Grundlagen der Forensik für Neueinsteiger

Ziele

Für die Digitale Forensik gibt es auch in Unternehmen zahlreiche Anwendungsbeispiele und –fälle. Allerdings sind Administratoren oft nicht gerüstet, forensische Untersuchungen durchzuführen. Oft benötigt man dafür Insider-Wissen, das öffentlich nicht zugänglich ist.

In dieser Schulung wird Linux als Betriebssystem zur Auswertung eingesetzt. Linux unterstützt mehr Dateisysteme als alle anderen Betriebssysteme und ist deshalb besonders geeignet, unterschiedliche Dateien und Dateisysteme verschiedener Betriebssysteme zu analysieren und gelöschte Dateien zu rekonstruieren. Auch die Virtualisierung spielt hier eine wachsende Rolle. In der Schulung erwerben Sie Kenntnisse und Fähigkeiten, wie forensische Analysen auf Linuxbasis durchgeführt werden. Die jeweiligen Anwendungen werden am Windows Betriebssystem mit kleinem Ausflug nach Android demonstriert.

Zielgruppe

• Administratoren
• Sicherheitsverantwortliche
• Forensiker

Voraussetzungen

Sicherer Umgang mit der Linux Kommandozeile

Agenda

Einführung in die Datenträger Forensik

• Unterschiede der möglichen Speicherbereiche
  • Allocated Space
  • Unallocated Space
  • Slack Space

Images erstellen

• forensisch korrekte Images im weltweit genormten Format ewf und raw erstellen

Einführung in Sleuthkit und Autopsy

• Nutzung der beiden wichtigsten Forensik Programme im OSS Bereich

Eine Timeline/Super Timeline erstellen

• Sleuthkit
• Autopsy
• Plaso

File Carving

• Rekonstruktion anhand Header Informationen

Smartphone Images mit Autopsy Ingest Modulen auswerten

• SQLite spezifische Daten aus Smartphones extrahieren
• Berücksichtigung von WAL Dateien

Windows spezifische Artefakte

• Windows 7,8,10 spezifische Informationen auswerten
• Volume Shadow Kopien
• Prefetch Dateien und Registry Einträge