3. Zusammenstellung der Beweise aus den Systemen

Digitale Daten welche von einem Veratbeitungsgerät wie einem:

• Computer

• Laptop

• Server

• oder ähnlicher Hardware gesammelt und analysiert werden.

Bezieht sich auf das Verbleiben von:

• Digitalen Spuren

• Überbleibsel von Benutzeraktivitäten

• Interaktionen auf einem Computergerät

• Eine breite Palette von Artefakten die eine wichtige Rolle in der:

  • Aufdeckung der Wahrheit

  • Aufklärung von Verbrechen

  • der Feststellung der Gültigkeit von Forderungen.

• Um Ereignisse zu rekonstruieren

• mögliche Verdächtige zu identifizieren

• Rechtsfälle zu unterstützen

1. Disk-Imaging:

   • Bit-für-Bit-Kopie eines Datenträgers erstellt

   • Es werden ebenfalls Struktur und Metadaten erfasst

2. Erfassung von Netzwerkpaketen:

   • Es werden Daten erfasst, die über ein Netzwerk gehen, wie E-Mails, Internetverkehr(Whireshark)

3. Mobilgeräte-Forensik:

   • Umfasst die Extraktion von Daten aus Smartphones etc. einschließlich Textnachrichten, Anrufprotokollen und App-Daten

4. Live-Forensik:

   • ES wird ein laufendes System untersucht, um flüchtige Daten wie laufende Prozesse, geöffnete Dateien zu erfassen

5. Speicherforensik:

   • Extraktion von Daten aus demphysischen Speicher (RAM) eines Systems

6. Cloud-Forensik:

   • Sicherung digitaler Beweismittel die in Cloud-Diensten gespeichert sind

7. E-Mail-Forensik:

   • Erfassen und Analysieren von E.Mail-Kommunikation

8. File Carving:

   • Dient der Wiederherstellung von Dateien aus gelöschten Speicherplatz

9. Datenbank-Forensik:

   • Sichert Beweise aus Datenbanken

10. Cloud-to-Cloud-Forensik:

    • Übertragung von Daten für die forensische Analyse und Sicherung von einem Cloud-Dienst zu einem anderen.

• Schreibblocker:

  • Verhindern Schreibzugriff und ermöglichen Lesezugriff.

• Forensische Imaging-Geräte:

  • Sind für die Erstellung forensischer Kopien von Speichermedien kozipiert

• Schreibgeschützte Laufwerksadapter:

  • Sie verhindern jegliche Änderungen am angeschlossenem Speichergerät.

• Art des Beweismittels

• Rechtliche Anforderungen

• Budgetzwänge

• Forensische Fachkenntnisse

• Besonderheiten des Falls

• Der Zweck des Hashings besteht darin, einen eindeutigen Wert zu erzeugen, um die Integrität einer Nachricht zu Überprüfen

• H() ist die Hash-Funktion

• m ist die Nachricht

• h ist der gehashte Ausgabewert

• Urbildresistenz: Bei einem gegbenen Hash-Wert sollte es schwierig sein, eine Nachricht wiederherzustellen

• Schwache Kollisionsresistenz: Wenn du eine Nachricht mmm kennst und ihren Hash-Wert H(m) berechnet hast, soll es sehr schwer sein, eine zweite Nachricht m′ zu konstruieren, die denselben Hash-Wert ergibt.

• Starke Kollisionsresistenz: Bei zwei gegebenen Nachrichten sollte es schwierig sein, einen Hash-Wehrt für beide Nachrichten zu erzeugen. Es ist schwer, ein Paar m1,m2 zu finden, sodass H(m1) = H(m2).

• Message Digest (wie MD5): Wird selten verwendet da unsicher

• Secure Hashing Algorithm(SHA-1, SHA-2): Wird am Häufigsten verwendet.

• Überprüfung der Datenintegrität:

  • Daten sollen unverändert bleiben

• Erkennung von Manipulationen:

  • Bei Diskrepanz zwischen den Hash-Werten

• Nichtabstreitbarkeit:

  • Beweis, dass die Daten nicht verändert wurden

• Erhaltung der Echtheit:

  • Sicherstellung der Echtheit

• Rechtliche Zulässigkeit:

  • Aurechterhaltung der Chain of Custody durch regelmäßige Anwendung von Hash-Funktionen

• Identifizierung der Eigenschaft des Falls

• Identifizierung von Software- und Hardwaretypen

• Beurteilung der Durchführbarkeit der Beschlagnahme verdächtiger Geräte

• Erfassung von ausführlichen Informationen über den Tatort

• Bestimmung der Ansprechperson

• Hinzuziehung von technischen Experten

• Zusammenstellung eines Untersuchungsteams

Forensikexpert:innen können mit speziellen Tools den Inhalt des Arbeitsspeichers (Random Access Memory, RAM) von Computern und anderen Geräten erfassen.

Dies ermöglicht die Untersuchung von laufenden Prozessen, offenen Netzwerkverbindungen und anderen flüchtigen Daten.

Der aufgezeichnete Speicher kann analysiert werden, um mögliche Beweise und Handlungen eines Täters oder einer Täterin zu identifizieren.

• Das kryptografische Hashing ist ein Schlüssel zur Aufrechterhaltung der Chain of Custody digitaler Beweismittel

• Sicherstellung das Beweismittel intakt bleiben und nicht manipuliert werden.

1. Anfängliche Hash-Generierung:

   • Erstellen kryptografischen Hashes bei erstmaliger Sicherung

2. Hash-Kennzeichnung:

   • Verknüpft den Beweis mit den jeweiligen Hash-Wert

3. Übergabe von Beweismitteln:

   • Berechnung und dokumentierung bei Übergabepunkt

4. Konsitenzprüfung:

   • Regelmäßige neuberechnung vom Hash-Wert

5. Dokumentation:

   • Detaillierte Aufzeichung zu jedem Schritt der Chain of Custody

• Die zu signierende Nachricht wird gehasht und aus diesem Hash-Wert wird eine Signatur erzeugt

• Es wird der private Schlüssen genutzt um die gehashte Nachricht zu verschlüsseln.

• Dadurch kann mit den öffentlichen Schlüssel überprüft werden wer die Nachricht gesendet hat.

• Verwenden von Hardware und Software mit Schreibblocker

• Verschlüsseln und schützen der Datei um ungefugten Zugriff und Manipulation zu verhindern.

• Eindeutige und unungerbrochene Chain of Custody

• Beweismittel in sicherer Umgebung.

• Öffentliche Clouds:

  • Sind für alle zugänglich

• Private Clouds:

  • Nur für die Mitglieder der Einrichtung zugänglich

• Hybride Clouds:

  • Kombination von öffentlichen und privaten Clouds

• Cloud-Dienste können ihre Rechenzentren über mehrere Länder verteilen

• In einigen Ländern kann es strenge Datenschutzgesetze geben und in anderen wiederum nicht.

• Daher ist die Frage der rechtlichen Zuständigkeit eine komplexe Aufgabe

• Zugriffsberechtigungen:

  • Diese legen fest, wer Daten ändern anzeigen oder löschen darf.

• Verschlüsselung:

  • Der Ermittler muss den Verschlüsselungsschlüssel erhalten.

    
    

• Datenfragmentierung:

  • Die Daten werden oft verteilt auf mehreren Servern und Standorten gespeichert.

  • Ermittler müssen dadurch Bruchstückhafte Daten zusammensetzen

• Datenlöschung:

  • Nach vermeintlicher Löschung der Daten, können diese sich auf Sicherungskopien, Protokollen vorhanden sein.

• Die Cloud eines Unternehmens wurden gehackt.

• Die Cloud befindet sich in einem Land

• Das Unternehmen in einem anderen Land.

• Der Täter ist unbekannt.

II Fallstudie

• Eine verdächtige Person weigert sich den Entschlüsselungsschlüssel für den Verschlüsselten Cloud-Speicher herauszugeben

• Ermittler prüft rechtliche Möglichkeiten um die verdächtige Person zur Kooperation zu zwingen

• Beim Mobilgerät ist der Akku schneller verbraucht

• Fragmentierung über mehrere Speicherbereiche

• Remote-Zurücksetzung

• Der Hauptspeicher ist flüchtig

• Arbeisspeicher

• SIM-Kartenspeicher

• externe Speichergeräte

• Internetdienstanbieter

• Die Anrufhistorie

• Daten und Nummern

• SMS- und MMS-Informationen

• Standortinformationen

• Solid-State-Drives

• Hard Disk Drives

• Speichergeräte welche aus sich drehenden mit magnetischen Material beschichteten Platten bestehen.

• Die Daten werden durch Magnetisierung mithilfe eines Lese-/Schreibkopfs gespeichert.

• Die Aufzeichnung entspricht binären Daten ( 0 oder 1)

• Die Daten bleiben auch ohne Stomversorgung erhalten

  
  

• Die Daten werden in Sektoren den kleinsten Speichereinheiten organisiert.

• Diese Sektoren bilden Cluster die wiederum Teil eines Dateisystems sind (NTFS FAT)

• Ein Betriebssystem greift auf Daten über das Dateisystem zu, welches ein Inhatsverzeichnis (FAT oder MAT) führt.

• SSDs sind aufgrund ihrer Geschwindigkeit und Robustheit sehr beliebt.

• Sie verwenden NAND-Flash-Speicher, eine Technologie auf Halbleiterbasis, um Daten zu Speichern

• Der Hauptunterschied:

  • Festplatten nutzen magnetische Aufzeichnungen auf sich drehenden Platten

  • SSDs nutzen NAND-Flash-Speicher der Daten als elektrische Ladungen in Speicherzellen speichert

  • Dies führt zu unterschiedlichen Methoden bei der Sicherung von Host-Beweisen

• Man konzentriert sich auf die Rekonstruktion des Dateistruktur und die Wiederherstellung von gelöschten oder beschädigten Daten

• Der Grund für die Komplexität sind die Verschleißalgorithmen die die Daten gleichmäßig auf die Speicherzellen verteilen

  
  

• Dann ist eine Wiederherstellung auf Sektorenebene erforderlich

• Dabei wird das Speichermedium auf Sektorenebene gescannt, um Daten direkt von den Speicherorten zu identifizieren und wiederherzustellen

• Zu den bewährten Verfahren für die Beschaffung digitaler Beweise von Festplatten und SSDs gehört die Erstellung forensischer Kopien mit schreibgeschützter Hardware.