101 - Datensicherung und Speichermedien - Kapitel 9

Digitale Spuren

• Digitale Spuren befinden sich auf Speichern.
• Beispiele: Inhalt einer Partitionstabelle.
• Die Daten sind nicht einfach erkennbar.
• Tools sind notwendig, um auf diese Daten zuzugreifen.
• Ziele der Forensik: Integrität bewahren und Modifikationen dokumentieren.

Zugriff auf ein Asservat

• Arten des Zugriffs:
  • Live: Zugriff auf ein laufendes System.
  • Post-mortem (evtl. auch per Live-Linux): Zugriff auf ein ausgeschaltetes System.

Veränderungen der Daten

• Veränderungen der Daten müssen unterbunden werden.
• Veränderungen können durch automatisches Einbinden des Datenträgers entstehen.
• Ansätze:
  • Hardware Write-Blocker: Gerät zwischen Festplatte und Analyse-Rechner, um schreibende Zugriffe zu unterdrücken.
  • Software Write-Blocker: Unterdrückung der schreibenden Zugriffe mit Software.
  • HPA (Host Protected Area) und DCO (Device Configuration Overlay): müssen berücksichtigt werden.
• Fehlerbehandlung: Defekte Sektoren werden dokumentiert und mit Nullen aufgefüllt.

Ebenen der Sicherung

• Ansatzpunkte/Ebenen: Laufwerk, Partition, Dateisysteme, Applikationsebene.
• Bei jedem Übergang auf eine andere Ebene können Daten verloren gehen.
• Beispiel: Betrachtung nur einer Partition; fehlende Informationen der Partitionstabelle.

Ansätze der Sicherstellung

• Originaldatenträger:
  • Alle Analysen können durchgeführt werden.
  • Mögliche Beschädigung der Festplatte während des Transports.
• Forensische Sicherung eines Datenträgers:
  • Alle Sektoren des Datenträgers sind gesichert
  • Auch gelöschte Dateien sind enthalten.
  • Evtl. nicht bei grossen Datenträgern möglich
• Ausgewählte Dateien des Datenträgers:
  • Andere Dateien sind nicht gesichert.
  • Keine gelöschten Dateien.
  • Evtl. keine Metadaten der Dateien.

Konvertierte Versionen von Dateien

• Auch für die selektierten und konvertierten Dateien können die Metadaten fehlen oder fehlerhaft interpretiert werden.

Auswahl relevanter Dateien

• Relevanz kann sich im Laufe der Ermittlung verändern, insbesondere aufgrund neuer Erkenntnisse.

Schriftliche Notizen

• Kein digitales Beweismittel.
• Abhängig von der Menge.

Speichermedien

• Kategorien:
  • Magnetische Speichermedien.
  • Nicht-flüchtige Speichermedien.
  • Optische Speichermedien.
• Anschlüsse: Eingebaut (interner Bus), Wechseldatenträger (externer Bus).

Festplatten

• HDD (Hard Disk Drive): Magnetisches Speichermedium.
• Aufbau: Rotierende Platten (Platten), Stapel von Platten → Spindel (Spindle), Lese- und Schreibköpfe (Read/Write Heads).
• Wichtige Größen: 3,5 inch (Tower), 2,5 inch (Notebooks), 1,8 inch (Notebooks).

Festplatten - Adressierung

• CHS-Adresse:
  • Zylinder (Cylinder/Track)
  • Lese-/Schreibkopf (Head)
  • Sektor (Sector)
• LBA (Logical Block Address): Logisches Durchnummerieren der Sektoren eines Speichermediums. Einfache Neuzuordnung möglich, wenn ein Sektor defekt ist.

Festplatten - Sektorgrößen

• Ein Sektor ist die kleinste adressierbare Einheit.
• Standard: 512 Bytes (teilweise auch emuliert).
• Teilweise auch 4096 Byte.

Festplatten - Forensik

• HDDs sind immer noch weit verbreitet.
• Blöcke mit Inhalten alter Dateien vorhanden.
• Datenwiederherstellung möglich.

HPA und DCO

• HPA (Host Protected Area): ATA-Standard, Ziel: Bereich auf Festplatten schaffen, der für das normale Betriebssystem nicht erreichbar ist (Recovery, Hibernation, ...).
• DCO (Device Configuration Overlay): Anpassung der übermittelten Datenträgergröße z. B. bei unterschiedlicher Hardware, aber gleicher Anzahl von Sektoren.

Magnetbänder

• Magnetbänder sind immer noch wichtige Datenträger für Backups und Archivierung.
• Sequentielle Nutzung; ungeeignet für normale Nutzung.
• Daten sind oft komprimiert oder archiviert (z. B. tar).

Nicht-flüchtige Speichermedien

• Typischerweise NAND-Flash-Speicher.
• Transistoren als logisches NAND-Gatter.
• Keine mechanischen Bauteile.
• Daten werden in Speicherbausteinen abgelegt.
• FTL (Flash Translation Layer) ermöglicht lineare Sequenz der Sektoren.

Nicht-flüchtige Speichermedien - NAND

• Vorteile: Leise, geringer Energieverbrauch, toleranter gegenüber physikalischen Einflüssen, schneller als HDD (bei zufälligem Zugriff), Keine Defragmentierung notwendig.

Nicht-flüchtige Speichermedien - Wear Leveling und Over-Provisioning

• Lebensdauer der Speicherblöcke relativ gering; können nicht beliebig oft überschrieben werden.
• Wear Leveling: Lese- und Schreibvorgänge sollen über alle Speicherblöcke gleich verteilt werden.
• Over-Provisioning: Defekte Speicherblöcke werden durch vorhandene Ersatzblöcke ersetzt (FTL, Sicherung durch Chip-Off möglich).

Nicht-flüchtige Speichermedien - Solid State Drives (SSDs)

• SSDs wurden entwickelt, um Festplatten zu ersetzen.
• Herausforderungen: Wiederherstellung von Daten.
• TRIM-Command: Vorbereiten von Blöcken zum Wiederbeschreiben.

Nicht-flüchtige Speichermedien - USB-Sticks

• Sollten ursprünglich Disketten ersetzen.
• Ersetzen nun aufgrund des geringen Preises auch CDs und DVDs.
• Relativ hohe Kapazitäten möglich.

Nicht-flüchtige Speichermedien - Memory Cards

• Mobile Geräte benötigen kleine und handhabbare Speichermedien.
• Wichtige Formate: CompactFlash (CF), Secure Digital (SD, unterschiedliche Formfaktoren).

Optische Speichermedien

• Wichtige Formate: CD, DVD, Blu-Ray.
• Möglichkeiten: Read-Only, Write-Once, Read-Writeable.
• Nicht nur als Asservat wichtig, auch als Medium um forensische Daten weiterzugeben.
• Daten als Sequenz von Pits (Vertiefungen) und Lands (Erhebungen).

Gedanken zur Sicherung

• Fragen: Muss eine Sicherung durchgeführt werden? Welche Kapazität hat das Asservat? Welche Kapazität hat das Zielmedium? Kann das Image komprimiert werden? Wieviel Speicher benötigt die genutzte Forensiksoftware? Wie viele Dateien werden im Laufe der Analyse potentiell extrahiert? Wie groß ist der Arbeitsspeicher des Analyse-PCs? Können noch weitere Datenträger im Verfahren dazukommen? Könnte eine Extraktion der Slacks bzw. der nicht-allokierten Bereiche sinnvoll sein? Könnten eventuell Partitionen extrahiert werden? Muss das Image evtl. konvertiert werden? Muss das Image evtl. an eine andere Stelle übergeben werden? Sind auf dem Asservat VMs vorhanden, die extrahiert und analysiert werden müssen? Sind auf dem Asservat viele komprimierte Dateien vorhanden? Full-Disk-Encryption? Extrahierte Daten auf optische Datenträger? Carving? Backups des Analyse-PCs?

Sicherung eines Asservats ohne Ausbau

• Sicherung eines Asservats ohne Ausbau des Datenträgers.
• Z. B. wenn kein Write-Blocker verfügbar ist.
• Oder für den Entscheidungsprozess, ob eine Sicherung erstellt werden soll.
• Nutzung von Linux-basierten Tools (z.B. Sleuth Kit über CAINE).
• Remote-Imaging per SSH.

Erste Schritte mit dem Asservat

• Wenn ein Asservat untersucht werden soll, gibt es mehr zu beachten als den Speicher zu extrahieren.

• Hinweis: wir betrachten hier die post-mortem-Analyse.

• Notwendige Schritte:

  • Foto-Dokumentation des Asservats
  • Anzahl der Datenträger bestimmen
  • Schnittstellen identifizieren
  • Datenträger ausbauen

• Oberseite der Datenträger fotografieren (Seriennummern, Kapazität, Hersteller, Modell, usw.).

• Öffnen von optischen Laufwerken, um z. B. DVDs zu finden (Release-Funktion).

• Analysieren, ob evtl. weitere Datenträger auf dem Mainboard angeschlossen sind (z. B. SSD mit M.2-Schnittstelle).

• Entfernen aller Datenträger aus dem System.

• Anschließend weitere Untersuchungen möglich (BIOS, Hardwarekonfiguration, evtl. mit Live-Linux).

• Datenträger mit Write-Blocker an Analyse-Rechner anbinden.

• Korrektes Device (z.B. als \dev\sdX) identifizieren.

• Hardware-Informationen bestimmen (Sektorgröße, HPA, DCO, ...).

• Sicherung(en) erstellen.

Image-Formate

• Unterscheidung von Image-Formaten:
  • Raw Images (nur der Inhalt).
  • Container (Inhalt und Metadaten).
• Metadaten: Zeiten und Dauer der Sicherung, Sicherungssoftware, Größen (Asservat), Fehler, Hashwerte.

Anmerkungen zu forensischen Images

• Forensische Images enthalten in der Regel nicht nur die Inhalte der Dateien selbst, sondern die Inhalte aller (verfügbaren) Sektoren auf dem Datenträger.
• Raw Images haben immer die Größe des Datenträgers (des Asservats).

RAW-Images

• An sich kein eigenständiges Format.
• Einfache Aneinanderreihung der Bytes des Datenträgers.
• Einfacher Transfer der Daten ohne Transformation oder Übersetzung.
• Wichtige Software: dd.

Container-Images

• Container ermöglichen die Sicherung der Daten und dazugehöriger Metadaten.

• Weitere Features: Komprimierung und Verschlüsselung.

• Beispiele: EnCase EWF, FTK Smart, AFF.

Write-Blocking

• Fundamentale Komponente der digitalen Forensik: Vollständigkeit und Integrität.
• Wichtige Mechanismus dabei: Write-Blocking.
• Ziel: Manipulationen auf dem Datenträger des Asservats unterbinden.

Kopieren von Images

• Das Kopieren von Images muss geplant werden, da der Vorgang Stunden dauern kann.
• Auch die Sicherung an sich kann bereits Stunden dauern.
• Abbrechen ist zu vermeiden.

Abschätzung von Zeiten

• Alle möglichen Aufgaben benötigen viel Zeit.
• Eine Planung ist daher unerlässlich.
• Zeiten sollten ungefähr aufgrund der Erfahrung bekannt sein (inkl. Vorbereitung).
• Auf Flaschenhälse achten.

Einflüsse auf Zeiten

• Technik des Speichers (Asservat).
• Schnittstelle (Asservat).
• Write-Blocker (Latenz?).
• Verbindung Write-Blocker zu Host.
• Host Interface.
• PCI Bus.
• CPU.
• Manche Schnittstellen müssen mindestens zwei Mal passiert werden (Asservat → Festplatte für Image).

Dokumentation

• Sicherung und Analyse eines Asservats muss nachvollziehbar sein, evtl. sogar Jahre danach.

• Dokumentation spielt eine zentrale Rolle im Bereich der Forensik.

• Erleichterung der Nachvollziehbarkeit durch Wahrung der Integrität.

• Aber: In vielen Situationen kann eine Veränderung der Daten nicht ausgeschlossen werden → Live-Analyse kann Veränderungen von Zeitstempeln und des RAM-Inhalts hervorrufen.

• Daher: Genau dokumentieren, welche Schritte durchgeführt wurden.

• Oft ist es schwierig, alle Änderungen einzuschätzen.

• Zitat: "Ingesamt lautet das Motto bei forensischen Untersuchungen: Dokumentieren, Dokumentieren, und nochmals Dokumentieren!" (Dewald und Freiling, 2015).

Verwaltungskette (Chain of Custody)

• Dokumentation, welche Person Zugriff auf ein Asservat hatte.
• Auch die gegenteilige Argumentation: Wer hatte keinen Zugriff auf das Asservat?
• Außerdem: Wo befand sich zu einem gewissen Zeitpunkt das Asservat?
• Klassische Forensik: Wer hatte physisch Zugang zu einem Asservat?
• Digitale Forensik: Wer hatte physisch Zugang zu einem Asservat und wer hatte Zugriff auf die Sicherung (z. B. durch Zugriffsprotokolle bei einem gemeinsamen Speichersystem)?

Nachvollziehbarkeit

• Die Nachvollziehbarkeit der Analyse ist von besonderer Bedeutung.
• Plausibilität der Analyseschritte.
• Begründung, warum etwas gemacht oder nicht gemacht wurde.
• Schlussfolgerungen sollten daher auch unabhängig nachvollzogen werden können.
• Nachprüfbarkeit: Nachvollziehbarkeit der Ergebnisse mit Hilfe von Basisdaten.

Aufbau eines Berichts - Zielpublikum

• Bewusstsein für das Zielpublikum entwickeln.

• Primär: Nicht-Techniker und Juristen (Richter, Staatsanwälte, usw.).

• Sekundär: Spezialisten, die ein Ergebnis überprüfen sollen.

• Orthogonale Interessen:

  • Kurze und einfache Schlussfolgerungen für Juristen/Nicht-Techniker.
  • In ganzer Breite und detailliert für die Spezialisten.

• Lösung: Der Bericht enthält mehrere Abschnitte, die jeweils für die einzelnen Zielgruppen erstellt werden.

Aufbau eines Berichts - Grobgliederung

• Grobe Gliederung:
  • Titelseite
  • Prolog
  • Zusammenfassung für Nicht-Techniker
  • Zusammenfassung für Techniker
  • Details für Techniker.

Aufbau eines Berichts - Prolog

• Details der betrachteten Asservate
• Darstellung des Untersuchungsauftrags
• Darstellung der Arbeitsumgebung (Handhabung der Asservate, welche Tools genutzt wurden usw.).

Aufbau eines Berichts - Zusammenfassung für Nicht-Techniker

• Ergebnisse für Personen, die sich nicht mit den technischen Details auseinandersetzen möchten.
• Formulierungen dementsprechend wählen bzw. wichtige Begriffe erklären.

Aufbau eines Berichts - Zusammenfassung für Techniker

• Ergebnisse für Personen, die Fachkenntnisse besitzen und die Ergebnisse nachvollziehen wollen.
• Wesentliche Schritte der Untersuchungen sollen dargelegt werden.
• Es kann direkte Fachsprache genutzt werden.

Aufbau eines Berichts - Details für Techniker

• Details zum Vorgehen der Analyse.
• Platz für alles, das bisher zu umfangreich war.
• Logdateien, Listings, Bildschirmfotos, usw.

In diesem Quiz geht es um verschiedene Ansätze der Datensicherung und die Vorzüge sowie Nachteile diverser Speichermedien. Du wirst Fragen zu forensischer Sicherung, den Eigenschaften von Magnetbändern und NAND-Flash-Speichern beantworten. Teste dein Wissen über moderne Datensicherungstechniken und Speichermedien!