IT-Forensik Wiki - Benutzerbeiträge [de]

Human Interface Device (HID)

2024-07-14T17:11:04Z

St231650:

== Human Interface Device (HID) ==

=== Definition ===
Human Interface Device (HID) (deutsch etwa Menschliches Schnittstellengerät) beschreibt Geräte, mit deren Hilfe Benutzerinnen und Benutzer mit Computern interagieren können. Interaktionen können Benutzereingaben und Ausgaben sein.
Die Spezifikation wurde primär dazu entwickelt, um die Kommunikation zwischen Rechnern und angeschlossenen Geräten über USB, Bluetooth und weiteren Schnittstellen wie z.B. Zigbee zu vereinfachen. Vorher war es notwendig, für jedes angeschlossene Gerät (z.B. Maus oder Tastatur) eigene Treiber zu installieren. Über eine gemeinsame Spezifikation können nun neue Geräte unproblematisch angeschlossen und sofort verwendet werden, auch unabhängig vom verwendeten Betriebssystem des Rechners.
Die USB-Spezifikation präzisiert HID, indem sie einen Standard für solche Geräte definiert. Diese sogenannte Device Class Definition for Human Interface Devices (HID) (deutsch etwa Geräteklassendefinition für Menschliches Schnittstellengeräte) beschreibt grundlegende Funk- tionen von HID mithilfe zweier Konzepte:
* Berichtsdeskriptor: Dieser beschreibt das Format und die Bedeutung der Daten, die das Gerät unterstützt.
* Berichte: Berichte sind die tatsächlichen Daten, die zwischen einem Gerät und einer Anwen- dung ausgetauscht werden. Es gibt drei Berichtstypen:
** Eingabebericht: Daten, die vom HID an eine Anwendung gesendet werden, z. B. wenn sich der Zustand eines Steuerelements ändert.
** Ausgabebericht: Daten, die von der Anwendung an das HID gesendet werden, z. B. an die LEDs auf einer Tastatur.
** Featurebericht: Daten, die manuell gelesen und geschrieben werden können und sich in der Regel auf Konfigurationsinformationen beziehen.

=== Forensische Aspekte ===
Aus Sicht der Forensik sind HID interessant, weil sie mit einem Endgerät interagieren und teilweise ohne manuelles Eingreifen von menschlichen Nutzern Aktionen durchführen können. Ein aus Sicht der Forensik positives Beispiel sind die zur Sicherung genutzten sogenannten Mouse-Jiggler, kleine USB-Sticks, die Maus-Bewegungen emulieren und dadurch die Sperrung eines Rechners verhindern. Ein anderes Beispiel aus dem Bereich Penetrationstest sind sogenannte Bad-USB-Devices[[https://it-forensik.fiw.hs-wismar.de/index.php?title=BadUSB]]. Hierbei handelt es sich oft um USB-Sticks oder in USB-Kabel inte- grierte Funktionen, die Keyboards oder Maus emulieren und dann z.B. im Namen des gerade angemeldeten Benutzers Befehle ausführen, z.B. in der Windows-Powershell. Ein interessanter Artikel dazu ist in der ct 23/27.

HID sind in den Betriebssystemen wie folgt auffindbar:
* Windows 11: Systemsteuerung\Geräte-Manager\HID-Devices\Eigenschaften\Ereignisse
* Linux: Hängt vom System und Einstellungen des Loggings ab, Logs finden sich in der Regel unter /var/log/ und syslog. Alternativ können Informationen über den Befehl systemctl, z.B. Live-Logs mit systemctl -f abgerufen werden.
* MacOS: Folgender Befehl im Terminal listet aktuell angeschlossene HID: hidutil list. Weitere Informationen und Überblicke über das System und seine Protokolle sind in der Systemsteue- rung\Allgemein\Info\Systembericht (Button ganz unten) zu finden. Es gibt hier aber keinen Punkt HID oder Ähnliches. Das Log /usr/sbin/ioreg%20-lxw550 (unter Protokollen im Systembericht als IORegistry-Inhalt bezeichnet), ist das einzige Log, das hier Informationen aufzeichnet.

=== Weiterführende Informationen ===
HID-Spezifikation: https://www.usb.org/document-library/device-class-definition-hid-111 

HID-Dokumentation: https://usb.org/hid 

c’t 23/27 Böses USB: https://www.heise.de/select/ct/2023/27/2327713240730976058 

Weitere Informationen aus der c’t 23/27: https://www.heise.de/select/ct/2023/27/softlinks/yhhf 

Paper zu Bad-USB-Sticks: https://link.springer.com/chapter/10.1007/978-3-319-95729-6_18

Hauptseite

2024-07-14T17:06:43Z

St231650: /* H */

Willkommen auf dem IT-Forensik-Wiki der Hochschule Wismar. Hier werden wesentliche Begriffe zum Thema „Digitale Forensik“ erläutert.

== Literatur ==
Artikel [https://t3n.de/news/digitale-verbrechen-was-macht-eigentlich-ein-it-forensiker-1629195/?utm_source=rss&utm_medium=feed&utm_campaign=t3n-news "Digitale Verbrechen: Was macht eigentlich ein IT-Forensiker?"] 10.6.2024

[[Simon Bauer]]: '''Identifizierung und Sicherung von Artefakten in Infrastructure-as-a-Service Plattformen'''. Master Thesis, Hochschule Wismar, März 2024

[[Thomas Reimann]]: '''Forensische Herausforderungen bei der Erkennung generativer Deepfake-Bilder'''. Bachelor Thesis, Hochschule Wismar, Februar 2024

[[Sebastian Haeuser]]: '''Forensische Live-Analyse von Windows Systemen mit dem PowerShell Skript „LiveForensicator“'''. Bachelor Thesis, Hochschule Wismar, November 2023

[[Franz Zeilhofer]]: '''DISSECT Tools zur effizienten Triage von DISK-Images''', Projektarbeit im Bachelor-Fernstudiengang "IT-Forensik", Hochschule Wismar, Oktober 2023

[[Abschlussarbeiten im Master Studiengang "IT-Sicherheit und Forensik"]]

[[Abschlussarbeiten im Bachelor Studiengang "IT-Forensik"]]

[[Projektarbeiten]]

[[Forensik in DB]]

== Stichworte IT-Forensik ==
=== A ===
[[ACPO]]

[[Adware]]

[[Aggregation]]

[[AmCache]]

[[Angriffe auf Forensik-Software]]

[[Anti-Forensik]]

[[Anwendungsarchitektur]]

[[Arbeitsspeicher]]

[[Asset Relocation]]

[[APT]]

[[Autopsy]]

[[Alternative Data Stream (ADS)]]

=== B ===
[[BBED]]

[[Betriebssystem]]

[[Bitlocker]]

[[Blacklisting]]

[[BLOB]]

[[BlockchainForensik|Blockchain Forensik]]

[[Blockchainbasierte Datenbank]]

[[Broken Authentication]]

[[Brute Force]]

[[BSI-Vorgehensmodell]]

[[Bundesdatenschutzgesetz (BDSG)]]

[[BurpSuite]]

=== C ===
[[Cache]]

[[Canarytoken]]

[[CERT-Taxonomie]]

[[Chain of Custody]]

[[Cheat Engine]]

[[Checkliste IT-Forensik für Unternehmen]]

[[Chip-Off]]

[[Clickjacking]]

[[Cloud Log Forensik]]

[[Cold Backup]]

[[Command-and-Control-Server]]

[[Computer Sabotage]]

[[Containervirtualisierung]]

[[Cookies]]

[[Cross Site Request Forgery (CSRF)]]

[[Cross Site Scripting (XSS)]]

[[CryptoLocker]]

[[CSA - Cloud Security Alliance]]

[[CTI - Cyber Threat Intelligence]]

[[CVE - Common Vulnerabilities and Exposures]]

[[Cybercrime]]

=== D ===
[[Darknet]]

[[Dateiheader]]

[[Datenanalyse]]

[[Datenbank Firewall]]

[[Datenbankausführungsplan]]

[[Datenbankforensik]]

[[Datenreduktion]]

[[Datensammlung]]

[[Datenschutz in der IT-Forensik]]

[[Datenvernichtung]]

[[Datenverschleierung]]

[[DDL & DML]]

[[Deep Packet Inspection]]

[[Deep Web]]

[[Diamond-Modell]]

[[Wörterbuchangriff|Dictionary Attack]]

[[Diff]]

[[Digitale Artefakte]]

[[Digitale Forensik]]

[[DLL (.dll Dateien)]]

[[DLP]]

[[DNS-Tunneling]]

[[Dokumentation]]

[[DoS & DDoS]]

[[Doxing]]

[[.DS-Store]]

[[Dual Use Software]]

[[Dumpster Diving]]

[[Dynamische Analyse]]

=== E ===
[[E-Mail-Header]]

[[E-Mail-Verschlüsselung und Signatur in der IT-Forensik]]

[[eDiscovery]]

[[Egg Hunting]]

[[ENISA]]

[[Ermittlungsprozess]]

[[Error Based SQL Injection]]

[[Exchangeable Image File Format (EXIF)]]

[[Exploit]]

=== F ===
[[File Carving]]

[[Fileless Malware]]

[[Fingerprinting (Browser)]]

[[Fingerprinting (Betriebssystem)]]

[[Flash Speicher]]

[[Flüchtige Daten]]

[[Footprinting]]

[[Forensik]]

[[Forensic Data Mining]]

[[Forensic Readiness]]

[[Forensische Duplikation]]

[[Forensischer Koffer]]

[[Fragmentierung]]

[[Fuzzing]]

=== G ===
[[Geotag]]

[[GeoIP-Datenbank]]

[[Gerichtsfestigkeit]]

[[Google Hacking]]

=== H ===
[[Hackback]]

[[Hardware-Sicherheitsmodul]]

[[Hashcat]]

[[Hashwert]]

[[Hilfstatort]]

[[Honeypot]]

[[Human Interface Device (HID)]]

=== I ===
[[ICMP - Internet Control Message Protocol]]

[[Identitätsanbieter]]

[[IDS - Intrusion Detection System]]

[[Image]]

[[Imaging]]

[[IMSI-Catcher]]

[[Incident-Response-Team]]

[[Indicator of Compromise]]

[[Inline (Queries) SQL Injection]]

[[Integrität]]

[[IT-Forensik]]

[[IT-Forensiker]]

[[IT-Forensisches Gutachten]]

[[IPS - Intrusion Prevention System]]

=== J ===
[[Jailbreak]]

[[John the Ripper]]

[[Journaling-Dateisystem]]

[[Juice Jacking]]

[[Jump Lists]]

=== K ===

[[Installieren eines Live-Kali-Linux-System auf USB-Stick|Kali-Linux-Live-System auf USB-Stick installieren]]

[[Kaltstartattacke]]

[[Kausalität in der Forensik]]

[[Key Derivation Function]]

[[Kerberos]]

[[Keystroke Injection Attack Tool]]

[[Korrelation]]

[[Keylogger]]

=== L ===
[[Lateral Movement]]

[[LDAP-Injection]]

[[Litigation Hold]]

[[Live-Forensik]]

[[Local file inclusion]]

[[Locard'sche Regel]]

[[Lockheed Martin Cyber Kill Chain]]

[[Log-File]]

[[LogMining]]

[[Logical Volume Manager (LVM)]]

=== M ===
[[Magnet Axiom]]

[[Makrovirus]]

[[Malware]]

[[Malware-Klassen]]

[[MariaDB-Audit-Plugin|MariaDB Audit Plugin]]

[[Memory Forensics]]

[[Metadaten]]

[[Mobiltelefon-Forensik]]

[[Metadata Carving]]

=== N ===
[[Netcat]]

[[Netflow]]

[[Never-Touch-Original]]

[[Nmap]]

[[NTFS]]

[[Nutzdaten]]

=== O ===
[[OCR]]

[[Online-Forensik]]

[[Offline-Forensik]]

[[Ontologie & Semantik]]

[[Oracle DB]] (Forensische Aspekte)

[[Order of Volatility]]

[[OSINT]]

[[OSINT-Werkzeug]]

[[Out-of-Band]]

=== P ===
[[Pass-the-Hash-Attack]]

[[Passwortsicherheit]]

[[Payload]]

[[Partition]]

[[PCMCIA]]

[[Penetrationstest]]

[[PhotoDNA]]

[[Public Key Infrastructure (PKI)|PKI]]

[[Plausible Deniability]]

[[PostgreSQL Command Execution]]

[[Post-Mortem-Analyse]]

[[Prepared Statement]]

[[Privilege Escalation]]

[[Prozess der Mobiltelefon Forensik]]

[[Prüfsumme]]

[[Public Key Infrastructure (PKI)|Public Key Infrastructure]]

[[Purview eDiscovery (Microsoft)]]

[[P2P (Peer-to-Peer) Software / Netzwerke]]

[[PIC]]

=== Q ===

[[Query Log]]

[[QRT: Quick Reaction Team]]

[[QRT: Quick Response Team]]

=== R ===

[[Radare 2 - Reverse Engineering Framework]]

[[Rainbow Table]]

[[Ransomware]]

[[Privilege_Escalation|Rechteausweitung]]

[[Redo Logs]]

[[Registry]]

[[Remote Access Trojaner (RAT)]]

[[Replay Attack]]

[[Reverse Engineering]]

[[Rogue Access Point & Evil Twin]]

[[Rootkit]]

=== S ===
[[SAP-Modell]]

[[Sandbox]]

[[Schwachstelle]]

[[Security Information and Event Management (SIEM)]]

[[Security Operations Center (SOC)]]

[[Seitenkanalattacke]]

[[Semantik]]

[[Server Side Request Forgery]]

[[Shellbags]]

[[ShimCache]]

[[Sigma]]

[[Skimming]]

[[Skript-Kiddie]]

[[Slack Space]]

[[Sleuthkit]]

[[Smishing]]

[[Sparse Image]]

[[Stack-basierte Buffer-Overflow Angriffe in Microsoft Windows]]

[[Statische Analyse]]

[[Sniffing]]

[[Sealbag]]

[[Secure Erase]]

[[Server Side Request Forgery]]

[[SpiderFoot]]

[[Spuren]]

[[SQL Injection]]

[[SQL Stored Procedures]]

[[SQLite Datenbanken auslesen mittels Python]]

[[Sqlmap]]

[[SSL Inspection]]

[[Steganographie]]

[[Steghide]]

[[Supply Chain Attack]]

=== T ===
[[Tatort]]

[[Team Win Recovery Project]]

[[Threat Intelligence]]

[[Thumbnail Cache unter Windows]]

[[Thunderspy]]

[[Timeline]]

[[Triage]]

[[Trigger in DBMS]]

[[Trugspur]]

[[Tsurugi-Linux]]

[[Totmannschalter]]

=== U ===
[[Unallocated Data (Nicht zugeordnete Daten)]] 
[[UNION Based SQL Injection]]

=== V ===
[[Verfügbarkeit]]

[[Vertraulichkeit]]

[[Vertraulichkeit in Datenbanksystemen]]

[[VPN]]

[[Volume Shadow Copies]]

[[Vorsorge für die IT-Forensik]]

[[Video-Forensik]]

=== W ===
[[W-Fragen]]

[[Watering-Holes]]

[[Web-Application-Firewall]]

[[Whitelisting]]

[[Why-Because-Analyse (WBA)]]

[[Windows-RAM auslesen]]

[[Windows-Papierkorb]]

[[Windows-Prefetch]]

[[Wiping]]

[[Wireshark]]

[[Write Blocker]]

[[Wörterbuchangriff]]

[[Worm]]

=== X ===
[[Xmount]]

=== Y ===
[[Yara Regeln]]

=== Z ===
[[Zeit]]

[[Zeitstempel]]

[[Zeitbasierte SQL Injection Attacken]]

[[Zenmap]]

[[Zero-Day-Exploit]]

[[Ziele einer forensischen Untersuchung nach A. Geschonneck]]

== Fernstudiengänge an der Hochschule Wismar (berufsbegleitend) ==

[https://www.wings.hs-wismar.de/de/fernstudium_bachelor/it_forensik IT-Forensik, Bachelor]

[https://www.wings.hs-wismar.de/de/fernstudium_master/it_sicherheit_und_forensik/ IT-Sicherheit und Forensik, Master]

== Starthilfen ==

* Hilfe zur Benutzung und Konfiguration der Wiki-Software finden Sie im [https://www.mediawiki.org/wiki/Special:MyLanguage/Help:Contents Benutzerhandbuch]
* [https://www.mediawiki.org/wiki/Special:MyLanguage/Manual:Configuration_settings Liste der Konfigurationsvariablen]
* [https://www.mediawiki.org/wiki/Special:MyLanguage/Manual:FAQ MediaWiki-FAQ]
* [https://lists.wikimedia.org/mailman/listinfo/mediawiki-announce Mailingliste neuer MediaWiki-Versionen]
* [https://www.mediawiki.org/wiki/Special:MyLanguage/Localisation#Translation_resources Übersetze MediaWiki für deine Sprache]
* [https://www.mediawiki.org/wiki/Special:MyLanguage/Manual:Combating_spam Erfahre, wie du Spam auf deinem Wiki bekämpfen kannst]

Human Interface Device (HID)

2024-07-14T17:05:39Z

St231650: Die Seite wurde neu angelegt: „== Human Interface Device (HID) == === Definition === Human Interface Device (HID) (deutsch etwa Menschliches Schnittstellengerät) beschreibt Geräte, mit deren Hilfe Benutzerinnen und Benutzer mit Computern interagieren können. Interaktionen können Benutzereingaben und Ausgaben sein. Die Spezifikation wurde primär dazu entwickelt, um die Kommunikation zwischen Rechnern und angeschlossenen Geräten über USB, Bluetooth und weiteren Schnittstellen wi…“

== Human Interface Device (HID) ==

=== Definition ===
Human Interface Device (HID) (deutsch etwa Menschliches Schnittstellengerät) beschreibt Geräte, mit deren Hilfe Benutzerinnen und Benutzer mit Computern interagieren können. Interaktionen können Benutzereingaben und Ausgaben sein.
Die Spezifikation wurde primär dazu entwickelt, um die Kommunikation zwischen Rechnern und angeschlossenen Geräten über USB, Bluetooth und weiteren Schnittstellen wie z.B. Zigbee zu vereinfachen. Vorher war es notwendig, für jedes angeschlossene Gerät (z.B. Maus oder Tastatur) eigene Treiber zu installieren. Über eine gemeinsame Spezifikation können nun neue Geräte unproblematisch angeschlossen und sofort verwendet werden, auch unabhängig vom verwendeten Betriebssystem des Rechners.
Die USB-Spezifikation präzisiert HID, indem sie einen Standard für solche Geräte definiert. Diese sogenannte Device Class Definition for Human Interface Devices (HID) (deutsch etwa Geräteklassendefinition für Menschliches Schnittstellengeräte) beschreibt grundlegende Funk- tionen von HID mithilfe zweier Konzepte:
* Berichtsdeskriptor: Dieser beschreibt das Format und die Bedeutung der Daten, die das Gerät unterstützt.
* Berichte: Berichte sind die tatsächlichen Daten, die zwischen einem Gerät und einer Anwen- dung ausgetauscht werden. Es gibt drei Berichtstypen:
** Eingabebericht: Daten, die vom HID an eine Anwendung gesendet werden, z. B. wenn sich der Zustand eines Steuerelements ändert.
** Ausgabebericht: Daten, die von der Anwendung an das HID gesendet werden, z. B. an die LEDs auf einer Tastatur.
** Featurebericht: Daten, die manuell gelesen und geschrieben werden können und sich in der Regel auf Konfigurationsinformationen beziehen.

=== Forensische Aspekte ===
Aus Sicht der Forensik sind HID interessant, weil sie mit einem Endgerät interagieren und teilweise ohne manuelles Eingreifen von menschlichen Nutzern Aktionen durchführen können. Ein aus Sicht der Forensik positives Beispiel sind die zur Sicherung genutzten sogenannten Mouse-Jiggler, kleine USB-Sticks, die Maus-Bewegungen emulieren und dadurch die Sperrung eines Rechners verhindern. Ein anderes Beispiel aus dem Bereich Penetrationstest sind sogenannte [[https://it-forensik.fiw.hs-wismar.de/index.php?title=BadUSB]]. Hierbei handelt es sich oft um USB-Sticks oder in USB-Kabel inte- grierte Funktionen, die Keyboards oder Maus emulieren und dann z.B. im Namen des gerade angemeldeten Benutzers Befehle ausführen, z.B. in der Windows-Powershell. Ein interessanter Artikel dazu ist in der ct 23/27.

HID sind in den Betriebssystemen wie folgt auffindbar:
* Windows 11: Systemsteuerung\Geräte-Manager\HID-Devices\Eigenschaften\Ereignisse
* Linux: Hängt vom System und Einstellungen des Loggings ab, Logs finden sich in der Regel unter /var/log/ und syslog. Alternativ können Informationen über den Befehl systemctl, z.B. Live-Logs mit systemctl -f abgerufen werden.
* MacOS: Folgender Befehl im Terminal listet aktuell angeschlossene HID: hidutil list. Weitere Informationen und Überblicke über das System und seine Protokolle sind in der Systemsteue- rung\Allgemein\Info\Systembericht (Button ganz unten) zu finden. Es gibt hier aber keinen Punkt HID oder Ähnliches. Das Log /usr/sbin/ioreg%20-lxw550 (unter Protokollen im Systembericht als IORegistry-Inhalt bezeichnet), ist das einzige Log, das hier Informationen aufzeichnet.

=== Weiterführende Informationen ===
HID-Spezifikation: https://www.usb.org/document-library/device-class-definition-hid-111 

HID-Dokumentation: https://usb.org/hid 

c’t 23/27 Böses USB: https://www.heise.de/select/ct/2023/27/2327713240730976058 

Weitere Informationen aus der c’t 23/27: https://www.heise.de/select/ct/2023/27/softlinks/yhhf 

Paper zu Bad-USB-Sticks: https://link.springer.com/chapter/10.1007/978-3-319-95729-6_18