Digitale Forensik

Ziele

Für die Digitale Forensik gibt es auch in Unternehmen zahlreiche Anwendungsbeispiele und –fälle. Allerdings sind Administratoren oft nicht gerüstet, forensische Untersuchungen durchzuführen. Oft benötigt man dafür Insider-Wissen, das öffentlich nicht zugänglich ist.

In diesem Seminar wird Linux als Betriebssystem zur Auswertung eingesetzt. Linux unterstützt mehr Dateisysteme als alle anderen Betriebssystem und ist deshalb fähig, unterschiedliche Dateien und Dateisysteme verschiedener Betriebssysteme zu analysieren und gelöschte Dateien zu rekonstruieren. Auch die Virtualisierung spielt hier eine wichtige Rolle. Das Seminar vermittelt, wie forensische Analysen auf Linuxbasis durchgeführt werden, die jeweiligen Anwendungen werden am Windows Betriebssystem mit kleinem Ausflug nach Android demonstriert.

Zielgruppe

Administratoren.

Voraussetzungen

Sicherer Umgang mit der Linux Kommandozeile.

Agenda

Einführung

• Forensik im Überblick
• Installation benötigter Programme
• Installation/Konfiguration der Virtualisierungen (Virtualbox, KVM)
• Installation der FUSE Treiber

Datengewinnung

• Forensische Images im EWF und AFF Format
• Das Digital Forensic Virtual File System (dfvfs)

Images auswerten

• Partitionsinformationen analysieren
• Zeitinformationen auswerten (Timeline mit Sleuthkit und Supertimeline mit plaso)
• Konvertieren mit xmount (ewf, aff, dd, vhdi, vmdk, dmg)
• Logische Auswertung der Speichermedien
• Handling gelöschter Dateien und Unallocated Space
• Gelöschte Dateien rekonstruieren
• File/RAM Slack

File Carving

• Dateien bei beschädigten Medien über Header Analyse rekonstruieren
• email Adressen, URL's, IP Adressen, Kreditkartennummern herausfinden

Passwort Cracking von Windows Systemen

• Mit Ophcrack und den Rainbow Tables LM/NTLM Hashes cracken

Virtualisierung

• EWF Images virtualisieren
• Probleme beim Booten von Windows Systemen lösen (Bluescreen, AntiWPA, Treiber)