IT-Forensik Wiki - Benutzerbeiträge [de]

Yara Regeln

2023-07-15T18:59:20Z

St221770: /* Grundlagen */

== Grundlagen ==
[https://virustotal.github.io/yara/ Yara] (YARA: Another Recursive Ancronym) wurde von [https://www.virustotal.com/gui/home/upload VirusTotal] entwickelt und soll bei der Erkennung von Schadprogrammen helfen. Das Projekt ist ein quelloffenes Framework und unter Github öffentlich verfügbar. Das Ziel von Yara ist es mit gleichnamigen Yara Regeln Muster zu erstellen, um Malware oder Malware Samples auf Computersystemen zu finden. Ebenfalls lassen sich Malware Samples klassifizieren und einer Malware-Family zuordnen. Dabei können diese Muster nicht nur in Softwaredateien, sondern auch im Arbeitsspeicher gefunden werden.

Yara ist multiplattform einsetzbar und kann daher auf Windows, Linux und MacOS verwendet werden.

Zum Verwenden von Yara regeln wird zum einen ein Yara Scanner und entsprechende Yara Regeln benötigt.

== Yara Regeln ==
Yara Regeln bestehen aus einer Datei mit der Endung '''yar'''. Dabei kann die Datei mit jedem Texteditor erstellt werden. Jede Yara Regel muss einem gewissen Muster folgen, dabei betrachten wir nachfolgend eine Beispiel-Regel und beschreiben jede einzelne Komponente.

rule malware_finder {
meta:
Description = “Einfache Beispielregel um eine Malware zu erkennen”
author = “Wings Studenten”
date = “2023-07-09”
strings:
$string1 = “malware”
$string2 = “10.11.20.20”
$string3 = {0a ba 8a 01 05 06 0a}
condition:
($string1 or $string2 and not $string3) and filesize < 200KB
}

Zu Beginn der Regel muss immer das Keyword '''rule''' gefolgt von einem aussagekräftigen Namen stehen. Dieser Name wird später im Scanner angezeigt, wenn die Regel bei einer Datei zutrifft.

Unter dem Keyword “meta” können einzelne Angaben zu der Regel selber gemacht werden. Wie oben zu sehen können Angaben wie eine Beschreibung, der Autor oder das Datum hinterlegt werden. Dabei haben diese Angaben keine Auswirkungen auf den Suchprozess der Yara Regel.

Das erste Wichtige Keyword leitet '''strings''' ein. Unter diesem Keyword können ASCII Zeichenketten oder Hexadezimale Werte gespeichert werden. Diese werden dann bei dem Ausführen und Anwenden der Yara Regel berücksichtigt. Dabei gibt es keine Einschränkungen wie diese Zeichenketten aussehen. Es können beispielsweise auch direkt IP-Adressen von Servern von Advanced Persistent Threats (APT) hinterlegt werden.

Der Wichtigste Teil der Regel wird unter dem Keyword “condition” hinterlegt. Dabei beschreibt dieser Teil die Logik der Regel. Dabei können mit den Schlüsselwörtern '''and''', '''or''' und '''not''' Logiken untereinander aufgebaut werden. Wie in dem Beispiel oben zu sehen, muss die Datei den String '''malware''' oder die IP-Adresse 10.11.20.20 enthalten. Weiter darf die Hexadezimale Zeichenfolge {0a ba 8a 01 05 06 0a} nicht enthalten sein. Abschließend muss die Dateigröße unter 200KB sein. Sind all diese Angaben erfüllt, wird der Yara Scanner die gefundene Datei als Finding ausgeben.

== Yara Scanner ==

Es gibt eine große Anzahl an verschiedenen Yara Scannern, daher wird an dieser Stelle nur der Scanner [https://github.com/Neo23x0/Loki Loki] vorgestellt. Loki wurde in Python entwickelt und kann damit unter Windows, Linux und MacOS verwendet werden. Das Programm ist neben Yara auch als Indicator Of Compromise (IOC) Scanner einsetzbar. Nach dem Herunterladen und Starten (weitere Informationen stehen im [https://github.com/Neo23x0/Loki Github]) befindet sich der Ordner “signature-base” im Installationsverzeichnis. Dieser legt fest, nach welchen Regeln gescannt werden soll. Soll nun nach einer bestimmten Regel gesucht werden, kann diese einzige Yara Regel in das Verzeichnis abgelegt werden. Im Anschluss kann Loki dann über den Befehl ausgeführt werden:

python3 loki.py -p /directory/to/scan

In der Ausgabe werden dann entsprechende Treffer angezeigt oder die durchsuchten Dateien als Gutartig bewertet.

== Yara Generatoren ==
Da das Erstellen einer Zuverlässigen Yara Regel einige Zeit dauern kann, gibt es Yara Regel Generatoren, die einem helfen sollen, diese Zeit zu minimieren. Dabei wird eine Yar-Datei erstellt, die im Anschluss direkt zum Scannen verwendet werden kann.

Ebenfalls gibt es neben Yara Scannern viele Yara Generatoren. An dieser Stelle soll [https://github.com/Neo23x0/yarGen yarGen] ( vorgestellt werden, welches von dem gleichen Entwickler wie Loki erstellt wurde.

Dabei kann nach Installation das Tool wie folgt aufgerufen werden:

python3 yarGen.py -m /path/to/file --excludegood –o /output/file/path/rule.yar

Dabei sorgt die Einstellung '''--exludegood''' dafür, dass in der Yara Regel alle Zeichenketten entfernt werden die von yarGen als Legitime und bekannte Strings für gutartige Software bekannt sind. Diese Flagge hilft eher bei der Malware suche. Bei dem Auffinden von Dateien in einer forensischen Analyse sollte diese Einstellung weggelassen werden, da potentiell auch nach gutartigen Softwaren gesucht werden muss.
Generell sollten Yara Generatoren nur verwendet werden, wenn bereits gute Erfahrungen im Umgang mit Yara Regeln vorhanden sind. In den meisten Fällen sind weniger Regel Einträge Zielführender als eine lange “string” liste. Grundsätzlich können Generatoren auch nur als Ausgangspunkt verwendet werden, um aus der generierten Yara Regel eine minimierte Version zu erstellen.

== Referenzen ==
* https://virustotal.github.io/yara/
* https://github.com/Neo23x0/yarGen
* https://github.com/Neo23x0/Loki
* https://www.nextron-systems.com/2015/02/16/write-simple-sound-yara-rules/

Yara Regeln

2023-07-15T18:58:04Z

St221770:

== Grundlagen ==
[https://virustotal.github.io/yara/ Yara] (YARA: Another Recursive Ancronym) wurde von VirusTotal entwickelt und soll bei der Erkennung von Schadprogrammen helfen. Das Projekt ist ein quelloffenes Framework und unter Github öffentlich verfügbar. Das Ziel von Yara ist es mit gleichnamigen Yara Regeln Muster zu erstellen, um Malware oder Malware Samples auf Computersystemen zu finden. Ebenfalls lassen sich Malware Samples klassifizieren und einer Malware-Family zuordnen. Dabei können diese Muster nicht nur in Softwaredateien, sondern auch im Arbeitsspeicher gefunden werden.

Yara ist multiplattform einsetzbar und kann daher auf Windows, Linux und MacOS verwendet werden.

Zum Verwenden von Yara regeln wird zum einen ein Yara Scanner und entsprechende Yara Regeln benötigt.

== Yara Regeln ==
Yara Regeln bestehen aus einer Datei mit der Endung '''yar'''. Dabei kann die Datei mit jedem Texteditor erstellt werden. Jede Yara Regel muss einem gewissen Muster folgen, dabei betrachten wir nachfolgend eine Beispiel-Regel und beschreiben jede einzelne Komponente.

rule malware_finder {
meta:
Description = “Einfache Beispielregel um eine Malware zu erkennen”
author = “Wings Studenten”
date = “2023-07-09”
strings:
$string1 = “malware”
$string2 = “10.11.20.20”
$string3 = {0a ba 8a 01 05 06 0a}
condition:
($string1 or $string2 and not $string3) and filesize < 200KB
}

Zu Beginn der Regel muss immer das Keyword '''rule''' gefolgt von einem aussagekräftigen Namen stehen. Dieser Name wird später im Scanner angezeigt, wenn die Regel bei einer Datei zutrifft.

Unter dem Keyword “meta” können einzelne Angaben zu der Regel selber gemacht werden. Wie oben zu sehen können Angaben wie eine Beschreibung, der Autor oder das Datum hinterlegt werden. Dabei haben diese Angaben keine Auswirkungen auf den Suchprozess der Yara Regel.

Das erste Wichtige Keyword leitet '''strings''' ein. Unter diesem Keyword können ASCII Zeichenketten oder Hexadezimale Werte gespeichert werden. Diese werden dann bei dem Ausführen und Anwenden der Yara Regel berücksichtigt. Dabei gibt es keine Einschränkungen wie diese Zeichenketten aussehen. Es können beispielsweise auch direkt IP-Adressen von Servern von Advanced Persistent Threats (APT) hinterlegt werden.

Der Wichtigste Teil der Regel wird unter dem Keyword “condition” hinterlegt. Dabei beschreibt dieser Teil die Logik der Regel. Dabei können mit den Schlüsselwörtern '''and''', '''or''' und '''not''' Logiken untereinander aufgebaut werden. Wie in dem Beispiel oben zu sehen, muss die Datei den String '''malware''' oder die IP-Adresse 10.11.20.20 enthalten. Weiter darf die Hexadezimale Zeichenfolge {0a ba 8a 01 05 06 0a} nicht enthalten sein. Abschließend muss die Dateigröße unter 200KB sein. Sind all diese Angaben erfüllt, wird der Yara Scanner die gefundene Datei als Finding ausgeben.

== Yara Scanner ==

Es gibt eine große Anzahl an verschiedenen Yara Scannern, daher wird an dieser Stelle nur der Scanner [https://github.com/Neo23x0/Loki Loki] vorgestellt. Loki wurde in Python entwickelt und kann damit unter Windows, Linux und MacOS verwendet werden. Das Programm ist neben Yara auch als Indicator Of Compromise (IOC) Scanner einsetzbar. Nach dem Herunterladen und Starten (weitere Informationen stehen im [https://github.com/Neo23x0/Loki Github]) befindet sich der Ordner “signature-base” im Installationsverzeichnis. Dieser legt fest, nach welchen Regeln gescannt werden soll. Soll nun nach einer bestimmten Regel gesucht werden, kann diese einzige Yara Regel in das Verzeichnis abgelegt werden. Im Anschluss kann Loki dann über den Befehl ausgeführt werden:

python3 loki.py -p /directory/to/scan

In der Ausgabe werden dann entsprechende Treffer angezeigt oder die durchsuchten Dateien als Gutartig bewertet.

== Yara Generatoren ==
Da das Erstellen einer Zuverlässigen Yara Regel einige Zeit dauern kann, gibt es Yara Regel Generatoren, die einem helfen sollen, diese Zeit zu minimieren. Dabei wird eine Yar-Datei erstellt, die im Anschluss direkt zum Scannen verwendet werden kann.

Ebenfalls gibt es neben Yara Scannern viele Yara Generatoren. An dieser Stelle soll [https://github.com/Neo23x0/yarGen yarGen] ( vorgestellt werden, welches von dem gleichen Entwickler wie Loki erstellt wurde.

Dabei kann nach Installation das Tool wie folgt aufgerufen werden:

python3 yarGen.py -m /path/to/file --excludegood –o /output/file/path/rule.yar

Dabei sorgt die Einstellung '''--exludegood''' dafür, dass in der Yara Regel alle Zeichenketten entfernt werden die von yarGen als Legitime und bekannte Strings für gutartige Software bekannt sind. Diese Flagge hilft eher bei der Malware suche. Bei dem Auffinden von Dateien in einer forensischen Analyse sollte diese Einstellung weggelassen werden, da potentiell auch nach gutartigen Softwaren gesucht werden muss.
Generell sollten Yara Generatoren nur verwendet werden, wenn bereits gute Erfahrungen im Umgang mit Yara Regeln vorhanden sind. In den meisten Fällen sind weniger Regel Einträge Zielführender als eine lange “string” liste. Grundsätzlich können Generatoren auch nur als Ausgangspunkt verwendet werden, um aus der generierten Yara Regel eine minimierte Version zu erstellen.

== Referenzen ==
* https://virustotal.github.io/yara/
* https://github.com/Neo23x0/yarGen
* https://github.com/Neo23x0/Loki
* https://www.nextron-systems.com/2015/02/16/write-simple-sound-yara-rules/

Yara Regeln

2023-07-15T15:53:49Z

St221770: /* Grundlagen */

Yara Regeln

2023-07-15T15:52:11Z

St221770: /* Yara Regeln */

== Grundlagen ==
Yara (YARA: Another Recursive Ancronym) wurde von VirusTotal entwickelt und soll bei der Erkennung von Schadprogrammen helfen. Das Projekt ist ein quelloffenes Framework und unter Github öffentlich verfügbar. Das Ziel von Yara ist es mit gleichnamigen Yara Regeln Muster zu erstellen, um Malware oder Malware Samples auf Computersystemen zu finden. Ebenfalls lassen sich Malware Samples klassifizieren und einer Malware-Family zuordnen. Dabei können diese Muster nicht nur in Softwaredateien, sondern auch im Arbeitsspeicher gefunden werden.

Yara ist multiplattform einsetzbar und kann daher auf Windows, Linux und MacOS verwendet werden.

Zum Verwenden von Yara regeln wird zum einen ein Yara Scanner und entsprechende Yara Regeln benötigt.

== Yara Regeln ==
Yara Regeln bestehen aus einer Datei mit der Endung '''yar'''. Dabei kann die Datei mit jedem Texteditor erstellt werden. Jede Yara Regel muss einem gewissen Muster folgen, dabei betrachten wir nachfolgend eine Beispiel-Regel und beschreiben jede einzelne Komponente.

rule malware_finder {
meta:
Description = “Einfache Beispielregel um eine Malware zu erkennen”
author = “Wings Studenten”
date = “2023-07-09”
strings:
$string1 = “malware”
$string2 = “10.11.20.20”
$string3 = {0a ba 8a 01 05 06 0a}
condition:
($string1 or $string2 and not $string3) and filesize < 200KB
}

Zu Beginn der Regel muss immer das Keyword '''rule''' gefolgt von einem aussagekräftigen Namen stehen. Dieser Name wird später im Scanner angezeigt, wenn die Regel bei einer Datei zutrifft.

Unter dem Keyword “meta” können einzelne Angaben zu der Regel selber gemacht werden. Wie oben zu sehen können Angaben wie eine Beschreibung, der Autor oder das Datum hinterlegt werden. Dabei haben diese Angaben keine Auswirkungen auf den Suchprozess der Yara Regel.

Das erste Wichtige Keyword leitet '''strings''' ein. Unter diesem Keyword können ASCII Zeichenketten oder Hexadezimale Werte gespeichert werden. Diese werden dann bei dem Ausführen und Anwenden der Yara Regel berücksichtigt. Dabei gibt es keine Einschränkungen wie diese Zeichenketten aussehen. Es können beispielsweise auch direkt IP-Adressen von Servern von Advanced Persistent Threats (APT) hinterlegt werden.

Der Wichtigste Teil der Regel wird unter dem Keyword “condition” hinterlegt. Dabei beschreibt dieser Teil die Logik der Regel. Dabei können mit den Schlüsselwörtern '''and''', '''or''' und '''not''' Logiken untereinander aufgebaut werden. Wie in dem Beispiel oben zu sehen, muss die Datei den String '''malware''' oder die IP-Adresse 10.11.20.20 enthalten. Weiter darf die Hexadezimale Zeichenfolge {0a ba 8a 01 05 06 0a} nicht enthalten sein. Abschließend muss die Dateigröße unter 200KB sein. Sind all diese Angaben erfüllt, wird der Yara Scanner die gefundene Datei als Finding ausgeben.

Yara Regeln

2023-07-15T15:47:11Z

St221770:

Yara Regeln

2023-07-15T15:45:49Z

St221770: Die Seite wurde neu angelegt: „== Grundlagen == Yara (YARA: Another Recursive Ancronym) wurde von VirusTotal entwickelt und soll bei der Erkennung von Schadprogrammen helfen. Das Projekt ist…“

Hauptseite

2023-07-15T15:43:57Z

St221770: /* Y */

Willkommen auf dem IT-Forensik-Wiki der Hochschule Wismar. Hier werden wesentliche Begriffe zum Thema „Digitale Forensik“ erläutert.

== Literatur ==

[[Projektarbeiten]]

[[Abschlussarbeiten im Bachelor Studiengang "IT-Forensik"]]

[[Abschlussarbeiten im Master Studiengang "IT-Sicherheit und Forensik"]]

[[Forensik in DB]]

'''Aktuell:'''

[[Christian Peter]]: '''Forensische Sicherungsmöglichkeiten von Linux-Betriebssystemen auf Mobilgeräten'''. Bachelor Thesis, Hochschule Wismar, Juni 2023

Julia Winkler: '''KI-Detektoren im Test – Zero Tolerance Policy für ChatGPT mit zerogpt.com''', [[Media:KI-Detektoren-Test_Winkler.pdf|Download PDF-Dokument]]

Antje Raab-Düsterhöft: '''Introduction into Database Forensics - Issues to be solved.''' DFRWS-EU, "Woman in Forensic Computing", Bonn, 20.3.2023, [[Media:WIF-2023-ARD2.pdf|Download Slides]]

Michael Mundt, Maximilian Vogelei (Absolventen des Master-Fernstudienganges "IT-Sicherheit und Forensik"): '''IPython: Implementing distributed Processes of Computer Forensics: Combining Methods from Modern Data Science with those of Computer Forensics'''. Februar 2021, ISBN-13 : 979-8702298122 ([https://www.amazon.de/IPython-Implementing-distributed-Processes-Forensics/dp/B08WJTQF4G/ref=sr_1_6?__mk_de_DE=%C3%85M%C3%85%C5%BD%C3%95%C3%91&dchild=1&keywords=IPython&qid=1616347276&sr=8-6 hier zu erwerben])

== Stichworte IT-Forensik ==
=== A ===
[[ACPO]]

[[Aggregation]]

[[AmCache]]

[[Angriffe auf Forensik-Software]]

[[Anti-Forensik]]

[[Anwendungsarchitektur]]

[[Arbeitsspeicher]]

[[Asset Relocation]]

[[APT]]

[[Autopsy]]

[[Alternative Data Stream (ADS)]]

=== B ===
[[BBED]]

[[Betriebssystem]]

[[Bitlocker]]

[[Blacklisting]]

[[BLOB]]

[[BlockchainForensik|Blockchain Forensik]]

[[Blockchainbasierte Datenbank]]

[[Broken Authentication]]

[[Brute Force]]

[[BSI-Vorgehensmodell]]

[[Bundesdatenschutzgesetz (BDSG)]]

[[BurpSuite]]

=== C ===
[[Cache]]

[[Canarytoken]]

[[CERT-Taxonomie]]

[[Chain of Custody]]

[[Cheat Engine]]

[[Checkliste IT-Forensik für Unternehmen]]

[[Chip-Off]]

[[Clickjacking]]

[[Cloud Log Forensik]]

[[Cold Backup]]

[[Command-and-Control-Server]]

[[Computer Sabotage]]

[[Containervirtualisierung]]

[[Cookies]]

[[Cross Site Scripting (XSS)]]

[[CryptoLocker]]

[[CSA - Cloud Security Alliance]]

[[CTI - Cyber Threat Intelligence]]

[[CVE - Common Vulnerabilities and Exposures]]

[[Cybercrime]]

=== D ===
[[Darknet]]

[[Dateiheader]]

[[Datenanalyse]]

[[Datenbank Firewall]]

[[Datenbankausführungsplan]]

[[Datenbankforensik]]

[[Datenreduktion]]

[[Datensammlung]]

[[Datenschutz in der IT-Forensik]]

[[Datenvernichtung]]

[[Datenverschleierung]]

[[DDL & DML]]

[[Deep Packet Inspection]]

[[Deep Web]]

[[Diamond-Modell]]

[[Wörterbuchangriff|Dictionary Attack]]

[[Diff]]

[[Digitale Artefakte]]

[[Digitale Forensik]]

[[DLL (.dll Dateien)]]

[[DLP]]

[[DNS-Tunneling]]

[[Dokumentation]]

[[DoS & DDoS]]

[[Doxing]]

[[.DS-Store]]

[[Dual Use Software]]

[[Dumpster Diving]]

[[Dynamische Analyse]]

=== E ===
[[E-Mail-Header]]

[[E-Mail-Verschlüsselung und Signatur in der IT-Forensik]]

[[eDiscovery]]

[[Egg Hunting]]

[[ENISA]]

[[Ermittlungsprozess]]

[[Error Based SQL Injection]]

[[Exchangeable Image File Format (EXIF)]]

[[Exploit]]

=== F ===
[[File Carving]]

[[Fingerprinting (Browser)]]

[[Fingerprinting (Betriebssystem)]]

[[Flash Speicher]]

[[Flüchtige Daten]]

[[Footprinting]]

[[Forensik]]

[[Forensic Data Mining]]

[[Forensic Readiness]]

[[Forensische Duplikation]]

[[Forensischer Koffer]]

[[Fragmentierung]]

[[Fuzzing]]

=== G ===
[[Geotag]]

[[GeoIP-Datenbank]]

[[Gerichtsfestigkeit]]

[[Google Hacking]]

=== H ===
[[Hackback]]

[[Hardware-Sicherheitsmodul]]

[[Hashcat]]

[[Hashwert]]

[[Hilfstatort]]

[[Honeypot]]

=== I ===
[[ICMP - Internet Control Message Protocol]]

[[Identitätsanbieter]]

[[IDS - Intrusion Detection System]]

[[Image]]

[[Imaging]]

[[IMSI-Catcher]]

[[Incident-Response-Team]]

[[Indicator of Compromise]]

[[Inline (Queries) SQL Injection]]

[[Integrität]]

[[IT-Forensik]]

[[IT-Forensisches Gutachten]]

[[IPS - Intrusion Prevention System]]

=== J ===
[[Jailbreak]]

[[Journaling-Dateisystem]]

[[Juice Jacking]]

[[Jump Lists]]

=== K ===

[[Installieren eines Live-Kali-Linux-System auf USB-Stick|Kali-Linux-Live-System auf USB-Stick installieren]]

[[Kaltstartattacke]]

[[Kausalität in der Forensik]]

[[Key Derivation Function]]

[[Kerberos]]

[[Keystroke Injection Attack Tool]]

[[Korrelation]]

=== L ===
[[Lateral Movement]]

[[LDAP-Injection]]

[[Litigation Hold]]

[[Live-Forensik]]

[[Local file inclusion]]

[[Locard'sche Regel]]

[[Lockheed Martin Cyber Kill Chain]]

[[Log-File]]

[[LogMining]]

[[Logical Volume Manager (LVM)]]

=== M ===
[[Magnet Axiom]]

[[Malware]]

[[MariaDB-Audit-Plugin|MariaDB Audit Plugin]]

[[Memory Forensics]]

[[Metadaten]]

[[Mobiltelefon-Forensik]]

[[Metadata Carving]]

=== N ===
[[Netcat]]

[[Netflow]]

[[Netzwerk-Forensik]]

[[Never-Touch-Original]]

[[Nmap]]

[[NTFS]]

[[Nutzdaten]]

=== O ===
[[OCR]]

[[Online-Forensik]]

[[Offline-Forensik]]

[[Ontologie & Semantik]]

[[Oracle DB]] (Forensische Aspekte)

[[Order of Volatility]]

[[OSINT]]

[[OSINT-Werkzeug]]

[[Out-of-Band]]

=== P ===
[[Pass-the-Hash-Attack]]

[[Passwortsicherheit]]

[[Payload]]

[[Partition]]

[[PCMCIA]]

[[Penetrationstest]]

[[PhotoDNA]]

[[PostgreSQL Command Execution]]

[[Post-Mortem-Analyse]]

[[Prepared Statement]]

[[Privilege Escalation]]

[[Prozess der Mobiltelefon Forensik]]

[[Prüfsumme]]

[[P2P (Peer-to-Peer) Software / Netzwerke]]

[[PIC]]

=== Q ===

[[Query Log]]

[[QRT: Quick Reaction Team]]

[[QRT: Quick Response Team]]

=== R ===

[[Radare 2 - Reverse Engineering Framework]]

[[Rainbow Table]]

[[Ransomware]]

[[Privilege_Escalation|Rechteausweitung]]

[[Redo Logs]]

[[Registry]]

[[Remote Access Trojaner (RAT)]]

[[Replay Attack]]

[[Reverse Engineering]]

[[Rogue Access Point & Evil Twin]]

[[Rootkit]]

=== S ===
[[SAP-Modell]]

[[Sandbox]]

[[Schwachstelle]]

[[Security Information and Event Management (SIEM)]]

[[Security Operations Center (SOC)]]

[[Seitenkanalattacke]]

[[Semantik]]

[[Server Side Request Forgery]]

[[Shellbags]]

[[ShimCache]]

[[Sigma]]

[[Skimming]]

[[Skript-Kiddie]]

[[Slack Space]]

[[Sleuthkit]]

[[Smishing]]

[[Sparse Image]]

[[Stack-basierte Buffer-Overflow Angriffe in Microsoft Windows]]

[[Statische Analyse]]

[[Sniffing]]

[[Sealbag]]

[[Secure Erase]]

[[Server Side Request Forgery]]

[[SpiderFoot]]

[[Spuren]]

[[SQL Injection]]

[[SQL Stored Procedures]]

[[SQLite Datenbanken auslesen mittels Python]]

[[Sqlmap]]

[[SSL Inspection]]

[[Steganographie]]

[[Steghide]]

[[Supply Chain Attack]]

=== T ===
[[Tatort]]

[[Team Win Recovery Project]]

[[Threat Intelligence]]

[[Thunderspy]]

[[Timeline]]

[[Triage]]

[[Trigger in DBMS]]

[[Trugspur]]

[[Tsurugi-Linux]]

[[Totmannschalter]]

=== U ===
[[Unallocated Data (Nicht zugeordnete Daten)]]<br>
[[UNION Based SQL Injection]]

=== V ===
[[Verfügbarkeit]]

[[Vertraulichkeit]]

[[Vertraulichkeit in Datenbanksystemen]]

[[VPN]]

[[Volume Shadow Copies]]

[[Vorsorge für die IT-Forensik]]

[[Video-Forensik]]

=== W ===
[[W-Fragen]]

[[Watering-Holes]]

[[Web-Application-Firewall]]

[[Whitelisting]]

[[Why-Because-Analyse (WBA)]]

[[Windows-RAM auslesen]]

[[Windows-Papierkorb]]

[[Windows-Prefetch]]

[[Wiping]]

[[Wireshark]]

[[Write Blocker]]

[[Wörterbuchangriff]]

[[Worm]]

=== X ===
[[Xmount]]

=== Y ===
[[Yara Regeln]]

=== Z ===
[[Zeit]]

[[Zeitstempel]]

[[Zeitbasierte SQL Injection Attacken]]

[[Zenmap]]

[[Zero-Day-Exploit]]

[[Ziele einer forensischen Untersuchung nach A. Geschonneck]]

== Fernstudiengänge an der Hochschule Wismar (berufsbegleitend) ==

[https://www.wings.hs-wismar.de/de/fernstudium_bachelor/it_forensik IT-Forensik, Bachelor]

[https://www.wings.hs-wismar.de/de/fernstudium_master/it_sicherheit_und_forensik/ IT-Sicherheit und Forensik, Master]

== Starthilfen ==

* Hilfe zur Benutzung und Konfiguration der Wiki-Software finden Sie im [https://www.mediawiki.org/wiki/Special:MyLanguage/Help:Contents Benutzerhandbuch]
* [https://www.mediawiki.org/wiki/Special:MyLanguage/Manual:Configuration_settings Liste der Konfigurationsvariablen]
* [https://www.mediawiki.org/wiki/Special:MyLanguage/Manual:FAQ MediaWiki-FAQ]
* [https://lists.wikimedia.org/mailman/listinfo/mediawiki-announce Mailingliste neuer MediaWiki-Versionen]
* [https://www.mediawiki.org/wiki/Special:MyLanguage/Localisation#Translation_resources Übersetze MediaWiki für deine Sprache]
* [https://www.mediawiki.org/wiki/Special:MyLanguage/Manual:Combating_spam Erfahre, wie du Spam auf deinem Wiki bekämpfen kannst]

Hauptseite

2023-07-15T15:43:32Z

St221770: /* Stichworte IT-Forensik */

Willkommen auf dem IT-Forensik-Wiki der Hochschule Wismar. Hier werden wesentliche Begriffe zum Thema „Digitale Forensik“ erläutert.

== Literatur ==

[[Projektarbeiten]]

[[Abschlussarbeiten im Bachelor Studiengang "IT-Forensik"]]

[[Abschlussarbeiten im Master Studiengang "IT-Sicherheit und Forensik"]]

[[Forensik in DB]]

'''Aktuell:'''

[[Christian Peter]]: '''Forensische Sicherungsmöglichkeiten von Linux-Betriebssystemen auf Mobilgeräten'''. Bachelor Thesis, Hochschule Wismar, Juni 2023

Julia Winkler: '''KI-Detektoren im Test – Zero Tolerance Policy für ChatGPT mit zerogpt.com''', [[Media:KI-Detektoren-Test_Winkler.pdf|Download PDF-Dokument]]

Antje Raab-Düsterhöft: '''Introduction into Database Forensics - Issues to be solved.''' DFRWS-EU, "Woman in Forensic Computing", Bonn, 20.3.2023, [[Media:WIF-2023-ARD2.pdf|Download Slides]]

Michael Mundt, Maximilian Vogelei (Absolventen des Master-Fernstudienganges "IT-Sicherheit und Forensik"): '''IPython: Implementing distributed Processes of Computer Forensics: Combining Methods from Modern Data Science with those of Computer Forensics'''. Februar 2021, ISBN-13 : 979-8702298122 ([https://www.amazon.de/IPython-Implementing-distributed-Processes-Forensics/dp/B08WJTQF4G/ref=sr_1_6?__mk_de_DE=%C3%85M%C3%85%C5%BD%C3%95%C3%91&dchild=1&keywords=IPython&qid=1616347276&sr=8-6 hier zu erwerben])

== Stichworte IT-Forensik ==
=== A ===
[[ACPO]]

[[Aggregation]]

[[AmCache]]

[[Angriffe auf Forensik-Software]]

[[Anti-Forensik]]

[[Anwendungsarchitektur]]

[[Arbeitsspeicher]]

[[Asset Relocation]]

[[APT]]

[[Autopsy]]

[[Alternative Data Stream (ADS)]]

=== B ===
[[BBED]]

[[Betriebssystem]]

[[Bitlocker]]

[[Blacklisting]]

[[BLOB]]

[[BlockchainForensik|Blockchain Forensik]]

[[Blockchainbasierte Datenbank]]

[[Broken Authentication]]

[[Brute Force]]

[[BSI-Vorgehensmodell]]

[[Bundesdatenschutzgesetz (BDSG)]]

[[BurpSuite]]

=== C ===
[[Cache]]

[[Canarytoken]]

[[CERT-Taxonomie]]

[[Chain of Custody]]

[[Cheat Engine]]

[[Checkliste IT-Forensik für Unternehmen]]

[[Chip-Off]]

[[Clickjacking]]

[[Cloud Log Forensik]]

[[Cold Backup]]

[[Command-and-Control-Server]]

[[Computer Sabotage]]

[[Containervirtualisierung]]

[[Cookies]]

[[Cross Site Scripting (XSS)]]

[[CryptoLocker]]

[[CSA - Cloud Security Alliance]]

[[CTI - Cyber Threat Intelligence]]

[[CVE - Common Vulnerabilities and Exposures]]

[[Cybercrime]]

=== D ===
[[Darknet]]

[[Dateiheader]]

[[Datenanalyse]]

[[Datenbank Firewall]]

[[Datenbankausführungsplan]]

[[Datenbankforensik]]

[[Datenreduktion]]

[[Datensammlung]]

[[Datenschutz in der IT-Forensik]]

[[Datenvernichtung]]

[[Datenverschleierung]]

[[DDL & DML]]

[[Deep Packet Inspection]]

[[Deep Web]]

[[Diamond-Modell]]

[[Wörterbuchangriff|Dictionary Attack]]

[[Diff]]

[[Digitale Artefakte]]

[[Digitale Forensik]]

[[DLL (.dll Dateien)]]

[[DLP]]

[[DNS-Tunneling]]

[[Dokumentation]]

[[DoS & DDoS]]

[[Doxing]]

[[.DS-Store]]

[[Dual Use Software]]

[[Dumpster Diving]]

[[Dynamische Analyse]]

=== E ===
[[E-Mail-Header]]

[[E-Mail-Verschlüsselung und Signatur in der IT-Forensik]]

[[eDiscovery]]

[[Egg Hunting]]

[[ENISA]]

[[Ermittlungsprozess]]

[[Error Based SQL Injection]]

[[Exchangeable Image File Format (EXIF)]]

[[Exploit]]

=== F ===
[[File Carving]]

[[Fingerprinting (Browser)]]

[[Fingerprinting (Betriebssystem)]]

[[Flash Speicher]]

[[Flüchtige Daten]]

[[Footprinting]]

[[Forensik]]

[[Forensic Data Mining]]

[[Forensic Readiness]]

[[Forensische Duplikation]]

[[Forensischer Koffer]]

[[Fragmentierung]]

[[Fuzzing]]

=== G ===
[[Geotag]]

[[GeoIP-Datenbank]]

[[Gerichtsfestigkeit]]

[[Google Hacking]]

=== H ===
[[Hackback]]

[[Hardware-Sicherheitsmodul]]

[[Hashcat]]

[[Hashwert]]

[[Hilfstatort]]

[[Honeypot]]

=== I ===
[[ICMP - Internet Control Message Protocol]]

[[Identitätsanbieter]]

[[IDS - Intrusion Detection System]]

[[Image]]

[[Imaging]]

[[IMSI-Catcher]]

[[Incident-Response-Team]]

[[Indicator of Compromise]]

[[Inline (Queries) SQL Injection]]

[[Integrität]]

[[IT-Forensik]]

[[IT-Forensisches Gutachten]]

[[IPS - Intrusion Prevention System]]

=== J ===
[[Jailbreak]]

[[Journaling-Dateisystem]]

[[Juice Jacking]]

[[Jump Lists]]

=== K ===

[[Installieren eines Live-Kali-Linux-System auf USB-Stick|Kali-Linux-Live-System auf USB-Stick installieren]]

[[Kaltstartattacke]]

[[Kausalität in der Forensik]]

[[Key Derivation Function]]

[[Kerberos]]

[[Keystroke Injection Attack Tool]]

[[Korrelation]]

=== L ===
[[Lateral Movement]]

[[LDAP-Injection]]

[[Litigation Hold]]

[[Live-Forensik]]

[[Local file inclusion]]

[[Locard'sche Regel]]

[[Lockheed Martin Cyber Kill Chain]]

[[Log-File]]

[[LogMining]]

[[Logical Volume Manager (LVM)]]

=== M ===
[[Magnet Axiom]]

[[Malware]]

[[MariaDB-Audit-Plugin|MariaDB Audit Plugin]]

[[Memory Forensics]]

[[Metadaten]]

[[Mobiltelefon-Forensik]]

[[Metadata Carving]]

=== N ===
[[Netcat]]

[[Netflow]]

[[Netzwerk-Forensik]]

[[Never-Touch-Original]]

[[Nmap]]

[[NTFS]]

[[Nutzdaten]]

=== O ===
[[OCR]]

[[Online-Forensik]]

[[Offline-Forensik]]

[[Ontologie & Semantik]]

[[Oracle DB]] (Forensische Aspekte)

[[Order of Volatility]]

[[OSINT]]

[[OSINT-Werkzeug]]

[[Out-of-Band]]

=== P ===
[[Pass-the-Hash-Attack]]

[[Passwortsicherheit]]

[[Payload]]

[[Partition]]

[[PCMCIA]]

[[Penetrationstest]]

[[PhotoDNA]]

[[PostgreSQL Command Execution]]

[[Post-Mortem-Analyse]]

[[Prepared Statement]]

[[Privilege Escalation]]

[[Prozess der Mobiltelefon Forensik]]

[[Prüfsumme]]

[[P2P (Peer-to-Peer) Software / Netzwerke]]

[[PIC]]

=== Q ===

[[Query Log]]

[[QRT: Quick Reaction Team]]

[[QRT: Quick Response Team]]

=== R ===

[[Radare 2 - Reverse Engineering Framework]]

[[Rainbow Table]]

[[Ransomware]]

[[Privilege_Escalation|Rechteausweitung]]

[[Redo Logs]]

[[Registry]]

[[Remote Access Trojaner (RAT)]]

[[Replay Attack]]

[[Reverse Engineering]]

[[Rogue Access Point & Evil Twin]]

[[Rootkit]]

=== S ===
[[SAP-Modell]]

[[Sandbox]]

[[Schwachstelle]]

[[Security Information and Event Management (SIEM)]]

[[Security Operations Center (SOC)]]

[[Seitenkanalattacke]]

[[Semantik]]

[[Server Side Request Forgery]]

[[Shellbags]]

[[ShimCache]]

[[Sigma]]

[[Skimming]]

[[Skript-Kiddie]]

[[Slack Space]]

[[Sleuthkit]]

[[Smishing]]

[[Sparse Image]]

[[Stack-basierte Buffer-Overflow Angriffe in Microsoft Windows]]

[[Statische Analyse]]

[[Sniffing]]

[[Sealbag]]

[[Secure Erase]]

[[Server Side Request Forgery]]

[[SpiderFoot]]

[[Spuren]]

[[SQL Injection]]

[[SQL Stored Procedures]]

[[SQLite Datenbanken auslesen mittels Python]]

[[Sqlmap]]

[[SSL Inspection]]

[[Steganographie]]

[[Steghide]]

[[Supply Chain Attack]]

=== T ===
[[Tatort]]

[[Team Win Recovery Project]]

[[Threat Intelligence]]

[[Thunderspy]]

[[Timeline]]

[[Triage]]

[[Trigger in DBMS]]

[[Trugspur]]

[[Tsurugi-Linux]]

[[Totmannschalter]]

=== U ===
[[Unallocated Data (Nicht zugeordnete Daten)]]<br>
[[UNION Based SQL Injection]]

=== V ===
[[Verfügbarkeit]]

[[Vertraulichkeit]]

[[Vertraulichkeit in Datenbanksystemen]]

[[VPN]]

[[Volume Shadow Copies]]

[[Vorsorge für die IT-Forensik]]

[[Video-Forensik]]

=== W ===
[[W-Fragen]]

[[Watering-Holes]]

[[Web-Application-Firewall]]

[[Whitelisting]]

[[Why-Because-Analyse (WBA)]]

[[Windows-RAM auslesen]]

[[Windows-Papierkorb]]

[[Windows-Prefetch]]

[[Wiping]]

[[Wireshark]]

[[Write Blocker]]

[[Wörterbuchangriff]]

[[Worm]]

=== X ===
[[Xmount]]

=== Y ===

=== Z ===
[[Zeit]]

[[Zeitstempel]]

[[Zeitbasierte SQL Injection Attacken]]

[[Zenmap]]

[[Zero-Day-Exploit]]

[[Ziele einer forensischen Untersuchung nach A. Geschonneck]]

== Fernstudiengänge an der Hochschule Wismar (berufsbegleitend) ==

[https://www.wings.hs-wismar.de/de/fernstudium_bachelor/it_forensik IT-Forensik, Bachelor]

[https://www.wings.hs-wismar.de/de/fernstudium_master/it_sicherheit_und_forensik/ IT-Sicherheit und Forensik, Master]

== Starthilfen ==

* Hilfe zur Benutzung und Konfiguration der Wiki-Software finden Sie im [https://www.mediawiki.org/wiki/Special:MyLanguage/Help:Contents Benutzerhandbuch]
* [https://www.mediawiki.org/wiki/Special:MyLanguage/Manual:Configuration_settings Liste der Konfigurationsvariablen]
* [https://www.mediawiki.org/wiki/Special:MyLanguage/Manual:FAQ MediaWiki-FAQ]
* [https://lists.wikimedia.org/mailman/listinfo/mediawiki-announce Mailingliste neuer MediaWiki-Versionen]
* [https://www.mediawiki.org/wiki/Special:MyLanguage/Localisation#Translation_resources Übersetze MediaWiki für deine Sprache]
* [https://www.mediawiki.org/wiki/Special:MyLanguage/Manual:Combating_spam Erfahre, wie du Spam auf deinem Wiki bekämpfen kannst]