Digitale Forensik - Sammeldatei

Forensische Wissenschaften

• Forensik ist die Anwendung wissenschaftlicher Methoden auf Fragen des Rechtssystems.
• Ein häufiges Anwendungsgebiet der Forensik ist die Untersuchung und Verfolgung von Straftaten.
• Forensik wird in der Regel von Spezialisten durchgeführt.

Kriminalistik

• Gegenstand der Kriminalistik ist das Wissen und die Erkenntnisse über die Mittel, Methoden und Verfahren zur Verhütung, Aufklärung und Untersuchung von Straftaten.
• Die Kriminalistik konzentriert sich auf die Verbrechensbekämpfung in der Gesellschaft.

Kriminologie

• Die Kriminologie ist eine empirische und interdisziplinäre Wissenschaft.
• Sie befasst sich mit dem Verbrechen, dem Täter, der negativen sozialen Auffälligkeit und der Kontrolle des Verhaltens.
• Sie untersucht auch die Wirkung von Strafen und Sanktionen.

Spuren

• Eine Spur ist jedes Objekt, das ein Argument plausibler macht.
• Im juristischen Kontext wird oft von Beweismittel gesprochen.
• Spuren können physisch oder digital sein.
• Spuren lassen sich in Spureninformation und Spurenträger unterteilen.

Digitale Spuren

• Digitale Spuren sind Spuren, die auf Daten basieren, die in Computersystemen gespeichert oder übertragen wurden.
• Sie können sowohl Informationen als auch Materialien umfassen.
• Die Integrität und Authentizität digitaler Spuren müssen bei forensischen Untersuchungen berücksichtigt werden.

Locards Austauschprinzip

• Bei jeder Straftat findet ein Austausch von Materie zwischen Tatort, Opfer und Täter statt.
• Dieser Austausch kann als Beweismittel genutzt werden, um den Tathergang zu rekonstruieren.

Forensische Informatik

• Forensische Informatik: Erforschung forensischer Methoden und Fragestellungen im Zusammenhang mit der Analyse digitaler Spuren.
• Die Analyse digitaler Daten muss nachvollziehbar sein.
• Die Ergebnisse müssen auch für weniger versierte Personen nachvollziehbar sein.

Volume Systems/Partitionsanalyse

• Volume-Systeme haben zwei zentrale Konzepte: das Zusammenfassen mehrerer Speicherbände zu einem und die Aufteilung von Speicherbänden in unabhängige Partitionen.
• Speichermedien müssen so aufgeteilt sein, dass Daten effizient abgerufen werden können.
• Partitionen sind unabhängig von der physikalischen Anbindung des Datenträgers.
• Wichtige Partitionssysteme (Beispiele) sind DOS/MBR und GPT.

Partition Table

• Die Partitionstabellen enthalten Daten zum Aufbau der Partitionen (z.B. Start/End Sektor, Partitionsgröße etc.)
• Es gibt verschiedene, häufig verwendete Partitionstabellenformate.
• Die Einträge der Partitionstabelle beschreiben (meistens) jede Partition einzeln.

Sektoradressierung (nach Carrier)

• LBA (Logical Block Addressing): Logische Durchnummerierung der Sektoren eines Speichermediums
• LVA (Logical Volume Addressing): Die logische Adresse der ersten Sector eines Volumes.
• Logical Partition Volume Address: Die logische Adresse des ersten Sektors einer bestimmten Partition.

DOS/MBR

• Das DOS/MBR-Partitionssystem war früher weit verbreitet.
• Es hat jedoch Einschränkungen, insb. bei der Anzahl der Partitionen. (Max. 4)
• Lösungen für Partitionen, die über diese Grenze hinausgehen sind erweitert Partitionen.
• Die notwendige Struktur zur Repräsentation der Partitionen wird in den ersten 512 Bytes des Speichermediums (MBR) gespeichert.

Aufbau MBR

• Die MBR enthält einen Bootcode, eine Partitionstabelle und eine Signatur.
• Die Partitionstabelle listet Informationen über die vorhandenen Partitionen.
• Der Bootcode enthält Anweisungen, die der Prozessor beim Starten des Computers ausführt.

Boot Code und Partitionstabelle

• Bootcode: Enthält Instruktionen zur Ausführung des Betriebssystems.
• Partitionstabelle: Enthält Informationen über die Partitionen.

CHS-Adresse (Cylinders, Heads, Sectors)

• Eine alte Art der Festplattenadressierung.
• Problematischer, weil die Größe und Position der physischen Sektoren und deren Zuordnung schwierig zu verstehen ist.
• Empfindlich gegenüber Defekten.

Einschränkungen DOS/MBR

• Maximal vier Partitionen
• Erweiterung mit Erweiterte Partitionen ermöglicht die Nutzung weiterer Partitionen.

Erweiterte Partitionen

• Primär und Sekundär, zur Aufteilung und Organisation weiterer Partitionen.

Sekundäre Partitionen

• Erweitert das Partitionskonzept des MBR, ermöglicht es die Verwaltung von weiteren Partitionen in dem Format und legt sie in Verkettung zu anderen Partitionen.

GUID Partition Table (GPT)

• Modernes Partitionssystem
• Höhere Kapazität und andere Vorteile im Vergleich zu MBR.

Bereiche des GPT

• Schutz-MBR: Schutz-MBR ist ein Schutzmechanismus für die GPT Partition, ein Schutzmechanismus der mit dem MBR gleichgesetzt ist.
• GPT-Header: Enthalten Informationen zum Layout der Tabelle.
• Partitionstabelle: Enthaltete Daten über die Partitionen.
• Partitionen-Area: Enthält die Daten der Partitionen und deren Untertypen.
• Backup Area: Backup des GPT Headers und der Partitionstabelle.

Allgemeine Layout des GPT

• GPT-Header: Enthält Informationen zu Größe, Type etc. des Systems.
• Protective MBR: Ein Schutzmechanismus für die GPT-Partition.
• Partitionstabelle: Leitet Zugriff auf Tabellen aus.
• Partition-Area: Gibt die Daten-Cluster an.
• Backup-Area: Sicherheit durch Kopien von Tabelle und Header.

Dateisystemanalyse

• Ziele: Daten auf Volumes, Partitionen oder Disks analysieren und interpretieren als ein Dateisystem.
• Ergebnisse: Anzeige von Daten, Wiederherstellung gelöschter Daten, Anzeige von Sektorinhalten

Motivation der File Systems Analyse

• Motivation: Die Fähigkeit, Daten zu speichern und abzurufen.

Das Dateisystem

• Dateisysteme werden benötigt, um Daten zu speichern und abzurufen.
• Sie ermöglichen eine hierarchische Organisation von Daten in Ordnern und Dateien.
• Alle Computersysteme unterstützen Dateisysteme mit unterschiedlichen Konfigurationen.

Fünf Kategorien nach Carrier

• Dateisystemdaten: Allgemeine und notwendige Daten für das Dateisystem
• Inhaltsdaten: Dateninhalte von Dateien und Ordnern, z.B. Cluster.
• Metadaten: Beschreibende Daten über Dateien und Ordner, z.B. Zeitstempel, Dateinamen und Attribute.
• Dateinamensdaten: Informationen über Dateinamen (z.B. Name, Größe etc.)
• Anwendungsdaten: Spezifische Operationen des Dateisystems.

Essentielle Daten

• Informationen die notwendig sind um eine Datei zu speichern/abrufen.

Nicht-Essentielle Daten

• Informationen die nicht notwendig sind, um eine Datei zu speichern/abrufen. (z.B. Zeitstempel)

Vereinfachte Darstellung der Inhalte zur Datei-Erstellung/Löschen

• Dateisystem erstellen: MFT wird benutzt um Daten zu speichern, welche dann in andere Attribute und Cluster geschrieben werden. (Beispiel: dir1\file1.txt)
• Datei-Löschen: Der Eintrag im Directory Entry wird gelöscht, welche dann in der Bitmap notiert wird als nicht zugewiesen. (Beispiel: Löschen von dir1\file1.txt)

Dateisystem NTFS

• Entwickelt um die Bereiche zu erweitern, und grössere Datenmengen nutzen zu können.

Master File Table (MFT)

• Zentrales Element des NTFS-Dateissystems.
• Enthält Metadaten zu Dateien und Ordnern und dient als Index/Liste aller Dateien/Ordner.

MFT-Aufbau

• Header: Festdefinierter Bereich mit relevanten Informationen
• Attribute: Informationen bzgl. Eigenschaften der Dateien (z.B. Dateiname, Größe, Zeiten, usw.).

Laufliste (Cluster Runs)

• Listet die Cluster eines Files in einer bestimmten Reihenfolge auf, um zu zeigen, wie die Cluster an das File gekoppelt sind. Wird in $DATA gespeichert.

$BOOT-Sektor

• Enthält Informationen zum Systemstart, für bestimmte Dateisysteme.

$ATTRDEF

• Enthält Informationen über Attribute ( z.B. Type ID, Name des Attributes)

Cluster

• Gruppierte Sektoren, um Datei- und Ordnerdaten zu speichern.

$BITMAP

• Allokierungsstatus der Cluster.
• Gibt an, welcher Cluster aktuell verwendet wird und welche nicht.

$BADCLUS

• Listet beschädigte und/oder ungültige Cluster.
• Nicht nutzbare Cluster-Adressen werden in dieser Tabelle dokumentiert.

$STANDARD_INFORMATION Attribut

• Zeitstempel des Dateitreats (z.B. Erstellung, Änderung, Zugriff)

$FILE_NAME Attribut

• Dateiname bzw. Name eines Ordners.

B-Tree (Binary Trees)

• Datenstruktur, die die Positionierung von Daten in einer Datenbank optimiert.
• Im Dateisystem wird sie zur Speicherung von Daten und deren Anordnung verwendet

Weitere Punkte (Methoden oder Themen)

• Live-Analyse: Untersuchung und Analyse des Systems während der Ausführung.
• Post-mortem-Analyse: Untersuchung und Analyse des Systems nach der Beendigung der Ausführung.

Mobile Forensik

• Schwerpunkt des Studiengebiets: Extrahieren, Wiederherstellen und Analysieren von digitalem Beweismaterial aus Mobilgeräten.
• Wichtige Datenquellen: Telefonate, SMS, Bilder, Internet-Aktivitäten, Standortdaten.
• Verschiedene Vorgehensweisen: abhängig vom Betriebssystem, des Geräts und des Herstellers.

Herausforderungen in der mobilen Forensik

• Komplexität der Geräte: Unterscheidliche Betriebssysteme, Hardware und Software
• Sicherheitsmaßnahmen: Verschlüsselungen, Passwörter
• Nicht-persistente Daten: Daten, die beim Herunterfahren des Geräts verloren gehen.

Dokumentation in der Forensik

• Wesentliche Aspekte zur Dokumentation.
• Dokumentation von Informationen bzgl. Personen die auf den Inhalt Zugriff hatten.
• Detaillierte Dokumentation des Untersuchungsprozesses

Dieses Quiz behandelt wichtige Konzepte der digitalen Forensik und die Verwendung der GUID Partition Table (GPT). Es umfasst Themen wie die maximale Anzahl von Partitionen, Adressierungsmethoden und das Protective MBR in Verbindung mit GPT. Zudem wird das Konzept der Abstraktionsebenen digitaler Daten und deren Analyse thematisiert.