IT-Forensik Wiki - Benutzerbeiträge [de]

Diamond-Modell

2023-07-12T06:19:22Z

St221400: Die Seite wurde neu angelegt: „== Diamond-Modell == Das 2013 veröffentlichte „Diamond Model“ ist ein Ansatz zur systematischen Beschreibung von Angriffen auf IT-Systeme. Es wird primär…“

== Diamond-Modell ==
Das 2013 veröffentlichte „Diamond Model“ ist ein Ansatz zur systematischen Beschreibung von Angriffen auf IT-Systeme. Es wird primär von Nachrichtendiensten, aber auch IT-Forensik-Unternehmen im sog. Attributionsprozess genutzt. Attribution ist die Zuordnung eines Angriffes zu einer Angreifergruppierung, welche in diesem Kontext häufig als “APT” (Advanced Persistent Threat) fortlaufend nummeriert oder nach einem anderen Schema benannt werden.

Jeder Angriff besteht aus einer Folge von Ereignissen (events), von denen jedes durch vier zentrale Aspekte beschrieben ist:
„For every intrusion event there exists an '''adversary''' taking a step towards an intended goal by using a '''capability''' over '''infrastructure''' against a '''victim''' to produce a result.“

[[Datei:Diamond Modell.png|mini]]
Die darin enthaltenen vier zentralen Aspekte sind:

* Angreifer (adversary), z. B. kategorisiert nach Muttersprache, Zeitzone, Spitznamen.
* Fähigkeiten (capabilities), z. B. verwendete Schadprogramme, Tools, Expertise
* Infrastruktur (infrastructure), z. B. gemietete Server, Zugriff auf gestohlene Identitäten
* Opfer (victim), z. B. Branche, Region, Art der gestohlenen Daten

Damit verfolgt es einen ähnlichen Ansatz wie das CERT-Modell, verwendet aber andere Begriffe zur Klassifizierung und Untersuchung von IT-Angriffen.

Die Verbindungen in der grafischen Darstellung symbolisieren, wie ausgehend von einem Aspekt auf Details anderer Aspekte eines Angriffes geschlossen werden kann, dieser Prozess heißt im Diamond Model analytic pivoting. Zum Beispiel kann ein Analyst ausgehend vom Opfer eines Angriffes erkennen, über welche Infrastruktur und mit welchen Fähigkeiten ein Angriff stattgefunden hat. Oder wenn die für einen Angriff benutzte Infrastruktur bekannt ist, lassen sich mögliche weitere Opfer sowie die Fähigkeiten des Angreifers ableiten und evtl. auch Hinweise auf den Angreifer erhalten.

Daneben gibt es sechs Arten von zusätzlichen Metadaten (meta features) zu jedem Ereignis:

* Zeit (timestamp)
* Angriffsphase (phase), z. B. Auskundschaften, Exploit)
* Ergebnis (result), z. B. Datendiebstahl, Datenmanipulation
* Richtung (direction), z. B. zum Opfer oder zum Angreifer oder bidirektional
* Methode (methodology), z. B. spear fishing, DDoS-Attacke
* erforderliche Ressourcen (resources), z. B. E-Mail oder IP-Adresse eines Opfers.

Jeder der vier Aspekte und die zusätzlichen Metadaten können beliebig weiter unterteilt werden, um vollständige, detaillierte Beschreibungen der Ereignisse von IT-Angriffen zu erstellen.
Das vollständige Modell enthält für seine analytische Verwendung noch die folgenden weiteren Elemente:
* Zwei Metaebenen, die Verbindungen zwischen den vier zentralen Aspekten beschreiben:
** Das „'''technology meta feature'''“ ist die Verbindung zwischen Infrastruktur und Fähigkeiten und beschreibt die Technologie, die das Zusammenwirken von beiden ermöglichen. Wenn z. B. eine Malware das Domain Name System (DNS) verwendet, um eine Verbindung zu einem Command-and-Control-Server aufzunehmen, ist DNS Teil des technology meta feature.
** Das „'''social political meta feature'''“ beschreibt die Beziehung zwischen Angreifer und Opfer, z. B. gemeinsame oder gegensätzliche Interessen und Motive für den Angriff.
* Die Verknüpfung mehrerer nach obigem Schema beschriebenen Ereignisse zu komplexeren Zusammenhängen und zur Veranschaulichung des Ablaufs von IT-Angriffen:
** '''Activity threads''' – die verschiedenen festgestellten Ereignisse eines IT-Angriffs mit ihren logischen Abhängigkeiten und unterteilt nach Angriffsphasen
** '''Acitivity attack graphs''' – ein größeres Bild, das mögliche zusätzliche Ereignisse ergänzt, um potentielle weitere Aktivitäten eines Angreifers aufzudecken, vorauszuahnen und ggf. zu verhindern
** '''Activity groups''' – Die Zusammenfassung von Ereignissen und activity threads mit ähnlichen Merkmalen, um Gemeinsamkeiten zu erkennen und hinter mehreren Angriffen stehende Angreifer und ihre verwendete Infrastruktur zu erkennen.

Quellen:

* https://www.threatintel.academy/diamond/ - Webseite mit Beschreibung des Modells und der erstmaligen Veröffentlichung in 2013
* https://www.threatintel.academy/diamond_summary/ - Zusammenfassende Beschreibung des Modells in Textform
* https://www.threatintel.academy/diamond_poster/ - Grafische Darstellung und Zusammenfassung des Modells
* https://www.threatintel.academy/diamond-model-2/ - Whitepaper von Sergio Caltagirone, Andrew Pendergast, Christopher Betz mit der ursprünglichen Veröffentlichung des Diamond Models in 2013

* Timo Steffens, 2018, Auf der Spur der Hacker: Wie man die Täter hinter der Computer-Spionage enttarnt, Springer Vieweg Berlin, Heidelberg, https://doi.org/10.1007/978-3-662-55954-3

Datei:Diamond Modell.png

2023-07-12T06:09:29Z

St221400:

Abbildung des Diamond Modell. Quelle: Diamond Model Summary

Hauptseite

2023-07-12T06:04:14Z

St221400: /* D */

Willkommen auf dem IT-Forensik-Wiki der Hochschule Wismar. Hier werden wesentliche Begriffe zum Thema „Digitale Forensik“ erläutert.

== Literatur ==

[[Projektarbeiten]]

[[Abschlussarbeiten im Bachelor Studiengang "IT-Forensik"]]

[[Abschlussarbeiten im Master Studiengang "IT-Sicherheit und Forensik"]]

[[Forensik in DB]]

Julia Winkler: KI-Detektoren im Test – Zero Tolerance Policy für ChatGPT mit zerogpt.com, [[Media:KI-Detektoren-Test_Winkler.pdf|Download PDF-Dokument]]

Antje Raab-Düsterhöft: Introduction into Database Forensics - Issues to be solved. DFRWS-EU, "Woman in Forensic Computing", Bonn, 20.3.2023, [[Media:WIF-2023-ARD2.pdf|Download Slides]]

Michael Mundt, Maximilian Vogelei (Absolventen des Master-Fernstudienganges "IT-Sicherheit und Forensik"): IPython: Implementing distributed Processes of Computer Forensics: Combining Methods from Modern Data Science with those of Computer Forensics. Februar 2021, ISBN-13 : 979-8702298122 ([https://www.amazon.de/IPython-Implementing-distributed-Processes-Forensics/dp/B08WJTQF4G/ref=sr_1_6?__mk_de_DE=%C3%85M%C3%85%C5%BD%C3%95%C3%91&dchild=1&keywords=IPython&qid=1616347276&sr=8-6 hier zu erwerben])

== Stichworte IT-Forensik ==
=== A ===
[[ACPO]]

[[Aggregation]]

[[AmCache]]

[[Angriffe auf Forensik-Software]]

[[Anti-Forensik]]

[[Anwendungsarchitektur]]

[[Arbeitsspeicher]]

[[Asset Relocation]]

[[APT]]

[[Autopsy]]

[[Alternative Data Stream (ADS)]]

=== B ===
[[BBED]]

[[Betriebssystem]]

[[Bitlocker]]

[[Blacklisting]]

[[BLOB]]

[[BlockchainForensik|Blockchain Forensik]]

[[Blockchainbasierte Datenbank]]

[[Broken Authentication]]

[[Brute Force]]

[[BSI-Vorgehensmodell]]

[[Bundesdatenschutzgesetz (BDSG)]]

[[BurpSuite]]

=== C ===
[[Cache]]

[[Canarytoken]]

[[CERT-Taxonomie]]

[[Chain of Custody]]

[[Cheat Engine]]

[[Checkliste IT-Forensik für Unternehmen]]

[[Chip-Off]]

[[Clickjacking]]

[[Cloud Log Forensik]]

[[Cold Backup]]

[[Command-and-Control-Server]]

[[Computer Sabotage]]

[[Containervirtualisierung]]

[[Cookies]]

[[Cross Site Scripting (XSS)]]

[[CryptoLocker]]

[[CSA - Cloud Security Alliance]]

[[CTI - Cyber Threat Intelligence]]

[[CVE - Common Vulnerabilities and Exposures]]

[[Cybercrime]]

=== D ===
[[Darknet]]

[[Dateiheader]]

[[Datenanalyse]]

[[Datenbank Firewall]]

[[Datenbankausführungsplan]]

[[Datenbankforensik]]

[[Datenreduktion]]

[[Datensammlung]]

[[Datenschutz in der IT-Forensik]]

[[Datenvernichtung]]

[[Datenverschleierung]]

[[DDL & DML]]

[[Deep Packet Inspection]]

[[Deep Web]]

[[Diamond-Modell]]

[[Wörterbuchangriff|Dictionary Attack]]

[[Diff]]

[[Digitale Artefakte]]

[[Digitale Forensik]]

[[DLL (.dll Dateien)]]

[[DLP]]

[[DNS-Tunneling]]

[[Dokumentation]]

[[DoS & DDoS]]

[[Doxing]]

[[.DS-Store]]

[[Dual Use Software]]

[[Dumpster Diving]]

[[Dynamische Analyse]]

=== E ===
[[E-Mail-Header]]

[[E-Mail-Verschlüsselung und Signatur in der IT-Forensik]]

[[eDiscovery]]

[[Egg Hunting]]

[[ENISA]]

[[Ermittlungsprozess]]

[[Error Based SQL Injection]]

[[Exchangeable Image File Format (EXIF)]]

[[Exploit]]

=== F ===
[[File Carving]]

[[Fingerprinting (Browser)]]

[[Fingerprinting (Betriebssystem)]]

[[Flash Speicher]]

[[Flüchtige Daten]]

[[Footprinting]]

[[Forensik]]

[[Forensic Data Mining]]

[[Forensic Readiness]]

[[Forensische Duplikation]]

[[Forensischer Koffer]]

[[Fragmentierung]]

[[Fuzzing]]

=== G ===
[[Geotag]]

[[GeoIP-Datenbank]]

[[Gerichtsfestigkeit]]

[[Google Hacking]]

=== H ===
[[Hackback]]

[[Hardware-Sicherheitsmodul]]

[[Hashcat]]

[[Hashwert]]

[[Hilfstatort]]

[[Honeypot]]

=== I ===
[[ICMP - Internet Control Message Protocol]]

[[Identitätsanbieter]]

[[IDS - Intrusion Detection System]]

[[Image]]

[[Imaging]]

[[IMSI-Catcher]]

[[Incident-Response-Team]]

[[Indicator of Compromise]]

[[Inline (Queries) SQL Injection]]

[[Integrität]]

[[IT-Forensik]]

[[IT-Forensisches Gutachten]]

[[IPS - Intrusion Prevention System]]

=== J ===
[[Jailbreak]]

[[Journaling-Dateisystem]]

[[Juice Jacking]]

[[Jump Lists]]

=== K ===

[[Installieren eines Live-Kali-Linux-System auf USB-Stick|Kali-Linux-Live-System auf USB-Stick installieren]]

[[Kaltstartattacke]]

[[Kausalität in der Forensik]]

[[Kerberos]]

[[Keystroke Injection Attack Tool]]

[[Korrelation]]

=== L ===
[[Lateral Movement]]

[[LDAP-Injection]]

[[Litigation Hold]]

[[Live-Forensik]]

[[Local file inclusion]]

[[Locard'sche Regel]]

[[Lockheed Martin Cyber Kill Chain]]

[[Log-File]]

[[LogMining]]

[[Logical Volume Manager (LVM)]]

=== M ===
[[Magnet Axiom]]

[[Malware]]

[[MariaDB-Audit-Plugin|MariaDB Audit Plugin]]

[[Memory Forensics]]

[[Metadaten]]

[[Mobiltelefon-Forensik]]

[[Metadata Carving]]

=== N ===
[[Netcat]]

[[Netflow]]

[[Netzwerk-Forensik]]

[[Never-Touch-Original]]

[[Nmap]]

[[NTFS]]

[[Nutzdaten]]

=== O ===
[[OCR]]

[[Online-Forensik]]

[[Offline-Forensik]]

[[Ontologie & Semantik]]

[[Oracle DB]] (Forensische Aspekte)

[[Order of Volatility]]

[[OSINT]]

[[OSINT-Werkzeug]]

[[Out-of-Band]]

=== P ===
[[Pass-the-Hash-Attack]]

[[Passwortsicherheit]]

[[Payload]]

[[Partition]]

[[PCMCIA]]

[[Penetrationstest]]

[[PhotoDNA]]

[[PostgreSQL Command Execution]]

[[Post-Mortem-Analyse]]

[[Prepared Statement]]

[[Privilege Escalation]]

[[Prozess der Mobiltelefon Forensik]]

[[Prüfsumme]]

[[P2P (Peer-to-Peer) Software / Netzwerke]]

[[PIC]]

=== Q ===

[[Query Log]]

[[QRT: Quick Reaction Team]]

[[QRT: Quick Response Team]]

=== R ===

[[Radare 2 - Reverse Engineering Framework]]

[[Rainbow Table]]

[[Ransomware]]

[[Privilege_Escalation|Rechteausweitung]]

[[Redo Logs]]

[[Registry]]

[[Remote Access Trojaner (RAT)]]

[[Replay Attack]]

[[Reverse Engineering]]

[[Rogue Access Point & Evil Twin]]

[[Rootkit]]

=== S ===
[[SAP-Modell]]

[[Sandbox]]

[[Schwachstelle]]

[[Security Information and Event Management (SIEM)]]

[[Security Operations Center (SOC)]]

[[Seitenkanalattacke]]

[[Semantik]]

[[Server Side Request Forgery]]

[[Shellbags]]

[[ShimCache]]

[[Sigma]]

[[Skimming]]

[[Skript-Kiddie]]

[[Slack Space]]

[[Sleuthkit]]

[[Smishing]]

[[Sparse Image]]

[[Stack-basierte Buffer-Overflow Angriffe in Microsoft Windows]]

[[Statische Analyse]]

[[Sniffing]]

[[Sealbag]]

[[Secure Erase]]

[[Server Side Request Forgery]]

[[SpiderFoot]]

[[Spuren]]

[[SQL Injection]]

[[SQL Stored Procedures]]

[[SQLite Datenbanken auslesen mittels Python]]

[[Sqlmap]]

[[SSL Inspection]]

[[Steganographie]]

[[Steghide]]

[[Supply Chain Attack]]

=== T ===
[[Tatort]]

[[Team Win Recovery Project]]

[[Threat Intelligence]]

[[Thunderspy]]

[[Timeline]]

[[Triage]]

[[Trigger in DBMS]]

[[Trugspur]]

[[Tsurugi-Linux]]

[[Totmannschalter]]

=== U ===
[[Unallocated Data (Nicht zugeordnete Daten)]]<br>
[[UNION Based SQL Injection]]

=== V ===
[[Verfügbarkeit]]

[[Vertraulichkeit]]

[[Vertraulichkeit in Datenbanksystemen]]

[[VPN]]

[[Volume Shadow Copies]]

[[Vorsorge für die IT-Forensik]]

[[Video-Forensik]]

=== W ===
[[W-Fragen]]

[[Watering-Holes]]

[[Web-Application-Firewall]]

[[Whitelisting]]

[[Why-Because-Analyse (WBA)]]

[[Windows-RAM auslesen]]

[[Windows-Papierkorb]]

[[Windows-Prefetch]]

[[Wiping]]

[[Wireshark]]

[[Write Blocker]]

[[Wörterbuchangriff]]

[[Worm]]

=== X ===
[[Xmount]]

=== Z ===
[[Zeit]]

[[Zeitstempel]]

[[Zeitbasierte SQL Injection Attacken]]

[[Zenmap]]

[[Zero-Day-Exploit]]

[[Ziele einer forensischen Untersuchung nach A. Geschonneck]]

== Fernstudiengänge an der Hochschule Wismar (berufsbegleitend) ==

[https://www.wings.hs-wismar.de/de/fernstudium_bachelor/it_forensik IT-Forensik, Bachelor]

[https://www.wings.hs-wismar.de/de/fernstudium_master/it_sicherheit_und_forensik/ IT-Sicherheit und Forensik, Master]

== Starthilfen ==

* Hilfe zur Benutzung und Konfiguration der Wiki-Software finden Sie im [https://www.mediawiki.org/wiki/Special:MyLanguage/Help:Contents Benutzerhandbuch]
* [https://www.mediawiki.org/wiki/Special:MyLanguage/Manual:Configuration_settings Liste der Konfigurationsvariablen]
* [https://www.mediawiki.org/wiki/Special:MyLanguage/Manual:FAQ MediaWiki-FAQ]
* [https://lists.wikimedia.org/mailman/listinfo/mediawiki-announce Mailingliste neuer MediaWiki-Versionen]
* [https://www.mediawiki.org/wiki/Special:MyLanguage/Localisation#Translation_resources Übersetze MediaWiki für deine Sprache]
* [https://www.mediawiki.org/wiki/Special:MyLanguage/Manual:Combating_spam Erfahre, wie du Spam auf deinem Wiki bekämpfen kannst]