Imaging - Versionsgeschichte

Etduen: Der Seiteninhalt wurde durch einen anderen Text ersetzt: „== Imaging == Ein '''forensisches Image''' (forensische Kopie) ist eine bitweise (sektorweise) direkte Kopie eines physischen Speichergeräts, einschließlich aller Dateien, Ordner und nicht zugeordneten, freien und freigegebenen Speicherplätzen.“

2024-02-19T10:06:57Z

Der Seiteninhalt wurde durch einen anderen Text ersetzt: „== Imaging == Ein '''forensisches Image''' (forensische Kopie) ist eine bitweise (sektorweise) direkte Kopie eines physischen Speichergeräts, einschließlich aller Dateien, Ordner und nicht zugeordneten, freien und freigegebenen Speicherplätzen.“

← Nächstältere Version		Version vom 19. Februar 2024, 10:06 Uhr
Zeile 1:		Zeile 1:
	== Imaging ==		== Imaging ==

	Ein '''forensisches [[Image]]''' (forensische Kopie) ist eine bitweise (sektorweise) direkte Kopie eines physischen Speichergeräts, einschließlich aller Dateien, Ordner und nicht zugeordneten, freien und freigegebenen Speicherplätzen~~. Forensic-Images enthalten nicht nur alle Dateien, die für das Betriebssystem sichtbar sind, sondern auch gelöschte Dateien und Teile von Dateien, die im freigegebenen Speicherplatz verbleiben.~~		Ein '''forensisches [[Image]]''' (forensische Kopie) ist eine bitweise (sektorweise) direkte Kopie eines physischen Speichergeräts, einschließlich aller Dateien, Ordner und nicht zugeordneten, freien und freigegebenen Speicherplätzen.
	~~[[Datei:Speicherbelegung auf dem Originaldatenträger.png\|mini\|Abbildung 1: Speicherbelegung auf dem Originaldatenträger]]~~

	Das forensische Image ist ein Element der Computerforensik und die Grundlage für die Anwendung von Computeruntersuchungs- und -analysetechniken, um Beweise zu sammeln, die für die Vorlage vor einem Gericht geeignet sind.

	Nicht jede Imaging- und Backup-Software erstellt forensische Images. Die Windows-Sicherung erstellt beispielsweise Imagesicherungen, die keine vollständigen Kopien des physischen Geräts sind. Forensische Images können mit einer speziellen forensischen Software erstellt werden.

	In Fällen von Cyberkriminalität können zusätzliche Beweise auf Datenträgern entdeckt werden, die nicht über das Betriebssystem ersichtlich sind, und zwar in Form von belastenden Daten, die gelöscht wurden, um eine Entdeckung zu verhindern. Sofern diese Daten nicht sicher gelöscht und überschrieben worden sind, können sie häufig mit Forensik- oder Dateiwiederherstellungssoftware rekonstruiert werden.

	Durch das Erstellen und Sichern eines forensischen Abbilds wird verhindert, dass Daten aufgrund von ursprünglichen Laufwerksfehlern verloren gehen. Der Verlust von Daten als Beweismittel kann sich nachteilig auf Rechtsfälle auswirken. Forensische Imagen kann im Allgemeinen auch den Verlust kritischer Dateien verhindern.
	~~[[Datei:Speicherbelegung auf Backupmedium.png\|mini\|Abbildung 2: Speicherbelegung auf dem Backupmedium]]~~


	~~=== Imaging versus Backup ===~~
	~~Das Imaging ist nicht mit der Erstellung eines Backups zu verwechseln.~~
	Während ein Backup (auch Dateisicherung genannt) eine Sicherung von Dateien und Ordnern erstellt, erzeugt das Imaging eine Bit genau Kopie des Ausgangsspeichers inklusive aller evtl. aktuell gar nicht benutzter Bereiche.
	Abbildung 1 zeigt symbolisch einen 100 Einheiten großen Datenspeicher mit vier Dateien. Diese werden durch die Farben rot, lila, blau und grün symbolisiert. Die Zahlen in den Feldern geben an in welcher Reihenfolge die einzelnen Blöcke einer Datei gelesen werden müssen. Die grauen Felder sollen bereits benutzte aber aktuell nicht mehr in Verwendung befindliche Blöcke darstellen. Weiße Felder sind bisher noch nie beschriebene Blöcke.


	Erzeugt man von diesem Speicher ein Backup, so werden die Dateien sequentiell ausgelesen und Block für Block, Datei für Datei hintereinander gespeichert. Nicht mehr in Benutzung befindliche Blöcke werden bei der Datensicherung nicht betrachtet. Das Ergebnis der Datensicherung ist in Abbildung 2 symbolisch dargestellt:


	~~Erzeugt man von dem Originaldatenträger jedoch ein Image, so erhält man einen neuen Datenspeicher oder eine Datei in welcher die Informationen wie in Abbildung 3 vorliegen.~~
	~~[[Datei:Speicherbelegung auf dem Originaldatenträger.png\|mini\|Abbildung 3: Speicherbelegung auf dem Imagedatenträger]]~~


	~~=== Software zum Erstellen eines Images ===~~
	Die gängigen Betriebssysteme bringen bereits Boardmittel zum Erstellen von Images mit. Sie heißen unter Windows „Systemabbild erstellen“, unter macOS „Festplattendienstprogramm“ und unter Linux „dd“ (in den coreutils enthalten).
	~~Allerdings genügen diese Boardmittel den Anforderungen an das Erstellen von forensischen Abbildern nicht. Veränderungen an den Images nach der Erzeugung können nicht festgestellt werden.~~

	Um diese Anforderung an die „Unverfälschbarkeit“ eines Speicherabbildes zu erfüllen setzt das „forensische Imaging“ auf kryptographische Sicherung des Speicherabbildes. Ein Beispiel eines solchen Tools ist z.B. [https://sourceforge.net/projects/dcfldd/ dcfldd], welches nach einer einstellbaren Anzahl geschriebener Bytes einen Hashwert über diese Bytes erstellt und ebenfalls speichert.

	Um jegliche Veränderungen an einem Speicher durch das Erzeugen eines Images zu vermeiden, sollte – wenn dies technisch möglich ist - ein [[Write_Blocker\|Writeblocker]] verwendet werden. Dieser verhindert, dass versehentlich schreibend auf den auszulesenden Speicher zugegriffen wird.

Etduen am 21. August 2019 um 10:32 Uhr

2019-08-21T10:32:11Z

← Nächstältere Version		Version vom 21. August 2019, 10:32 Uhr
Zeile 1:		Zeile 1:
	== Imaging ==		== Imaging ==

	Ein forensisches Image (forensische Kopie) ist eine bitweise (sektorweise) direkte Kopie eines physischen Speichergeräts, einschließlich aller Dateien, Ordner und nicht zugeordneten, freien und freigegebenen Speicherplätzen. Forensic-Images enthalten nicht nur alle Dateien, die für das Betriebssystem sichtbar sind, sondern auch gelöschte Dateien und Teile von Dateien, die im freigegebenen Speicherplatz verbleiben.		Ein '''forensisches [[Image]]''' (forensische Kopie) ist eine bitweise (sektorweise) direkte Kopie eines physischen Speichergeräts, einschließlich aller Dateien, Ordner und nicht zugeordneten, freien und freigegebenen Speicherplätzen. Forensic-Images enthalten nicht nur alle Dateien, die für das Betriebssystem sichtbar sind, sondern auch gelöschte Dateien und Teile von Dateien, die im freigegebenen Speicherplatz verbleiben.
	[[Datei:Speicherbelegung auf dem Originaldatenträger.png\|mini\|Abbildung 1: Speicherbelegung auf dem Originaldatenträger]]		[[Datei:Speicherbelegung auf dem Originaldatenträger.png\|mini\|Abbildung 1: Speicherbelegung auf dem Originaldatenträger]]

St181648: Kommasetzung und sprachliche Anpassungen

2019-07-31T11:59:35Z

Kommasetzung und sprachliche Anpassungen

St181648: Initiale Fertigstellung des Artikels

2019-07-25T19:44:24Z

Initiale Fertigstellung des Artikels

@@ Zeile 2: / Zeile 2: @@
 Ein forensisches Image (forensische Kopie) ist eine bitweise (sektorweise)  direkte Kopie eines physischen Speichergeräts, einschließlich aller Dateien, Ordner und nicht zugeordneten, freien und freien Speicherplätze. Forensic-Images enthalten nicht nur alle Dateien, die für das Betriebssystem sichtbar sind, sondern auch gelöschte Dateien und Teile von Dateien, die im freien Speicherplatz verbleiben.
 Das forensische Image ist ein Element der Computerforensik, die Anwendung von Computeruntersuchungs- und -analysetechniken, um Beweise zu sammeln, die für die Vorlage vor einem Gericht geeignet sind.
@@ Zeile 10: / Zeile 11: @@
 Durch das Erstellen und Sichern eines forensischen Abbilds wird verhindert, dass Daten aufgrund von ursprünglichen Laufwerksfehlern verloren gehen. Der Verlust von Daten als Beweismittel kann sich nachteilig auf Rechtsfälle auswirken. Forensische Imagen kann im Allgemeinen auch den Verlust kritischer Dateien verhindern.

St181648: Initiale Erstellung

2019-07-25T11:50:53Z

Initiale Erstellung

Neue Seite

== Imaging ==

Ein forensisches Image (forensische Kopie) ist eine bitweise (sektorweise) direkte Kopie eines physischen Speichergeräts, einschließlich aller Dateien, Ordner und nicht zugeordneten, freien und freien Speicherplätze. Forensic-Images enthalten nicht nur alle Dateien, die für das Betriebssystem sichtbar sind, sondern auch gelöschte Dateien und Teile von Dateien, die im freien Speicherplatz verbleiben.

Das forensische Image ist ein Element der Computerforensik, die Anwendung von Computeruntersuchungs- und -analysetechniken, um Beweise zu sammeln, die für die Vorlage vor einem Gericht geeignet sind.

Nicht jede Imaging- und Backup-Software erstellt forensische Images. Die Windows-Sicherung erstellt beispielsweise Imagesicherungen, die keine vollständigen Kopien des physischen Geräts sind. Forensische Images können mit einer speziellen forensischen Software erstellt werden.

In Fällen von Cyberkriminalität können zusätzliche Beweise auf Datenträgern entdeckt werden, die nicht über das Betriebssystem ersichtlich sind, und zwar in Form von belastenden Daten, die gelöscht wurden, um eine Entdeckung zu verhindern. Sofern diese Daten nicht sicher gelöscht und überschrieben worden sind, können sie häufig mit Forensik- oder Dateiwiederherstellungssoftware rekonstruiert werden.

Durch das Erstellen und Sichern eines forensischen Abbilds wird verhindert, dass Daten aufgrund von ursprünglichen Laufwerksfehlern verloren gehen. Der Verlust von Daten als Beweismittel kann sich nachteilig auf Rechtsfälle auswirken. Forensische Imagen kann im Allgemeinen auch den Verlust kritischer Dateien verhindern.

← Nächstältere Version		Version vom 31. Juli 2019, 11:59 Uhr
Zeile 1:		Zeile 1:
	== Imaging ==		== Imaging ==

	Ein forensisches Image (forensische Kopie) ist eine bitweise (sektorweise) direkte Kopie eines physischen Speichergeräts, einschließlich aller Dateien, Ordner und nicht zugeordneten, freien und ~~freien Speicherplätze~~. Forensic-Images enthalten nicht nur alle Dateien, die für das Betriebssystem sichtbar sind, sondern auch gelöschte Dateien und Teile von Dateien, die im ~~freien~~ Speicherplatz verbleiben.		Ein forensisches Image (forensische Kopie) ist eine bitweise (sektorweise) direkte Kopie eines physischen Speichergeräts, einschließlich aller Dateien, Ordner und nicht zugeordneten, freien und freigegebenen Speicherplätzen. Forensic-Images enthalten nicht nur alle Dateien, die für das Betriebssystem sichtbar sind, sondern auch gelöschte Dateien und Teile von Dateien, die im freigegebenen Speicherplatz verbleiben.
	[[Datei:Speicherbelegung auf dem Originaldatenträger.png\|mini\|Abbildung 1: Speicherbelegung auf dem Originaldatenträger]]		[[Datei:Speicherbelegung auf dem Originaldatenträger.png\|mini\|Abbildung 1: Speicherbelegung auf dem Originaldatenträger]]

	Das forensische Image ist ein Element der Computerforensik, die Anwendung von Computeruntersuchungs- und -analysetechniken, um Beweise zu sammeln, die für die Vorlage vor einem Gericht geeignet sind.		Das forensische Image ist ein Element der Computerforensik und die Grundlage für die Anwendung von Computeruntersuchungs- und -analysetechniken, um Beweise zu sammeln, die für die Vorlage vor einem Gericht geeignet sind.

	Nicht jede Imaging- und Backup-Software erstellt forensische Images. Die Windows-Sicherung erstellt beispielsweise Imagesicherungen, die keine vollständigen Kopien des physischen Geräts sind. Forensische Images können mit einer speziellen forensischen Software erstellt werden.		Nicht jede Imaging- und Backup-Software erstellt forensische Images. Die Windows-Sicherung erstellt beispielsweise Imagesicherungen, die keine vollständigen Kopien des physischen Geräts sind. Forensische Images können mit einer speziellen forensischen Software erstellt werden.
Zeile 16:		Zeile 16:
	=== Imaging versus Backup ===		=== Imaging versus Backup ===
	Das Imaging ist nicht mit der Erstellung eines Backups zu verwechseln.		Das Imaging ist nicht mit der Erstellung eines Backups zu verwechseln.
	Während ein Backup (auch Dateisicherung genannt) eine Sicherung von Dateien und Ordnern erstellt erzeugt das Imaging eine Bit genau Kopie des Ausgangsspeichers inklusive aller evtl. aktuell gar nicht benutzter Bereiche.		Während ein Backup (auch Dateisicherung genannt) eine Sicherung von Dateien und Ordnern erstellt, erzeugt das Imaging eine Bit genau Kopie des Ausgangsspeichers inklusive aller evtl. aktuell gar nicht benutzter Bereiche.
	Abbildung 1 zeigt symbolisch einen 100 Einheiten großen Datenspeicher mit vier Dateien. Diese werden durch die Farben rot, lila, blau und grün symbolisiert. Die Zahlen in den Feldern geben an in welcher Reihenfolge die einzelnen Blöcke einer Datei gelesen werden müssen. Die grauen Felder sollen bereits benutzte aber aktuell nicht mehr in Verwendung befindliche Blöcke darstellen. Weiße Felder sind bisher noch nie beschriebene Blöcke.		Abbildung 1 zeigt symbolisch einen 100 Einheiten großen Datenspeicher mit vier Dateien. Diese werden durch die Farben rot, lila, blau und grün symbolisiert. Die Zahlen in den Feldern geben an in welcher Reihenfolge die einzelnen Blöcke einer Datei gelesen werden müssen. Die grauen Felder sollen bereits benutzte aber aktuell nicht mehr in Verwendung befindliche Blöcke darstellen. Weiße Felder sind bisher noch nie beschriebene Blöcke.

Zeile 33:		Zeile 33:
	Um diese Anforderung an die „Unverfälschbarkeit“ eines Speicherabbildes zu erfüllen setzt das „forensische Imaging“ auf kryptographische Sicherung des Speicherabbildes. Ein Beispiel eines solchen Tools ist z.B. [https://sourceforge.net/projects/dcfldd/ dcfldd], welches nach einer einstellbaren Anzahl geschriebener Bytes einen Hashwert über diese Bytes erstellt und ebenfalls speichert.		Um diese Anforderung an die „Unverfälschbarkeit“ eines Speicherabbildes zu erfüllen setzt das „forensische Imaging“ auf kryptographische Sicherung des Speicherabbildes. Ein Beispiel eines solchen Tools ist z.B. [https://sourceforge.net/projects/dcfldd/ dcfldd], welches nach einer einstellbaren Anzahl geschriebener Bytes einen Hashwert über diese Bytes erstellt und ebenfalls speichert.

	Um jegliche Veränderungen an einem Speicher durch das Erzeugen eines Images zu vermeiden, sollte – wenn dies technisch möglich ist - ein Writeblocker verwendet werden. Dieser verhindert, dass versehentlich schreibend auf den auszulesenden Speicher zugegriffen wird.		Um jegliche Veränderungen an einem Speicher durch das Erzeugen eines Images zu vermeiden, sollte – wenn dies technisch möglich ist - ein [[Write_Blocker\|Writeblocker]] verwendet werden. Dieser verhindert, dass versehentlich schreibend auf den auszulesenden Speicher zugegriffen wird.