Write Blocker - Versionsgeschichte

St190865: /* Write Blocker */

2022-02-09T20:03:00Z

Write Blocker

← Nächstältere Version		Version vom 9. Februar 2022, 20:03 Uhr
Zeile 1:		Zeile 1:
	== Write Blocker ==		== Write Blocker ==
	Die durch den Ermittler oder Analysten auszuwertenden Daten und Informationen dürfen im Falle einer IT-Forensischen Untersuchung nicht verändert werden, damit diese für ein eventuelles gerichtliches Verfahren beweissicher sind. Änderungen können, sofern diese nicht entsprechend lesend gesichtet werden, durch den Auswerter aber auch z.B. durch Computer-Viren ~~verändert~~ werden. Um Änderungen während einer Auswertung zu vermeiden können Schreibblocker (write blocker) eingesetzt werden. Diese gibt es als Hardware oder Software.		Die durch den Ermittler oder Analysten auszuwertenden Daten und Informationen dürfen im Falle einer IT-Forensischen Untersuchung nicht verändert werden, damit diese für ein eventuelles gerichtliches Verfahren beweissicher sind. Änderungen können, sofern diese nicht entsprechend lesend gesichtet werden, durch den Auswerter aber auch z.B. durch Computer-Viren verursacht werden. Um Änderungen während einer Auswertung zu vermeiden, können Schreibblocker (write blocker) eingesetzt werden. Diese gibt es als Hardware oder Software.

	Ein Writeblocker wird zwischen den zu duplizierenden Datenträger und das Computersystem, mit dem das Duplikat erstellt werden soll, angeschlossen. Er lässt lediglich Lesezugriffe auf den Datenträger zu und filtert Schreibzugriffe. Writeblocker existieren für viele Festplatten- und Datenträger-Schnittstellen, beispielsweise SATA, IDE, SCSI und USB.		Ein Writeblocker wird zwischen den zu duplizierenden Datenträger und das Computersystem, mit dem das Duplikat erstellt werden soll, angeschlossen. Er lässt lediglich Lesezugriffe auf den Datenträger zu und filtert Schreibzugriffe. Writeblocker existieren für viele Festplatten- und Datenträger-Schnittstellen, beispielsweise SATA, IDE, SCSI und USB.
Zeile 7:		Zeile 7:
	Bei der Hardware-Variante handelt es sich um Geräte, die zwischen den Festplatten Controller und die Festplatte angeschlossen werden. Schreibende Kommandos werden technisch unterdrückt.<sup>1)</sup>		Bei der Hardware-Variante handelt es sich um Geräte, die zwischen den Festplatten Controller und die Festplatte angeschlossen werden. Schreibende Kommandos werden technisch unterdrückt.<sup>1)</sup>

	Hardware-Schreibblocker sind auf Schnelligkeit optimiert. Beispiele für Hardware Schreibblocker sind der Logicube und Tableau. Logicube erstellt Hashwerte und imaged ein Verzeichnis mit einer Rate von 3GB/min. ~~Hardware-~~Schreibblocker sind portabel, klein und ~~ersetzt~~ sperrige PCs am Arbeitsplatz.<sup>2)</sup>		Hardware-Schreibblocker sind auf Schnelligkeit optimiert. Beispiele für Hardware Schreibblocker sind der Logicube und Tableau. Logicube erstellt Hashwerte und imaged ein Verzeichnis mit einer Rate von 3GB/min. Forensische Duplikatoren mit Schreibblocker sind portabel, klein und ersetzen sperrige PCs am Arbeitsplatz.<sup>2)</sup>

	=== Software ===		=== Software ===
	Software write blocker sollen ebenfalls ~~schreibschützend sein~~. Es werden bei der Software-Variante nur bestimmte Befehle zum Datenträger weitergeleitet und ~~soll nicht so~~ effizient ~~wie~~ eine ~~hardware~~-Lösung sein.<sup>1)</sup>		Software write blocker sollen ebenfalls Veränderungen am Datenträger verhindern. Es werden bei der Software-Variante nur wenige bestimmte Befehle zum Datenträger weitergeleitet. Sie haben den Ruf, weniger sicher und effizient als eine Hardware-Lösung sein.<sup>1)</sup>

	Software Schreibblocker gibt es in ~~zwei~~ Varianten. Sie werden entweder als Zusatzsoftware zu existiernenden Bestriebssystemen implementiert und blocken dort das Schreiben auf dem auswertenden Gerät. Die Alternative ist ein Schreibblocker, der als eigenständiger Dienst bootbar ist.<sup>2)</sup>		Software Schreibblocker gibt es in mehreren Varianten. Sie werden entweder als Zusatzsoftware zu existiernenden Bestriebssystemen implementiert und blocken dort das Schreiben auf dem auswertenden Gerät. Die Alternative ist ein Schreibblocker, der als eigenständiger Dienst bootbar ist.<sup>2)</sup>

	=== Vorteile Hardware-Schreibblocker ===		=== Vorteile Hardware-Schreibblocker ===

St181648: Satzumbau

2019-07-28T18:09:33Z

Satzumbau

← Nächstältere Version		Version vom 28. Juli 2019, 18:09 Uhr
Zeile 1:		Zeile 1:
	== Write Blocker ==		== Write Blocker ==
	Die durch den Ermittler oder Analysten auszuwertenden Daten und Informationen im Falle einer IT-Forensischen Untersuchung ~~dürfen~~ nicht verändert werden, damit diese für ein eventuelles gerichtliches Verfahren beweissicher sind. Änderungen können, sofern diese nicht entsprechend lesend gesichtet werden, durch den Auswerter aber auch z.B. durch Computer-Viren verändert werden. Um Änderungen während einer Auswertung zu vermeiden können Schreibblocker (write blocker) eingesetzt werden. Diese gibt es als Hardware oder Software.		Die durch den Ermittler oder Analysten auszuwertenden Daten und Informationen dürfen im Falle einer IT-Forensischen Untersuchung nicht verändert werden, damit diese für ein eventuelles gerichtliches Verfahren beweissicher sind. Änderungen können, sofern diese nicht entsprechend lesend gesichtet werden, durch den Auswerter aber auch z.B. durch Computer-Viren verändert werden. Um Änderungen während einer Auswertung zu vermeiden können Schreibblocker (write blocker) eingesetzt werden. Diese gibt es als Hardware oder Software.

	Ein Writeblocker wird zwischen den zu duplizierenden Datenträger und das Computersystem, mit dem das Duplikat erstellt werden soll, angeschlossen. Er lässt lediglich Lesezugriffe auf den Datenträger zu und filtert Schreibzugriffe. Writeblocker existieren für viele Festplatten- und Datenträger-Schnittstellen, beispielsweise SATA, IDE, SCSI und USB.		Ein Writeblocker wird zwischen den zu duplizierenden Datenträger und das Computersystem, mit dem das Duplikat erstellt werden soll, angeschlossen. Er lässt lediglich Lesezugriffe auf den Datenträger zu und filtert Schreibzugriffe. Writeblocker existieren für viele Festplatten- und Datenträger-Schnittstellen, beispielsweise SATA, IDE, SCSI und USB.

St181648: Umbau des Artikels

2019-07-28T18:09:04Z

Umbau des Artikels

← Nächstältere Version		Version vom 28. Juli 2019, 18:09 Uhr
Zeile 1:		Zeile 1:
	Einsatz eines Write Blockers ~~zur Erstellung eines Images~~		== Write Blocker ==
			Die durch den Ermittler oder Analysten auszuwertenden Daten und Informationen im Falle einer IT-Forensischen Untersuchung dürfen nicht verändert werden, damit diese für ein eventuelles gerichtliches Verfahren beweissicher sind. Änderungen können, sofern diese nicht entsprechend lesend gesichtet werden, durch den Auswerter aber auch z.B. durch Computer-Viren verändert werden. Um Änderungen während einer Auswertung zu vermeiden können Schreibblocker (write blocker) eingesetzt werden. Diese gibt es als Hardware oder Software.

			Ein Writeblocker wird zwischen den zu duplizierenden Datenträger und das Computersystem, mit dem das Duplikat erstellt werden soll, angeschlossen. Er lässt lediglich Lesezugriffe auf den Datenträger zu und filtert Schreibzugriffe. Writeblocker existieren für viele Festplatten- und Datenträger-Schnittstellen, beispielsweise SATA, IDE, SCSI und USB.

			=== Hardware ===
			Bei der Hardware-Variante handelt es sich um Geräte, die zwischen den Festplatten Controller und die Festplatte angeschlossen werden. Schreibende Kommandos werden technisch unterdrückt.<sup>1)</sup>

			Hardware-Schreibblocker sind auf Schnelligkeit optimiert. Beispiele für Hardware Schreibblocker sind der Logicube und Tableau. Logicube erstellt Hashwerte und imaged ein Verzeichnis mit einer Rate von 3GB/min. Hardware-Schreibblocker sind portabel, klein und ersetzt sperrige PCs am Arbeitsplatz.<sup>2)</sup>

			=== Software ===
			Software write blocker sollen ebenfalls schreibschützend sein. Es werden bei der Software-Variante nur bestimmte Befehle zum Datenträger weitergeleitet und soll nicht so effizient wie eine hardware-Lösung sein.<sup>1)</sup>

			Software Schreibblocker gibt es in zwei Varianten. Sie werden entweder als Zusatzsoftware zu existiernenden Bestriebssystemen implementiert und blocken dort das Schreiben auf dem auswertenden Gerät. Die Alternative ist ein Schreibblocker, der als eigenständiger Dienst bootbar ist.<sup>2)</sup>

			=== Vorteile Hardware-Schreibblocker ===
			Der Vorteil einer Hardwarelösung ist, dass Inhalte der zu sichtenden Daten und Informationen nicht durch Sicherheitslücken einer Software manipulierbar sind.<sup>1)</sup>

			=== Nachteile Software-Schreibblocker ===
			Software-Schreibblocker sind limitiert durch die Portgeschwindigkeit der Ports, die geblockt werden. Zusätzlich wird die Schreibgeschwindigkeit durch Overhead für den Schreibblock-Prozess reduziert.<sup>2)</sup>

			== Einzelbelege ==
			* <sup>1)</sup> Forensische Informatik, Andreas Dewald, Felix C. Freiling;ISBN-13: 978-3842379473
			* <sup>2)</sup> [https://www.sciencedirect.com/science/article/pii/B9780128038437000405 Cyber Forensics], Scott R. Ellis, in [https://www.sciencedirect.com/book/9780128038437 Computer and Information Security Handbook (Third Edition)], 2013)

			== Bericht zum praktischer Einsatz eines Write Blockers ==

	Zur '''Erstellung eines Images''' wird ein '''Write Blocker''' der Firma Tableau verwendet.		Zur '''Erstellung eines Images''' wird ein '''Write Blocker''' der Firma Tableau verwendet.

Etduen am 20. Mai 2019 um 11:15 Uhr

2019-05-20T11:15:27Z

← Nächstältere Version		Version vom 20. Mai 2019, 11:15 Uhr
Zeile 13:		Zeile 13:
	[[Datei:Image1.jpg\|mini]]		[[Datei:Image1.jpg\|mini]]
	Abbildung: 1 – Beweisstück USB-Stick mit darauf gespeicherten Dateien		Abbildung: 1 – Beweisstück USB-Stick mit darauf gespeicherten Dateien




	Um diesen USB-Stick als Beweisstück zu sichern und in der forensischen Analyse einzusetzen, wird nun der Aufbau mit dem Write Blocker hergestellt: Host (Forensik) < Write Blocker < USB-Stick.		Um diesen USB-Stick als Beweisstück zu sichern und in der forensischen Analyse einzusetzen, wird nun der Aufbau mit dem Write Blocker hergestellt: Host (Forensik) < Write Blocker < USB-Stick.
Zeile 18:		Zeile 21:
	[[Datei:Image2.jpg\|mini]]		[[Datei:Image2.jpg\|mini]]
	Abbildung: 2 – Komponenten zum Erstellen des logischen Abbildes		Abbildung: 2 – Komponenten zum Erstellen des logischen Abbildes




	Der Write Blocker wird zwischen den Host und das Beweisstück USB-Stick geschaltet. Damit wird verhindert, dass beim Sichern der Inhalte des USB Sticks keine Veränderungen auf dem USB Stick eintreten. Der Write Blocker verhindert auf anerkannte Weise den Schreibzugriff auf dem USB-Stick. Auf der anderen Seite wird der lesende Zugriff auf den USB-Stick ermöglicht.		Der Write Blocker wird zwischen den Host und das Beweisstück USB-Stick geschaltet. Damit wird verhindert, dass beim Sichern der Inhalte des USB Sticks keine Veränderungen auf dem USB Stick eintreten. Der Write Blocker verhindert auf anerkannte Weise den Schreibzugriff auf dem USB-Stick. Auf der anderen Seite wird der lesende Zugriff auf den USB-Stick ermöglicht.
Zeile 24:		Zeile 30:
	[[Datei:Image3.jpg\|mini]]		[[Datei:Image3.jpg\|mini]]
	Abbildung: 3 – Write Blocker mit Bedienungsanleitung und Zubehör		Abbildung: 3 – Write Blocker mit Bedienungsanleitung und Zubehör




	Es gibt Write Blocker mit unterschiedlichen Anschlussmöglichkeiten z.B. für SATA, SCSI Festplatten oder weitere Endgeräte mit spezifischen Steckern für das jeweilige Medium.		Es gibt Write Blocker mit unterschiedlichen Anschlussmöglichkeiten z.B. für SATA, SCSI Festplatten oder weitere Endgeräte mit spezifischen Steckern für das jeweilige Medium.
Zeile 30:		Zeile 39:
	[[Datei:Image4.jpg\|mini]]		[[Datei:Image4.jpg\|mini]]
	Abbildung: 4 – Gesamtaufbau Host < Write Blocker < Beweisstück USB-Stick		Abbildung: 4 – Gesamtaufbau Host < Write Blocker < Beweisstück USB-Stick




	Im nächsten Schritt werden die Hashwerte der Inhalte des USB Sticks gebildet. Somit wird von Vorneherein sichergestellt, Aussagen zur Integrität der Beweismittel treffen zu können. Jede spätere Veränderung der Daten wird dadurch nachgewiesen werden können, dass erneut ein Hashwert - hier md5- der Daten gebildet wird. Nur wenn die Hashwerte übereinstimmen, ist die Datei unverändert. Bereits beim Erstellen der Hashwerte und generell beim Aufbau Host < Write Blocker < USB Stick ist das Vier-Augen-Prinzip einzuhalten. In diesem ersten Beispiel wurden die Hashwerte mit den Linux-Funktionen des Hosts gebildet:		Im nächsten Schritt werden die Hashwerte der Inhalte des USB Sticks gebildet. Somit wird von Vorneherein sichergestellt, Aussagen zur Integrität der Beweismittel treffen zu können. Jede spätere Veränderung der Daten wird dadurch nachgewiesen werden können, dass erneut ein Hashwert - hier md5- der Daten gebildet wird. Nur wenn die Hashwerte übereinstimmen, ist die Datei unverändert. Bereits beim Erstellen der Hashwerte und generell beim Aufbau Host < Write Blocker < USB Stick ist das Vier-Augen-Prinzip einzuhalten. In diesem ersten Beispiel wurden die Hashwerte mit den Linux-Funktionen des Hosts gebildet:
Zeile 36:		Zeile 48:
	[[Datei:Image5.jpg\|mini]]		[[Datei:Image5.jpg\|mini]]
	Abbildung: 5 – Erstellen der Hashwerte (Integrität, Gerichtsfestigkeit)		Abbildung: 5 – Erstellen der Hashwerte (Integrität, Gerichtsfestigkeit)




	Nach dem Bilden der Hashwerte kann dann das Image gezogen werden oder, wie in diesem Falle ausprobiert, die Dateien von dem USB Stick auf den Host (Forensik-Arbeitsstation) kopiert werden. Nach dem Kopieren werden erneut die Hashwerte gebildet und verglichen.		Nach dem Bilden der Hashwerte kann dann das Image gezogen werden oder, wie in diesem Falle ausprobiert, die Dateien von dem USB Stick auf den Host (Forensik-Arbeitsstation) kopiert werden. Nach dem Kopieren werden erneut die Hashwerte gebildet und verglichen.
Zeile 41:		Zeile 56:
	[[Datei:Image6.jpg\|mini]]		[[Datei:Image6.jpg\|mini]]
	Abbildung: 6 – logisches Abbild der Inhalte des USB-Sticks		Abbildung: 6 – logisches Abbild der Inhalte des USB-Sticks




	Eine andere Möglichkeit wäre gewesen, weitere Werkzeuge einzusetzen. So hätte beispielsweise der FTK Imager hier die Möglichkeit geboten, ein logisches Image des USB Sticks zu erstellen und in diesem Vorgang direkt auch die Verifikation durchzuführen, also die Hashwerte zu bilden. Hier wurde bewusst zunächst die manuelle Methode verwendet, um den Aufbau und die Vorgehensweise mit dem Write Blocker einzustudieren. Im nächsten Schritt wurde dann die Funktionalität des FTK Imagers verwendet, um das Image der Praktikumsaufgabe zu erstellen.		Eine andere Möglichkeit wäre gewesen, weitere Werkzeuge einzusetzen. So hätte beispielsweise der FTK Imager hier die Möglichkeit geboten, ein logisches Image des USB Sticks zu erstellen und in diesem Vorgang direkt auch die Verifikation durchzuführen, also die Hashwerte zu bilden. Hier wurde bewusst zunächst die manuelle Methode verwendet, um den Aufbau und die Vorgehensweise mit dem Write Blocker einzustudieren. Im nächsten Schritt wurde dann die Funktionalität des FTK Imagers verwendet, um das Image der Praktikumsaufgabe zu erstellen.
Zeile 46:		Zeile 64:
	[[Datei:Image7.jpg\|mini]]		[[Datei:Image7.jpg\|mini]]
	Abbildung: 7 – Komponenten des Gesamtaufbaus		Abbildung: 7 – Komponenten des Gesamtaufbaus




	Der Vorgang wurde dokumentiert.		Der Vorgang wurde dokumentiert.
	[[Datei:Dokumentation.pdf\|mini\|Write Blocker der Firma Tableau]]		[[Datei:Dokumentation.pdf\|mini\|Write Blocker der Firma Tableau]]

Etduen am 20. Mai 2019 um 11:14 Uhr

2019-05-20T11:14:13Z

← Nächstältere Version		Version vom 20. Mai 2019, 11:14 Uhr
Zeile 10:		Zeile 10:

	Das Szenario, mit dem der Write Blocker getestet wurde, war ein z.B. im Rahmen der Strafverfolgung sichergestellter USB-Stick mit darauf gespeicherten Beweisstücken.		Das Szenario, mit dem der Write Blocker getestet wurde, war ein z.B. im Rahmen der Strafverfolgung sichergestellter USB-Stick mit darauf gespeicherten Beweisstücken.


	[[Datei:Image1.jpg\|mini]]		[[Datei:Image1.jpg\|mini]]
Zeile 22:		Zeile 21:
	Der Write Blocker wird zwischen den Host und das Beweisstück USB-Stick geschaltet. Damit wird verhindert, dass beim Sichern der Inhalte des USB Sticks keine Veränderungen auf dem USB Stick eintreten. Der Write Blocker verhindert auf anerkannte Weise den Schreibzugriff auf dem USB-Stick. Auf der anderen Seite wird der lesende Zugriff auf den USB-Stick ermöglicht.		Der Write Blocker wird zwischen den Host und das Beweisstück USB-Stick geschaltet. Damit wird verhindert, dass beim Sichern der Inhalte des USB Sticks keine Veränderungen auf dem USB Stick eintreten. Der Write Blocker verhindert auf anerkannte Weise den Schreibzugriff auf dem USB-Stick. Auf der anderen Seite wird der lesende Zugriff auf den USB-Stick ermöglicht.
	Der Write Blocker verfügt über einen USB-Port zum Anschluss des Beweisstücks, eine Stromversorgung und ein USB 3.0 Ausgang zur Verbindung des Gerätes mit dem Host.		Der Write Blocker verfügt über einen USB-Port zum Anschluss des Beweisstücks, eine Stromversorgung und ein USB 3.0 Ausgang zur Verbindung des Gerätes mit dem Host.


	[[Datei:Image3.jpg\|mini]]		[[Datei:Image3.jpg\|mini]]
Zeile 35:		Zeile 33:
	Im nächsten Schritt werden die Hashwerte der Inhalte des USB Sticks gebildet. Somit wird von Vorneherein sichergestellt, Aussagen zur Integrität der Beweismittel treffen zu können. Jede spätere Veränderung der Daten wird dadurch nachgewiesen werden können, dass erneut ein Hashwert - hier md5- der Daten gebildet wird. Nur wenn die Hashwerte übereinstimmen, ist die Datei unverändert. Bereits beim Erstellen der Hashwerte und generell beim Aufbau Host < Write Blocker < USB Stick ist das Vier-Augen-Prinzip einzuhalten. In diesem ersten Beispiel wurden die Hashwerte mit den Linux-Funktionen des Hosts gebildet:		Im nächsten Schritt werden die Hashwerte der Inhalte des USB Sticks gebildet. Somit wird von Vorneherein sichergestellt, Aussagen zur Integrität der Beweismittel treffen zu können. Jede spätere Veränderung der Daten wird dadurch nachgewiesen werden können, dass erneut ein Hashwert - hier md5- der Daten gebildet wird. Nur wenn die Hashwerte übereinstimmen, ist die Datei unverändert. Bereits beim Erstellen der Hashwerte und generell beim Aufbau Host < Write Blocker < USB Stick ist das Vier-Augen-Prinzip einzuhalten. In diesem ersten Beispiel wurden die Hashwerte mit den Linux-Funktionen des Hosts gebildet:
	z.B. für die Datei “File01.pdf”: echo File01.pdf \| md5sum File01.pdf > Hash_File01.txt		z.B. für die Datei “File01.pdf”: echo File01.pdf \| md5sum File01.pdf > Hash_File01.txt


	[[Datei:Image5.jpg\|mini]]		[[Datei:Image5.jpg\|mini]]

Etduen am 20. Mai 2019 um 11:13 Uhr

2019-05-20T11:13:03Z

← Nächstältere Version		Version vom 20. Mai 2019, 11:13 Uhr
Zeile 11:		Zeile 11:
	Das Szenario, mit dem der Write Blocker getestet wurde, war ein z.B. im Rahmen der Strafverfolgung sichergestellter USB-Stick mit darauf gespeicherten Beweisstücken.		Das Szenario, mit dem der Write Blocker getestet wurde, war ein z.B. im Rahmen der Strafverfolgung sichergestellter USB-Stick mit darauf gespeicherten Beweisstücken.

	[[Datei:Image1\|mini]]
			[[Datei:Image1.jpg\|mini]]
	Abbildung: 1 – Beweisstück USB-Stick mit darauf gespeicherten Dateien		Abbildung: 1 – Beweisstück USB-Stick mit darauf gespeicherten Dateien

	Um diesen USB-Stick als Beweisstück zu sichern und in der forensischen Analyse einzusetzen, wird nun der Aufbau mit dem Write Blocker hergestellt: Host (Forensik) < Write Blocker < USB-Stick.		Um diesen USB-Stick als Beweisstück zu sichern und in der forensischen Analyse einzusetzen, wird nun der Aufbau mit dem Write Blocker hergestellt: Host (Forensik) < Write Blocker < USB-Stick.

	[[Datei:Image2\|mini]]		[[Datei:Image2.jpg\|mini]]
	Abbildung: 2 – Komponenten zum Erstellen des logischen Abbildes		Abbildung: 2 – Komponenten zum Erstellen des logischen Abbildes

Zeile 23:		Zeile 24:


	[[Datei:Image3\|mini]]		[[Datei:Image3.jpg\|mini]]
	Abbildung: 3 – Write Blocker mit Bedienungsanleitung und Zubehör		Abbildung: 3 – Write Blocker mit Bedienungsanleitung und Zubehör

Zeile 29:		Zeile 30:
	In der Reihenfolge 1) Einstecken des USB Sticks (Beweisstück) 2) Verbindung zum Host 3) Stromverbindung wird nun die Verbindung hergestellt.		In der Reihenfolge 1) Einstecken des USB Sticks (Beweisstück) 2) Verbindung zum Host 3) Stromverbindung wird nun die Verbindung hergestellt.

	[[Datei:~~Image3~~\|mini]]		[[Datei:Image4.jpg\|mini]]
	Abbildung: 4 – Gesamtaufbau Host < Write Blocker < Beweisstück USB-Stick		Abbildung: 4 – Gesamtaufbau Host < Write Blocker < Beweisstück USB-Stick

Zeile 36:		Zeile 37:


	[[Datei:~~Image3~~\|mini]]		[[Datei:Image5.jpg\|mini]]
	Abbildung: 5 – Erstellen der Hashwerte (Integrität, Gerichtsfestigkeit)		Abbildung: 5 – Erstellen der Hashwerte (Integrität, Gerichtsfestigkeit)

	Nach dem Bilden der Hashwerte kann dann das Image gezogen werden oder, wie in diesem Falle ausprobiert, die Dateien von dem USB Stick auf den Host (Forensik-Arbeitsstation) kopiert werden. Nach dem Kopieren werden erneut die Hashwerte gebildet und verglichen.		Nach dem Bilden der Hashwerte kann dann das Image gezogen werden oder, wie in diesem Falle ausprobiert, die Dateien von dem USB Stick auf den Host (Forensik-Arbeitsstation) kopiert werden. Nach dem Kopieren werden erneut die Hashwerte gebildet und verglichen.

	[[Datei:~~Image3~~\|mini]]		[[Datei:Image6.jpg\|mini]]
	Abbildung: 6 – logisches Abbild der Inhalte des USB-Sticks		Abbildung: 6 – logisches Abbild der Inhalte des USB-Sticks

	Eine andere Möglichkeit wäre gewesen, weitere Werkzeuge einzusetzen. So hätte beispielsweise der FTK Imager hier die Möglichkeit geboten, ein logisches Image des USB Sticks zu erstellen und in diesem Vorgang direkt auch die Verifikation durchzuführen, also die Hashwerte zu bilden. Hier wurde bewusst zunächst die manuelle Methode verwendet, um den Aufbau und die Vorgehensweise mit dem Write Blocker einzustudieren. Im nächsten Schritt wurde dann die Funktionalität des FTK Imagers verwendet, um das Image der Praktikumsaufgabe zu erstellen.		Eine andere Möglichkeit wäre gewesen, weitere Werkzeuge einzusetzen. So hätte beispielsweise der FTK Imager hier die Möglichkeit geboten, ein logisches Image des USB Sticks zu erstellen und in diesem Vorgang direkt auch die Verifikation durchzuführen, also die Hashwerte zu bilden. Hier wurde bewusst zunächst die manuelle Methode verwendet, um den Aufbau und die Vorgehensweise mit dem Write Blocker einzustudieren. Im nächsten Schritt wurde dann die Funktionalität des FTK Imagers verwendet, um das Image der Praktikumsaufgabe zu erstellen.

	[[Datei:~~Image3~~\|mini]]		[[Datei:Image7.jpg\|mini]]
	Abbildung: 7 – Komponenten des Gesamtaufbaus		Abbildung: 7 – Komponenten des Gesamtaufbaus

	Der Vorgang wurde dokumentiert.		Der Vorgang wurde dokumentiert.
	[[Datei:Dokumentation.pdf\|mini\|Write Blocker der Firma Tableau]]		[[Datei:Dokumentation.pdf\|mini\|Write Blocker der Firma Tableau]]

Etduen am 20. Mai 2019 um 11:10 Uhr

2019-05-20T11:10:03Z

@@ Zeile 8: / Zeile 8: @@
 Zum '''Nachweis''' der Unversehrheit der Daten wurden die Hashwerte gebildet.
 Das "'''Vier-Augen-Prinzip'''" bekräftigt die geforderte "'''Chain of Custody'''".
 Der Vorgang wurde dokumentiert.
 [[Datei:Dokumentation.pdf|mini|Write Blocker der Firma Tableau]]

St181411 am 13. Mai 2019 um 17:12 Uhr

2019-05-13T17:12:01Z

← Nächstältere Version		Version vom 13. Mai 2019, 17:12 Uhr
Zeile 2:		Zeile 2:

	Zur '''Erstellung eines Images''' wird ein '''Write Blocker''' der Firma Tableau verwendet.		Zur '''Erstellung eines Images''' wird ein '''Write Blocker''' der Firma Tableau verwendet.
	Dabei wurden die Daten eines USB-Sticks, die als Beweismittel zu sichern waren, als logisches		Dabei wurden die Daten eines USB-Sticks, die als '''Beweismittel''' zu sichern waren, als logisches
	Image auf die Forensik-Arbeitsstation kopiert.		Image auf die Forensik-Arbeitsstation kopiert.

St181411 am 13. Mai 2019 um 17:11 Uhr

2019-05-13T17:11:23Z

← Nächstältere Version		Version vom 13. Mai 2019, 17:11 Uhr
Zeile 1:		Zeile 1:
	Einsatz eines Write Blockers zur Erstellung eines Images		Einsatz eines Write Blockers zur Erstellung eines Images

			Zur '''Erstellung eines Images''' wird ein '''Write Blocker''' der Firma Tableau verwendet.
			Dabei wurden die Daten eines USB-Sticks, die als Beweismittel zu sichern waren, als logisches
			Image auf die Forensik-Arbeitsstation kopiert.

			Zur Gewährleistung der '''Unversehrtheit der Daten''' auf dem USB-Stick wurde ein Write-Blocker eingesetzt.
			Zum '''Nachweis''' der Unversehrheit der Daten wurden die Hashwerte gebildet.
			Das "'''Vier-Augen-Prinzip'''" bekräftigt die geforderte "'''Chain of Custody'''".

			Der Vorgang wurde dokumentiert.
	[[Datei:Dokumentation.pdf\|mini\|Write Blocker der Firma Tableau]]		[[Datei:Dokumentation.pdf\|mini\|Write Blocker der Firma Tableau]]

St181411: Die Seite wurde neu angelegt: „Einsatz eines Write Blockers zur Erstellung eines Images Write Blocker der Firma Tableau“

2019-05-13T17:04:59Z

Die Seite wurde neu angelegt: „Einsatz eines Write Blockers zur Erstellung eines Images mini|Write Blocker der Firma Tableau“

Neue Seite

Einsatz eines Write Blockers zur Erstellung eines Images

[[Datei:Dokumentation.pdf|mini|Write Blocker der Firma Tableau]]