Datenbankforensik - Versionsgeschichte

Etduen: /* Ziele der Datenbank-Forensik */

2019-09-19T08:28:11Z

Ziele der Datenbank-Forensik

← Nächstältere Version		Version vom 19. September 2019, 08:28 Uhr
Zeile 5:		Zeile 5:
	* Beweisen oder wiederlegen einer Sicherheitsverletzung		* Beweisen oder wiederlegen einer Sicherheitsverletzung
	* Ermitteln des Umfangs eines Eingriffs in die Datenbank		* Ermitteln des Umfangs eines Eingriffs in die Datenbank
	* Ermitteln des Abflusses von Daten aus ~~der~~ Datenbank		* Ermitteln des Abflusses von Daten aus einer Datenbank
	* Rekonstruieren von DML und DDL Operationen eines Benutzers (der aufgrund einer Sicherheitsverletzung im DBMS aktiv ist)		* Rekonstruieren von DML und DDL Operationen eines Benutzers (der aufgrund einer Sicherheitsverletzung im DBMS aktiv ist)
	* Wiederherstellen gelöschter Datenbank-Daten, die evtl. aufgrund von Aktionen einer Sicherheitsverletzung entstanden sind		* Wiederherstellen gelöschter Datenbank-Daten, die evtl. aufgrund von Aktionen einer Sicherheitsverletzung entstanden sind

	==Forensisch relevante Datenbankartefakte==		==Forensisch relevante Datenbankartefakte==

Etduen am 19. September 2019 um 08:27 Uhr

2019-09-19T08:27:32Z

← Nächstältere Version		Version vom 19. September 2019, 08:27 Uhr
Zeile 1:		Zeile 1:
	'''Datenbankforensik''' ist ein Teilgebiet der IT-Forensik. Es beschäftigt sich mit der Sammlung und Analyse von forensischen Artefakten aus Datenbanken. Im Datenbankumfeld ist eine klassische Dateisystem-Analyse nicht ausreichend, sodass eine gezielte forensische Analyse von Datenbankartefakten notwendig ist.		'''Datenbankforensik''' ist ein Teilgebiet der IT-Forensik. Es beschäftigt sich mit der Sammlung und Analyse von forensischen Artefakten aus Datenbanken. Im Datenbankumfeld ist eine klassische Dateisystem-Analyse nicht ausreichend, sodass eine gezielte forensische Analyse von Datenbankartefakten notwendig ist.

			==Ziele der Datenbank-Forensik==
			Die Datenbank-Forensik kann eine forensische Untersuchung unterstützen, um folgende Ziele zu erreichen:
			* Beweisen oder wiederlegen einer Sicherheitsverletzung
			* Ermitteln des Umfangs eines Eingriffs in die Datenbank
			* Ermitteln des Abflusses von Daten aus der Datenbank
			* Rekonstruieren von DML und DDL Operationen eines Benutzers (der aufgrund einer Sicherheitsverletzung im DBMS aktiv ist)
			* Wiederherstellen gelöschter Datenbank-Daten, die evtl. aufgrund von Aktionen einer Sicherheitsverletzung entstanden sind

	==Forensisch relevante Datenbankartefakte==		==Forensisch relevante Datenbankartefakte==
	Folgende Datenbankartefakte sind bei der Analyse bspw. zu berücksichtigen:		Folgende Datenbankartefakte sind bei der Analyse bspw. zu berücksichtigen:
Zeile 9:		Zeile 18:
	* Database Management System Logs: Geben je nach Logging-Konfiguration Auskunft über die erfolgreichen und fehlerhaften Logins, Buffer-Overflows, fehlerhafte StatementAusführungen und andere Fehler im DBMS		* Database Management System Logs: Geben je nach Logging-Konfiguration Auskunft über die erfolgreichen und fehlerhaften Logins, Buffer-Overflows, fehlerhafte StatementAusführungen und andere Fehler im DBMS
	Je nach Datenbanksystem (MySQL, Oracle, MSSQL, IBM DB2, PostgreSQL, etc.) sind die o.g. Artefakte an unterschiedlichen „Orten“ zu finden.		Je nach Datenbanksystem (MySQL, Oracle, MSSQL, IBM DB2, PostgreSQL, etc.) sind die o.g. Artefakte an unterschiedlichen „Orten“ zu finden.

	==Strategische Vorbereitung (siehe auch [[BSI-Vorgehensmodell]]) ==		==Strategische Vorbereitung (siehe auch [[BSI-Vorgehensmodell]]) ==
	Im Auslieferungszustand eines Datenbanksystems werden nicht in jedem Fall alle Artefakte im notwendigen Umfang protokolliert. Die vorzunehmenden Einstellungen sind je nach Schutzbedarf der Datenbank während der Strategischen Vorbereitung durchzuführen, damit während der Datensammlung alle notwendigen Daten vorliegen.		Im Auslieferungszustand eines Datenbanksystems werden nicht in jedem Fall alle Artefakte im notwendigen Umfang protokolliert. Die vorzunehmenden Einstellungen sind je nach Schutzbedarf der Datenbank während der Strategischen Vorbereitung durchzuführen, damit während der Datensammlung alle notwendigen Daten vorliegen.

	==Online- und Offline-Forensik==		==Online- und Offline-Forensik==
	Auch bei der Datenbankforensik können Analysen in Online- und Offline-Forensik unterteilt werden. Bei der Online-Forensik einer Datenbank sollten vorab alle Caches und weitere flüchtige Daten gesichert und gesichtet werden, ohne diese zu verändern. Bei unbedachten Logins oder Ausführungen von Statements werden Caches, Buffer und Logfiles evtl. verfälscht, indem analyserelevante Artefakte überschrieben werden. Während der Online-Forensik sollte das System für den Nutzer nicht zur Verfügung stehen, um die Analyse nicht zu verfälschen. Im Gegensatz dazu, wird bei der Offline-Forensik einer Datenbank das System vollständig, bestenfalls „hart“, heruntergefahren. Dabei gehen alle flüchtigen Daten verloren. Danach wird ein vollständiges Systemabbild gezogen, auf dem die Analyse durchgeführt wird. Anschließend kann das System wieder hochgefahren werden und steht dem Nutzer wieder zur Verfügung.		Auch bei der Datenbankforensik können Analysen in Online- und Offline-Forensik unterteilt werden. Bei der Online-Forensik einer Datenbank sollten vorab alle Caches und weitere flüchtige Daten gesichert und gesichtet werden, ohne diese zu verändern. Bei unbedachten Logins oder Ausführungen von Statements werden Caches, Buffer und Logfiles evtl. verfälscht, indem analyserelevante Artefakte überschrieben werden. Während der Online-Forensik sollte das System für den Nutzer nicht zur Verfügung stehen, um die Analyse nicht zu verfälschen. Im Gegensatz dazu, wird bei der Offline-Forensik einer Datenbank das System vollständig, bestenfalls „hart“, heruntergefahren. Dabei gehen alle flüchtigen Daten verloren. Danach wird ein vollständiges Systemabbild gezogen, auf dem die Analyse durchgeführt wird. Anschließend kann das System wieder hochgefahren werden und steht dem Nutzer wieder zur Verfügung.

Etduen am 21. August 2019 um 10:03 Uhr

2019-08-21T10:03:01Z

← Nächstältere Version		Version vom 21. August 2019, 10:03 Uhr
Zeile 9:		Zeile 9:
	* Database Management System Logs: Geben je nach Logging-Konfiguration Auskunft über die erfolgreichen und fehlerhaften Logins, Buffer-Overflows, fehlerhafte StatementAusführungen und andere Fehler im DBMS		* Database Management System Logs: Geben je nach Logging-Konfiguration Auskunft über die erfolgreichen und fehlerhaften Logins, Buffer-Overflows, fehlerhafte StatementAusführungen und andere Fehler im DBMS
	Je nach Datenbanksystem (MySQL, Oracle, MSSQL, IBM DB2, PostgreSQL, etc.) sind die o.g. Artefakte an unterschiedlichen „Orten“ zu finden.		Je nach Datenbanksystem (MySQL, Oracle, MSSQL, IBM DB2, PostgreSQL, etc.) sind die o.g. Artefakte an unterschiedlichen „Orten“ zu finden.
	==Strategische Vorbereitung==		==Strategische Vorbereitung (siehe auch [[BSI-Vorgehensmodell]]) ==
	Im Auslieferungszustand eines Datenbanksystems werden nicht in jedem Fall alle Artefakte im notwendigen Umfang protokolliert. Die vorzunehmenden Einstellungen sind je nach Schutzbedarf der Datenbank während der Strategischen Vorbereitung durchzuführen, damit während der Datensammlung alle notwendigen Daten vorliegen.		Im Auslieferungszustand eines Datenbanksystems werden nicht in jedem Fall alle Artefakte im notwendigen Umfang protokolliert. Die vorzunehmenden Einstellungen sind je nach Schutzbedarf der Datenbank während der Strategischen Vorbereitung durchzuführen, damit während der Datensammlung alle notwendigen Daten vorliegen.
	==Online- und Offline-Forensik==		==Online- und Offline-Forensik==

St181103: Die Seite wurde neu angelegt: „'''Datenbankforensik''' ist ein Teilgebiet der IT-Forensik. Es beschäftigt sich mit der Sammlung und Analyse von forensischen Artefakten aus Datenbanken. Im D…“

2019-07-21T11:36:50Z

Die Seite wurde neu angelegt: „'''Datenbankforensik''' ist ein Teilgebiet der IT-Forensik. Es beschäftigt sich mit der Sammlung und Analyse von forensischen Artefakten aus Datenbanken. Im D…“

Neue Seite

'''Datenbankforensik''' ist ein Teilgebiet der IT-Forensik. Es beschäftigt sich mit der Sammlung und Analyse von forensischen Artefakten aus Datenbanken. Im Datenbankumfeld ist eine klassische Dateisystem-Analyse nicht ausreichend, sodass eine gezielte forensische Analyse von Datenbankartefakten notwendig ist.
==Forensisch relevante Datenbankartefakte==
Folgende Datenbankartefakte sind bei der Analyse bspw. zu berücksichtigen:
* Data Cache: Gibt Auskunft über die durch den Angreifer verwendeten Daten
* Plan Cache: Gibt Auskunft über zuletzt ausgeführte SQL-Statements
* Server State: Enthält Aussagen über aktive Datenbanksitzungen, -verbindungen und die letzten SQL-Statements.
* Active Virtual Log Files: Geben Auskunft über die zuletzt ausgeführten Statements und können basierend auf Zeitstempel, DB-Login oder DB-Objekt ausgewertet werden.
* Data Files: Enthalten auch gelöschte Datensätze und unterstützen die Analyse der Tätigkeiten eines Angreifers
* Database Management System Logs: Geben je nach Logging-Konfiguration Auskunft über die erfolgreichen und fehlerhaften Logins, Buffer-Overflows, fehlerhafte StatementAusführungen und andere Fehler im DBMS
Je nach Datenbanksystem (MySQL, Oracle, MSSQL, IBM DB2, PostgreSQL, etc.) sind die o.g. Artefakte an unterschiedlichen „Orten“ zu finden.
==Strategische Vorbereitung==
Im Auslieferungszustand eines Datenbanksystems werden nicht in jedem Fall alle Artefakte im notwendigen Umfang protokolliert. Die vorzunehmenden Einstellungen sind je nach Schutzbedarf der Datenbank während der Strategischen Vorbereitung durchzuführen, damit während der Datensammlung alle notwendigen Daten vorliegen.
==Online- und Offline-Forensik==
Auch bei der Datenbankforensik können Analysen in Online- und Offline-Forensik unterteilt werden. Bei der Online-Forensik einer Datenbank sollten vorab alle Caches und weitere flüchtige Daten gesichert und gesichtet werden, ohne diese zu verändern. Bei unbedachten Logins oder Ausführungen von Statements werden Caches, Buffer und Logfiles evtl. verfälscht, indem analyserelevante Artefakte überschrieben werden. Während der Online-Forensik sollte das System für den Nutzer nicht zur Verfügung stehen, um die Analyse nicht zu verfälschen. Im Gegensatz dazu, wird bei der Offline-Forensik einer Datenbank das System vollständig, bestenfalls „hart“, heruntergefahren. Dabei gehen alle flüchtigen Daten verloren. Danach wird ein vollständiges Systemabbild gezogen, auf dem die Analyse durchgeführt wird. Anschließend kann das System wieder hochgefahren werden und steht dem Nutzer wieder zur Verfügung.

==Quellen==
* Bundesamt für Sicherheit in der Informationstechnik (BSI): Leitfaden „IT-Forensik“, Version 1.0.1 (2011)
* Kevvie Fowler: SQL Server Forensic Analysis (2008)
* Mulazzani, Martin & Weippl, Edgar: Aktuelle Herausforderungen in der Datenbankforensik (2019)