry Position, Nummer des jeweiligen Eintrags in der Datenbank

Pfad zur jeweiligen ausführbaren Datei

Zeitstempel „Last Modified“ (UTC). Dieser wird upgedated, sobald ein neues shimming erfolgt

Executed-Flag, dieser gibt an, ob diese ausführbare Daten auch ausgeführt wurde.

In der IT-Forensik sind die darin enthaltenen Informationen vor allem in Bezug auf Programmausführungen und im Rahmen der Analyse malwarebezogener Spuren von Bedeutung.

Der Wert dieser Beweisquelle wurde erst 2012 durch die Veröffentlichung von Andrew Davis "Leveraging the Application Compatibility Cache in Forensic Investigations" bekannt. Weiterhin erstellte er auch das ShimCache Parser-Tool, welches in der Lage ist die Registry-Informationen des ShimCaches zu extrahieren.

In dem ShimCache kann mal also feststellen, in welchem Pfad sich eine ausführbare Datei befindet und unter welchem Namen sie dort zu finden ist. Der Zeitpunkt der Überprüfung auf Kompatibilitätsprobleme ist feststellbar und mittels Execute-Flag kann auch nachgewiesen werden, ob die Datei bereits ausgeführt wurde. Die normale Deinstallation einer Anwendung führt im Übrigen nicht dazu, dass dessen Spuren in der Windows Registry gelöscht werden.

Damit lässt sich eindeutig und gerichtsfest nachweisen, ob nicht legitime und/oder gelöschte Software auf einem System nachweisbar ist und auch wann diese zuletzt ausgeführt wurde. Dadurch ist der ShimCache eine gute Alternative bei der Suche nach Artefakten, wenn der Prefetch auf dem System deaktiviert wurde. Aber auch bei aktiviertem Prefetch sind die Artefakte das ShimCaches wertvoll, da diese die Erkenntnisse aus dem Prefetch untermauern können.

Wichtig ist, dass die Registry erst dann aktualisiert wird, wenn das System heruntergefahren oder neu gestartet wird. Damit wird selbstverständlich auch der ShimCache erst durch einen Neustart aktualisiert. Daher muss geprüft werden, ob die Zeiten im ShimCache auch mit den Startzeiten der Windows-Sicherheitsereignisprotokolle in Korrelation stehen. Dies bedeutet aber auch, dass eine Untersuchung dieser Quelle im Rahmen der Live-Forensik nicht geeignet ist.

IT-Forensik Wiki - Benutzerbeiträge [de]

Hauptseite

ShimCache