Cloud Log Forensik: Unterschied zwischen den Versionen

Aus IT-Forensik Wiki
Zeile 18: Zeile 18:
Cloud-Umgebungen unterscheiden sich durch ihre besonderen Charakteristiken wie Virtualisierung, Multi-Tenant-Architektur (und der damit verbundenen Orts-, Zugriffs-, Persistenz- und Skalierungs-[https://de.wikipedia.org/wiki/Transparenz_%28Computersystem%29 Transparenz]) sowie der [https://cloudsecurityalliance.org/blog/2021/02/04/the-evolution-of-cloud-computing-and-the-updated-shared-responsibility/#:~:text=At%20its%20core%2C%20a%20%2Acloud%2A%20shared%20responsibility%20model,or%20the%20application%20owners%20%28enterprises%20and%20startups%20alike%29. Shared-Responsibility] (zwischen Cloud Service Provider (CSP) und Cloud-User (CU)) sowie weiteren Aspekten wie [https://it-forensik.fiw.hs-wismar.de/index.php/Datenschutz_in_der_IT-Forensik#In_Bezug_auf_Dritte Datenschutz]<ref name="Shaun20">Shaun, M. Akbar. (2020) "A Compendium of Cloud Forensics" http://dx.doi.org/10.4018/978-1-7998-1558-7.ch012.</ref> und grenzüberschreitende Rechtsanwendung<ref name="Ruan11" /> (multi-jurisdiction) maßgeblich von konventionellen (OnPrem) IT-Landschaften.<br>
Cloud-Umgebungen unterscheiden sich durch ihre besonderen Charakteristiken wie Virtualisierung, Multi-Tenant-Architektur (und der damit verbundenen Orts-, Zugriffs-, Persistenz- und Skalierungs-[https://de.wikipedia.org/wiki/Transparenz_%28Computersystem%29 Transparenz]) sowie der [https://cloudsecurityalliance.org/blog/2021/02/04/the-evolution-of-cloud-computing-and-the-updated-shared-responsibility/#:~:text=At%20its%20core%2C%20a%20%2Acloud%2A%20shared%20responsibility%20model,or%20the%20application%20owners%20%28enterprises%20and%20startups%20alike%29. Shared-Responsibility] (zwischen Cloud Service Provider (CSP) und Cloud-User (CU)) sowie weiteren Aspekten wie [https://it-forensik.fiw.hs-wismar.de/index.php/Datenschutz_in_der_IT-Forensik#In_Bezug_auf_Dritte Datenschutz]<ref name="Shaun20">Shaun, M. Akbar. (2020) "A Compendium of Cloud Forensics" http://dx.doi.org/10.4018/978-1-7998-1558-7.ch012.</ref> und grenzüberschreitende Rechtsanwendung<ref name="Ruan11" /> (multi-jurisdiction) maßgeblich von konventionellen (OnPrem) IT-Landschaften.<br>
Diese Parameter beeinflussen auch die Ablage von Informationen in Log-Files, so dass eine ‚einfache‘, vor Gericht verwendbare Auswertung ([[Datensammlung]] und  [[Ermittlungsprozess|Ermittlungsarbeit]]) derselbigen oft nicht durchführbar ist<ref name="Sang13">T. Sang "A Log Based Approach to Make Digital Forensics Easier on Cloud Computing" In: "Third International Conference on Intelligent System Design and Engineering Applications", 2013, pp. 91-94 doi: 10.1109/ISDEA.2012.29.</ref>. Werden Informationen aus zentral gespeicherten Dateien extrahiert muss beispielsweise immer betrachtet werden, ob diese in der Form auch verwendbar sind, oder ob lokale Gesetze aus dem Land des Cloud-Providers oder des Cloud-Users dagegen sprechen<ref name="wikipedia1">https://en.wikipedia.org/wiki/Cloud_computing_security#Legal_and_contractual_issues</ref>.
Diese Parameter beeinflussen auch die Ablage von Informationen in Log-Files, so dass eine ‚einfache‘, vor Gericht verwendbare Auswertung ([[Datensammlung]] und  [[Ermittlungsprozess|Ermittlungsarbeit]]) derselbigen oft nicht durchführbar ist<ref name="Sang13">T. Sang "A Log Based Approach to Make Digital Forensics Easier on Cloud Computing" In: "Third International Conference on Intelligent System Design and Engineering Applications", 2013, pp. 91-94 doi: 10.1109/ISDEA.2012.29.</ref>. Werden Informationen aus zentral gespeicherten Dateien extrahiert muss beispielsweise immer betrachtet werden, ob diese in der Form auch verwendbar sind, oder ob lokale Gesetze aus dem Land des Cloud-Providers oder des Cloud-Users dagegen sprechen<ref name="wikipedia1">https://en.wikipedia.org/wiki/Cloud_computing_security#Legal_and_contractual_issues</ref>.
Dieser Besonderheit soll mittels neuer Betrachtungsweisen, angepasster Werkzeuge & Methoden, Frameworks und Taxonomien sowie offener Forschungsfragen Rechnung getragen werden.<ref name="Gosh21" />
Dieser Besonderheit soll mittels neuer Betrachtungsweisen, angepasster Werkzeuge & Methoden, Frameworks und Taxonomien sowie offener Forschungsfragen Rechnung getragen werden.<ref name="Ghosh21" />


== Anwendung von CLF in der Praxis (Continual- und Sporadic Forensics) ==
== Anwendung von CLF in der Praxis (Continual- und Sporadic Forensics) ==

Version vom 12. Juli 2022, 07:51 Uhr

Definition

Mit Log-basierter Cloud Forensik – auch als "Cloud Log Forensik (CLF)" bekannt – wird die Anwendung forensischer Prozesse auf Log-Daten Cloud-basierter Systeme bezeichnet.[1]

Thematische Einordnung

Bei der CLF handelt es sich um ein Teilgebiet der Cloud-Forensik, welche wiederum ein Teilgebiet der [[|IT-Forensik|Digitalforensik]] darstellt[2].
Dabei werden die üblichen Speicher- und Systemabbilder (in der Regel in Form von Snapshots) durch eine forensische Betrachtung der Logfiles ergänzt. Die Methodik berücksichtigt dabei auch Besonderheiten, die in Cloud-Umgebungen zu beachten sind (siehe auch Abschnitt 'Besondere Cloud-Charakteristika').

Die beiden maßgeblichen Ziele der CLF sind die zeitnahe Warnung beim Auftreten von Unregelmäßigkeiten sowie die Erbringung von Hinweisen (Spuren) zur vereinfachten Auswertung. Anwendung findet die CLF damit u. a. im Security Information and Event Management (SIEM), Logging as a Service (LaaS) und der Digital Forensics & Incident Response (DFIR).

Bei der CLF liegt der Fokus auf den Aspekten[1]:

Besondere Cloud-Charakteristika

Cloud-Umgebungen unterscheiden sich durch ihre besonderen Charakteristiken wie Virtualisierung, Multi-Tenant-Architektur (und der damit verbundenen Orts-, Zugriffs-, Persistenz- und Skalierungs-Transparenz) sowie der Shared-Responsibility (zwischen Cloud Service Provider (CSP) und Cloud-User (CU)) sowie weiteren Aspekten wie Datenschutz[4] und grenzüberschreitende Rechtsanwendung[2] (multi-jurisdiction) maßgeblich von konventionellen (OnPrem) IT-Landschaften.
Diese Parameter beeinflussen auch die Ablage von Informationen in Log-Files, so dass eine ‚einfache‘, vor Gericht verwendbare Auswertung (Datensammlung und Ermittlungsarbeit) derselbigen oft nicht durchführbar ist[5]. Werden Informationen aus zentral gespeicherten Dateien extrahiert muss beispielsweise immer betrachtet werden, ob diese in der Form auch verwendbar sind, oder ob lokale Gesetze aus dem Land des Cloud-Providers oder des Cloud-Users dagegen sprechen[6]. Dieser Besonderheit soll mittels neuer Betrachtungsweisen, angepasster Werkzeuge & Methoden, Frameworks und Taxonomien sowie offener Forschungsfragen Rechnung getragen werden.[1]

Anwendung von CLF in der Praxis (Continual- und Sporadic Forensics)

folgt

Selbstauskunft der CSP gem. BSI-C5-Katalog und Cloud Control Matrix (CCM)

folgt

  1. ↑ 1,0 1,1 1,2 Ghosh, A., De, D., Majumder, K. (2021) "A Systematic Review of Log-Based Cloud Forensics." In: Smys, S., Balas, V.E., Kamel, K.A., Lafata, P. (eds) "Inventive Computation and Information Technologies" Lecture Notes in Networks and Systems, vol 173. Springer, Singapore. https://doi.org/10.1007/978-981-33-4305-4_26
  2. ↑ 2,0 2,1 Ruan, Keyun & Carthy, Joe & Kechadi, Tahar & Crosbie, Mark. (2011) "Cloud forensics: An overview"
  3. ↑ Simou, Stavros, et al. "A framework for designing cloud forensic forensic-enabled services (CFeS)." Requirements Engineering 24.3 (2019): 403-430.
  4. ↑ Shaun, M. Akbar. (2020) "A Compendium of Cloud Forensics" http://dx.doi.org/10.4018/978-1-7998-1558-7.ch012.
  5. ↑ T. Sang "A Log Based Approach to Make Digital Forensics Easier on Cloud Computing" In: "Third International Conference on Intelligent System Design and Engineering Applications", 2013, pp. 91-94 doi: 10.1109/ISDEA.2012.29.
  6. ↑ https://en.wikipedia.org/wiki/Cloud_computing_security#Legal_and_contractual_issues
Abgerufen von „http://it-forensik.fiw.hs-wismar.de/index.php?title=Cloud_Log_Forensik&oldid=2379“