Microsoft hat mit dem „Fundamental Computer Investigation Guide for Windows“ ein Papier veröffentlich, daß sich eigentlich an Einsteiger im Bereich Windows-Forensik richten soll. Unter diesem Aspekt kann man dann mit einigen Oberflächlichkeiten in dem Dokument leben. Nach dem Microsoft die Tools von Sysinternals gekauft, neue Werkzeuge daraus entwickelt und als integrierte Suite neu veröffentlicht hat, scheint dies nun der konsequente Weg zu sein, die Neuerwerbungen zu promoten. Die Analyse von kompromittierten Windows-Systemen wird basierend auf dem Computer Investigation Modell von Warren G. Kruse II und Jay G. Heise beschrieben: Weiterlesen…
Schlagwort: Computer Forensik
Computer Forensik Workshops 2007 mit der iX
Es wird auch in diesem Jahr wieder Computer-Forensik-Workshops geben. Diesmal wird es mit der Zeitschrift iX aus dem Heise Verlag in Deutschland, Österreich und in der Schweiz jeweils zweitägige Kurse geben.
Wir haben folgende Termin und Veranstaltungsorte geplant:
Nachtrag zum Eventlogartikel
Andreas Schuster hat zum Artikel in der iX 1/2007 über Windows Ereignisprotokolle einige Ergänzungen veröffentlicht. Er weist korrekterweise darauf hin, dass einige der dort vorgestellten Tools (namentlich EnCase und fccuevtreader) geteilte Eventlog-Einträge nicht korrekt anzeigen. Weiterlesen…
Testimages für forensische RAM-Analyse
Jesse Kornblum und Brian Carrier haben wieder ein paar Testimages für die RAM-Analyse veröffentlicht. Damit ist es jedermann möglich, Werkzeuge und Methoden zur forensischen Analyse von Hauptspeicherinhalten zu erproben. Es gibt folgende unterschiedliche Server- und Notebook-Images: Weiterlesen…
Dies ist kein CSI
Manchmal bin ich schon verwundert, welche Erwartungen manchmal an die Analysegeschwindigkeit gestellt werden. „Bei CSI im Fernsehen geht das doch auch so schnell, warum dauert denn die Analyse der Festplatte bei Ihnen so lange?“ „Haben Sie schon erste Spuren?“ „Was können wir dem Vorstand sagen?„. Der Ermittlungsleiter muss in solchen Fällen Weiterlesen…
The Sleuthkit 2.07
The Sleuthkit (TSK) ist eine Sammlung von freien Werkzeugen, um an Datenträgern forensische Analysen durchzuführen. Sie können entweder auf der Kommandozeile ausgeführt oder mit der grafischen Oberfläche Autopsy verwendet werde. Folgende Bugfixes sind laut Brian Carrier in die neue Release 2.07 eingeflossen:
Windows-Eventlog-Forensik
Mein Kollege Sebastian Krause hat in der aktuellen iX (01/2007) einen interessanten Artikel zum Thema forensische Analyse von Windows-Ereignisprotokollen veröffentlicht. Er beschäftigt sich mit den technischen Möglichkeiten, Einbruchs- bzw. Mißbrauchsspuren aus Windows-Ereignisprotokollen zu erkennen und stellt einige Analyseansätze und -werkzeuge vor.
In erster Linie dienen Windows-Ereignisprotokolle dem Administrator
zur Fehlersuche. Überdies können sie bei kriminalistischen Ermittlungen
wertwolle Beweise liefern. Selbst wenn sie beschädigt oder gelöscht
wurden – mit dem richtigen Werkzeug und Know-how lässt sich
einiges an Spuren sicherstellen.
Sebastians Ermittlungsschwerpunkt Weiterlesen…
Forensische Datenanalyse von Mails am Beispiel von ENRON
Die auch für Nicht-Experten verständliche und einfache Darstellung großer Datenmengen ist immer wieder eine Herausforderung in der IT-Forensik (gerade auch im Bereich der Wirtschaftsdelikte). Wir erleben es oft, dass der Auftraggeber einer Ermittlung am Anfang einer Analyse nicht immer klare Vorstellungen von seiner „Suche“ hat. Erst während der Ermittlung fallen ihm immer neue Dinge ein oder sie ergeben sich aus vorherigen (Zufalls-)Funden. Dies ist verständlich, da nicht die gesamte Vorgeschichte mit allen möglichen Details an den Ermittler übermittelt werden können. Um nun zu vermeiden, dass sich ein Ermittler mit dem Auftraggeber tagelang in einem stillen Kämmerlein mit der Schlagwortsuche aufhält – die gängigen Forensik-Tools sind leider nicht immer für Nicht-Experten intuitiv bedienbar – gibt es Methoden, große Datenmengen für den Auftraggeber „selbst erfahrbar“ zu analysieren.
Hier ein Beispiel anhand von Enron : Weiterlesen…
Interview mit Stefan Becker
Der Kölner Stadtanzeiger hat heute einen Artikel über KHK Stefan Becker veröffentlicht, der mich bei meinem Buchprojekt unterstützt hat:
Ein typischer Arbeitstag kann damit beginnen, dass sich der Administrator des Netzwerks eines mittelständischen Unternehmens Weiterlesen…