IT-Forensik Wiki - Benutzerbeiträge [de]

DLP

2022-04-22T18:54:55Z

St210391:

== Definition ==
Hinter dem Akronym DLP werden die Begriffe '''Data Leakage Prevention''' oder auch '''Data Loss Prevention''' verstanden. 
Beide Begriffe werden im Allgemeinen synonym verwendet. In Fachkreisen hingegen werden die beiden Begriffe manchmal jedoch differenziert. 
In diesen Fällen bezeichnet '''Data Loss Prevention''' den Schutz vor unerwünschtem Abfluss von Daten, der Schaden verursacht. 
Im Gegensatz zur Data Leakage Prevention wird dieser Abfluss allerdings bemerkt. 
'''Data Leakage Prevention''' hingegen bezeichnet den Schutz vor einem potentiellen Abfluss von Daten. 
Diesen Abfluss kann man nicht messen und manchmal sogar noch nicht einmal feststellen. 
Beiden Begriffen ist jedoch gemein, dass ein ungewollter Datenabfluss verhindert werden soll.

Beim Begriff „DLP“ handelt es sich ursprünglich um einen Marketingbegriff - eine wissenschaftliche Definition des Begriffes „DLP“ existiert nicht.

== Funktionen und Funktionsweise ==
Das Konzept von DLP geht davon aus, dass andere Schutzmechanismen wie Virenscanner oder Firewall versagen und deshalb das DLP-System eingreifen muss. Dies bedeutet, dass das DLP-System eine Vielzahl von Aufgaben und Funktionen haben kann:

:* Überwachung von Applikationen
:* Erkennung gefährlicher Applikationen
:* Überwachung von Datentransfers
:* Durchsetzung von Richtlinien beim Datenaustausch
:* Unterscheidung zwischen sensiblen und unkritischen Daten
:* Blockierung der Übertragung sensibler Daten
:* zentrale Erfassung der Datenbewegungen
:* Alarmierung bei kritischen Regelverstößen
:* usw.
Zusammengefasst bedeutet dies, dass DLP-Systeme sensible Daten identifizieren, Datenabflüsse protokollieren und möglichst den Abfluss sensibler Daten verhindern können müssen.

Um Datenabflüsse zu erkennen werden verschiedene Scan-Methoden durchgeführt:
:* Regelbasiertes Matching
::Es wird nach Daten gesucht, die einem bestimmten Muster entsprechen z.B. IBAN, BIC.
:* Exact File Matching
::Dateien werden anhand ihres Hash-Wertes erkannt. Die Untersuchung erfolgt also nicht auf Dateiinhalte.
:* Exact Data Matching
::Kombinationen von Daten werden in einem Index zusammengefasst z.B. Name, Vorname, Adresse. Es wird nach diesen Daten in einer beliebigen Reihenfolge in einem maximal vorgegebenen Abstand gesucht.
:* Formulare
::Dateien werden auf eine vorgegebenen Struktur / Muster hin untersucht z.B. Gehaltsabrechnungen.
:* Dateitypen
::Spezielle Dateitypen dürfen das Netzwerk des Unternehmens nicht verlassen z.B. Konstruktionspläne
:* Maschinelles Lernen
::Anhand von vielen Beispielen wird der Matcher trainiert, um selbstständig Entscheidungen zu treffen. Dieses Vorgehen kann bspw. bei der Erkennung von Quellcode genutzt werden.
:* usw.

== Anwendungsbereiche ==
In der heutigen Zeit können Daten auf viele verschiedene Arten gespeichert und ausgetauscht werden.
In diesem Zusammenhang werden folgende Arten unterschieden:
:* Data in Use / Daten in Benutzung
::Es handelt sich hierbei um Daten, die zum Zeitpunkt des Abfluss aktiv genutzt werden z.B. Daten im RAM, Cache oder CPU-Registern.
:* Data in Motion / Daten in Bewegung
::Es handelt sich hierbei um Daten, die zum Zeitpunkt des Abflusses über ein Netzwerk versendet werden z.B. Emails oder Uploads.
:* Data at Rest / Daten im Ruhezustand
::Es handelt sich hierbei um Daten, die eigentlich zum Zeitpunkt des Abfluss ungenutzt wären, jedoch für den Abfluss verwendet werden z.B. Dateien, Datenbanken Backups.

All diese Arten sind dazu geeignet Daten abfließen zu lassen und Datentransaktionen in diesen Bereichen müssen somit überwacht werden.
:* USB-Sticks
:* Speicherkarten
:* externe Festplatten
:* E-Mails
:* Netzlaufwerke
:* Uploads in bspw. Cloud-Applikationen
:* Smartphones
:* Tablets
:* Multifunktionsdrucker
:* Cut & Paste / Printscreen

Durch die verstärkte Möglichkeit mobil zu arbeiten und so unbeobachtet die Daten vom Bildschirm abzufotografieren, gibt es einen Weg, der nicht oder nur mit großem Aufwand erkannt werden kann.

== Vorteile beim Einsatz von DLP ==
[[Datei:DLP-Vorteile.jpg|750px|Abbildung 1: DLP-Vorteile (Quelle: Eigene Darstellung)]]

== Datendiebstahl-Vorfälle ==
Seitdem Daten eine neue Form der Währung sind, häufen sich die Vorfälle von Datendiebstählen.
Anbei ein kleiner Auszug an bekannten Vorfällen, bei dem die Prävention nicht gegriffen hat:
:* AOL-Accountdaten, 2004
:* Steuerdaten der LGT Bank, 2006
:* Steuerdaten der Credit Suisse, 2010
:* Steuerdaten der UBS, 2012
:* Sicherheitsrelevante Informationen des Flughafens London Heathrow, 2017
:* usw.

== Hinderungsgründe ==
Neben den Kosten und den üblichen technischen Problemen, die bei Einführung eines neuen Systeme auftreten können, muss bei einer DLP-Einführung auf den Datenschutz im Allgemeinen, den Arbeitnehmerdatenschutz im Speziellen und die daraus resultierende Abstimmung mit dem Betriebsrat geachtet werden.

== Quellen ==
https://www.diva-portal.org/smash/get/diva2:1026824/FULLTEXT02

http://www.fim.uni-linz.ac.at/diplomarbeiten/Masterarbeit_BauerSimon.pdf

https://digitalguardian.com/blog/what-data-loss-prevention-dlp-definition-data-loss-prevention

https://de.wikipedia.org/wiki/Data_Loss_Prevention

https://de.wikipedia.org/wiki/Liste_von_Datendiebst%C3%A4hlen

DLP

2022-04-22T18:29:17Z

St210391: Die Seite wurde neu angelegt: „== Definition == Hinter dem Akronym DLP werden die Begriffe„Data Leakage Prevention“ oder auch „Data Loss Prevention“ verstanden. Beide Begriffe werden…“

== Definition ==
Hinter dem Akronym DLP werden die Begriffe„Data Leakage Prevention“ oder auch „Data Loss Prevention“ verstanden.
Beide Begriffe werden im Allgemeinen synonym verwendet. In Fachkreisen hingegen werden die beiden Begriffe manchmal jedoch differenziert:
In diesen Fällen bezeichnet „Data Loss Prevention“ den Schutz vor unerwünschtem Abfluss von Daten, der Schaden verursacht. Im Gegensatz zur „Data Leakage Prevention“ wird dieser Abfluss allerdings bemerkt. „Data Leakage Prevention“ hingegen bezeichnet den Schutz vor einem potentiellen Abfluss von Daten. Diesen Abfluss kann man nicht messen und manchmal sogar noch nicht einmal feststellen.
Beiden Begriffen ist jedoch gemein, dass ein ungewollter Datenabfluss verhindert werden soll.

Beim Begriff „DLP“ handelt es sich ursprünglich um einen Marketingbegriff - eine wissenschaftliche Definition des Begriffes „DLP“ existiert nicht.

== Funktionen und Funktionsweise ==
Das Konzept von DLP geht davon aus, dass andere Schutzmechanismen wie Virenscanner oder Firewall versagen und deshalb das DLP-System eingreifen muss. Dies bedeutet, dass das DLP-System eine Vielzahl von Aufgaben und Funktionen haben kann:

• Überwachung von Applikationen
• Erkennung gefährlicher Applikationen
• Überwachung von Datentransfers
• Durchsetzung von Richtlinien beim Datenaustausch
• Unterscheidung zwischen sensiblen und unkritischen Daten
• Blockierung der Übertragung sensibler Daten
• zentrale Erfassung der Datenbewegungen
• Alarmierung bei kritischen Regelverstößen
• usw.
Zusammengefasst bedeutet dies, dass DLP-Systeme sensible Daten identifizieren, Datenabflüsse protokollieren und möglichst den Abfluss sensibler Daten verhindern können müssen.

Um Datenabflüsse zu erkennen werden verschiedene Scan-Methoden durchgeführt:
• Regelbasiertes Matching
Es wird nach Daten gesucht, die einem bestimmten Muster entsprechen z.B. IBAN, BIC.
• Exact File Matching
Dateien werden anhand ihres Hash-Wertes erkannt. Die Untersuchung erfolgt also nicht auf
Dateiinhalte.
• Exact Data Matching
Kombinationen von Daten werden in einem Index zusammengefasst z.B. Name, Vorname, Adresse.
Es wird nach diesen Daten in einer beliebigen Reihenfolge in einem maximal vorgegebenen Abstand
gesucht.
• Formulare
Dateien werden auf eine vorgegebenen Struktur / Muster hin untersucht z.B. Gehaltsabrechnungen.
• Dateitypen
Spezielle Dateitypen dürfen das Netzwerk des Unternehmens nicht verlassen z.B. Konstruktionspläne
• Maschinelles Lernen
Anhand von vielen Beispielen wird der Matcher trainiert, um selbstständig Entscheidungen zu treffen.
Dieses Vorgehen kann bspw. bei der Erkennung von Quellcode genutzt werden.
• usw.

== Anwendungsbereiche ==
In der heutigen Zeit können Daten auf viele verschiedene Arten gespeichert und ausgetauscht werden.
In diesem Zusammenhang werden folgende Arten unterschieden:
• Data in Use / Daten in Benutzung
Es handelt sich hierbei um Daten, die zum Zeitpunkt des Abfluss aktiv genutzt werden
z.B. Daten im RAM, Cache oder CPU-Registern.
• Data in Motion / Daten in Bewegung
Es handelt sich hierbei um Daten, die zum Zeitpunkt des Abflusses über ein Netzwerk versendet werden
z.B. Emails oder Uploads.
• Data at Rest / Daten im Ruhezustand
Es handelt sich hierbei um Daten, die eigentlich zum Zeitpunkt des Abfluss ungenutzt wären,
jedoch für den Abfluss verwendet werden z.B. Dateien, Datenbanken Backups.

All diese Arten sind dazu geeignet Daten abfließen zu lassen und Datentransaktionen in diesen Bereichen müssen somit überwacht werden.
• USB-Sticks
• Speicherkarten
• externe Festplatten
• E-Mails
• Netzlaufwerke
• Uploads in bspw. Cloud-Applikationen
• Smartphones
• Tablets
• Multifunktionsdrucker
• Cut & Paste / Printscreen

Durch die verstärkte Möglichkeit mobil zu arbeiten und so unbeobachtet die Daten vom Bildschirm abzufotografieren, gibt es einen Weg, der nicht oder nur mit großem Aufwand erkannt werden kann.

== Vorteile beim Einsatz von DLP ==
[[Datei:DLP-Vorteile.jpg|750px|Abbildung 1: DLP-Vorteile (Quelle: Eigene Darstellung)]]

== Datendiebstahl-Vorfälle ==
Seitdem Daten eine neue Form der Währung sind, häufen sich die Vorfälle von Datendiebstählen.
Anbei ein kleiner Auszug an bekannten Vorfällen, bei dem die Prävention nicht gegriffen hat:
• AOL-Accountdaten, 2004
• Steuerdaten der LGT Bank, 2006
• Steuerdaten der Credit Suisse, 2010
• Steuerdaten der UBS, 2012
• Sicherheitsrelevante Informationen des Flughafens London Heathrow, 2017
• usw.

== Hinderungsgründe ==
Neben den Kosten und den üblichen technischen Problemen, die bei Einführung eines neuen Systeme auftreten können, muss bei einer DLP-Einführung auf den Datenschutz im Allgemeinen, den Arbeitnehmerdatenschutz im Speziellen und die daraus resultierende Abstimmung mit dem Betriebsrat geachtet werden.

== Quellen ==
https://www.diva-portal.org/smash/get/diva2:1026824/FULLTEXT02

http://www.fim.uni-linz.ac.at/diplomarbeiten/Masterarbeit_BauerSimon.pdf

https://digitalguardian.com/blog/what-data-loss-prevention-dlp-definition-data-loss-prevention

https://de.wikipedia.org/wiki/Data_Loss_Prevention

https://de.wikipedia.org/wiki/Liste_von_Datendiebst%C3%A4hlen

Datei:DLP-Vorteile.jpg

2022-04-22T18:16:07Z

St210391:

Hauptseite

2022-04-22T17:58:18Z

St210391:

Willkommen beim IT-Forensik-Wiki der Hochschule Wismar. Hier werden wesentliche Begriffe zum Thema „Digitale Forensik“ erläutert.

== Literatur ==

[[Projektarbeiten]]

[[Abschlussarbeiten im Bachelor Studiengang "IT-Forensik"]]

[[Abschlussarbeiten im Master Studiengang "IT-Sicherheit und Forensik"]]

[[Forensik in DB]]

Michael Mundt, Maximilian Vogelei (Absolventen des Master-Fernstudienganges "IT-Sicherheit und Forensik"): IPython: Implementing distributed Processes of Computer Forensics: Combining Methods from Modern Data Science with those of Computer Forensics. Februar 2021, ISBN-13 : 979-8702298122 ([https://www.amazon.de/IPython-Implementing-distributed-Processes-Forensics/dp/B08WJTQF4G/ref=sr_1_6?__mk_de_DE=%C3%85M%C3%85%C5%BD%C3%95%C3%91&dchild=1&keywords=IPython&qid=1616347276&sr=8-6 hier zu erwerben])

== Stichworte IT-Forensik ==
=== A ===
[[ACPO]]

[[Aggregation]]

[[AmCache]]

[[Angriffe auf Forensik-Software]]

[[Anti-Forensik]]

[[Anwendungsarchitektur]]

[[Arbeitsspeicher]]

[[Asset Relocation]]

[[APT]]

[[Autopsy]]

=== B ===
[[BBED]]

[[Betriebssystem]]

[[Bitlocker]]

[[Blacklisting]]

[[BLOB]]

[[BlockchainForensik|Blockchain Forensik]]

[[Blockchainbasierte Datenbank]]

[[Broken Authentication]]

[[Brute Force]]

[[BSI-Vorgehensmodell]]

[[Bundesdatenschutzgesetz (BDSG)]]

[[BurpSuite]]

=== C ===
[[Cache]]

[[Canarytoken]]

[[CERT-Taxonomie]]

[[Chain of Custody]]

[[Cheat Engine]]

[[Checkliste IT-Forensik für Unternehmen]]

[[Chip-Off]]

[[Clickjacking]]

[[Cold Backup]]

[[Command-and-Control-Server]]

[[Computer Sabotage]]

[[Containervirtualisierung]]

[[Cookies]]

[[Cross Site Scripting (XSS)]]

[[CryptoLocker]]

[[Cybercrime]]

=== D ===
[[Darknet]]

[[Dateiheader]]

[[Datenanalyse]]

[[Datenbank Firewall]]

[[Datenbankausführungsplan]]

[[Datenbankforensik]]

[[Datenbankmanagementsystem]]

[[Datenreduktion]]

[[Datensammlung]]

[[Datenschutz in der IT-Forensik]]

[[Datenvernichtung]]

[[Datenverschleierung]]

[[DDL & DML]]

[[Deep Packet Inspection]]

[[Deep Web]]

[[Diff]]

[[Digitale Artefakte]]

[[Digitale Forensik]]

[[DLL (.dll Dateien)]]

[[DLP]]

[[DNS-Tunneling]]

[[Dokumentation]]

[[DoS & DDoS]]

[[Doxing]]

[[.DS-Store]]

[[Dual Use Software]]

[[Dynamische Analyse]]

=== E ===
[[E-Mail-Verschlüsselung und Signatur in der IT-Forensik]]

[[eDiscovery]]

[[Egg Hunting]]

[[ENISA]]

[[Ermittlungsprozess]]

[[Error Based SQL Injection]]

[[Exchangeable Image File Format (EXIF)]]

[[Exploit]]

=== F ===
[[File Carving]]

[[Fingerprinting (Browser)]]

[[Fingerprinting (Betriebssystem)]]

[[Flash Speicher]]

[[Flüchtige Daten]]

[[Footprinting]]

[[Forensik]]

[[Forensic Data Mining]]

[[Forensic Readiness]]

[[Forensische Duplikation]]

[[Forensischer Koffer]]

[[Fragmentierung]]

[[Fuzzing]]

=== G ===
[[Geotag]]

[[GeoIP-Datenbank]]

[[Gerichtsfestigkeit]]

[[Google Hacking]]

=== H ===
[[Hardware-Sicherheitsmodul]]

[[Hashcat]]

[[Hashwert]]

[[Hilfstatort]]

[[Honeypot]]

=== I ===
[[ICMP - Internet Control Message Protocol]]

[[Identitätsanbieter]]

[[IDS - Intrusion Detection System]]

[[Image]]

[[Imaging]]

[[IMSI-Catcher]]

[[Incident-Response-Team]]

[[Indicator of Compromise]]

[[Inline (Queries) SQL Injection]]

[[Integrität]]

[[IT-Forensik]]

[[IPS - Intrusion Prevention System]]

=== J ===
[[Jailbreak]]

[[Journaling-Dateisystem]]

[[Jump Lists]]

=== K ===

[[Installieren eines Live-Kali-Linux-System auf USB-Stick|Kali-Linux-Live-System auf USB-Stick installieren]]

[[Kaltstartattacke]]

[[Kausalität in der Forensik]]

[[Kerberos]]

[[Keystroke Injection Attack Tool]]

[[Korrelation]]

=== L ===
[[Lateral Movement]]

[[LDAP-Injection]]

[[Litigation Hold]]

[[Live-Forensik]]

[[Local file inclusion]]

[[Locard'sche Regel]]

[[Lockheed Martin Cyber Kill Chain]]

[[Log-File]]

[[LogMining]]

=== M ===
[[Magnet Axiom]]

[[MariaDB-Audit-Plugin|MariaDB Audit Plugin]]

[[Memory Forensics]]

[[Metadaten]]

[[Mobiltelefon-Forensik]]

=== N ===
[[Netcat]]

[[Netflow]]

[[Never-Touch-Original]]

[[Nmap]]

[[NTFS]]

[[Nutzdaten]]

=== O ===
[[Online-Forensik]]

[[Offline-Forensik]]

[[Ontologie & Semantik]]

[[Oracle DB]] (Forensische Aspekte)

[[Order of Volatility]]

[[OSINT-Werkzeug]]

[[Out-of-Band]]

=== P ===
[[Pass-the-Hash-Attack]]

[[Payload]]

[[Partition]]

[[PCMCIA]]

[[Penetrationstest]]

[[PhotoDNA]]

[[PostgreSQL Command Execution]]

[[Post-Mortem-Analyse]]

[[Prepared Statement]]

[[Prozess der Mobiltelefon Forensik]]

[[Prüfsumme]]

[[P2P (Peer-to-Peer) Software / Netzwerke]]

=== Q ===

[[Query Log]]

=== R ===

[[Radare 2 - Reverse Engineering Framework]]

[[Rainbow Table]]

[[Redo Logs]]

[[Registry]]

[[Remote Access Trojaner (RAT)]]

[[Replay Attack]]

[[Reverse Engineering]]

[[Rogue Access Point & Evil Twin]]

[[Rootkit]]

=== S ===
[[SAP-Modell]]

[[Sandbox]]

[[Security Information and Event Management (SIEM)]]

[[Seitenkanalattacke]]

[[Semantik]]

[[ShimCache]]

[[Sigma]]

[[Skimming]]

[[Skript-Kiddie]]

[[Slack Space]]

[[Sleuthkit]]

[[Smishing]]

[[Sparse Image]]

[[Stack-basierte Buffer-Overflow Angriffe in Microsoft Windows]]

[[Statische Analyse]]

[[Sniffing]]

[[Sealbag]]

[[Secure Erase]]

[[SpiderFoot]]

[[Spuren]]

[[SQL Injection]]

[[SQL Stored Procedures]]

[[SQLite Datenbanken auslesen mittels Python]]

[[Sqlmap]]

[[SSL Inspection]]

[[Steganographie]]

=== T ===
[[Tatort]]

[[Team Win Recovery Project]]

[[Threat Intelligence]]

[[Thunderspy]]

[[Timeline]]

[[Triage]]

[[Trigger in DBMS]]

[[Trugspur]]

[[Tsurugi-Linux]]

[[Totmannschalter]]

=== U ===
[[Unallocated Data (Nicht zugeordnete Daten)]] 
[[UNION Based SQL Injection]]

=== V ===
[[Verfügbarkeit]]

[[Vertraulichkeit]]

[[Vertraulichkeit in Datenbanksystemen]]

[[Volume Shadow Copies]]

[[Vorsorge für die IT-Forensik]]

[[Video-Forensik]]

=== W ===
[[W-Fragen]]

[[Watering-Holes]]

[[Web-Application-Firewall]]

[[Whitelisting]]

[[Why-Because-Analyse (WBA)]]

[[Windows-RAM auslesen]]

[[Windows-Prefetch]]

[[Wiping]]

[[Wireshark]]

[[Write Blocker]]

[[Wörterbuchangriff]]

=== X ===
[[Xmount]]

=== Z ===
[[Zeit]]

[[Zeitbasierte SQL Injection Attacken]]

[[Zenmap]]

[[Zero-Day-Exploit]]

[[Ziele einer forensischen Untersuchung nach A. Geschonneck]]

== Fernstudiengänge an der Hochschule Wismar (berufsbegleitend) ==

[https://www.wings.hs-wismar.de/de/fernstudium_bachelor/it_forensik IT-Forensik, Bachelor]

[https://www.wings.hs-wismar.de/de/fernstudium_master/it_sicherheit_und_forensik/ IT-Sicherheit und Forensik, Master]

== Starthilfen ==

* Hilfe zur Benutzung und Konfiguration der Wiki-Software finden Sie im [https://www.mediawiki.org/wiki/Special:MyLanguage/Help:Contents Benutzerhandbuch]
* [https://www.mediawiki.org/wiki/Special:MyLanguage/Manual:Configuration_settings Liste der Konfigurationsvariablen]
* [https://www.mediawiki.org/wiki/Special:MyLanguage/Manual:FAQ MediaWiki-FAQ]
* [https://lists.wikimedia.org/mailman/listinfo/mediawiki-announce Mailingliste neuer MediaWiki-Versionen]
* [https://www.mediawiki.org/wiki/Special:MyLanguage/Localisation#Translation_resources Übersetze MediaWiki für deine Sprache]
* [https://www.mediawiki.org/wiki/Special:MyLanguage/Manual:Combating_spam Erfahre, wie du Spam auf deinem Wiki bekämpfen kannst]