computer-forensik.org

Register aktueller Cyber-Gefährdungen und -Angriffsformen

Alexander Geschonneck — Fri, 20 Jan 2012 17:16:22 +0000

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat die Reihe “BSI-Analysen zur Cybersicherheit” mit einem ersten Grundlagendokument gestartet. Unter dem etwas sperrigen Titel “Register aktueller Cyber-Gefährdungen und -Angriffsformen” werden die Gefährdungen und Angriffsvektoren genannt, auf die dann aus den einzelnen folgenden Schriften der Reihe verwiesen wird. Der Aufbau dieses Dokuments soll sich an den Phasen eines “typischen” Angriffs orientieren – Initiierung, Vorbereitung und Durchführung.

Da wir nun alle wissen, dass die Gefährdungen mitunter dynamisch sind und wir nicht alle erfassen oder erkennen können, hat das BSI eine Hitliste der Cyber-Angriffsformen (ich kann mich nur schwer an das Wort Cyber gewöhnen) zusammengefasst. Dies macht Sinn, da man sich anfangs auf die relevanten Gefährdungen konzentrieren sollte, bevor man Rocket Sciences betreibt. Einen ähnlichen Ansatz hat das BSI auch mit dem IT-Grundschutzansatz verfolgt, den aber leider nur die Hälfte der Nörgler verstanden hat

Das BSI schätzt folgende Gefährdungen derzeit als besonders bedrohlich und relevant ein:

Gezieltes Hacking von Webservern mit dem Ziel der Platzierung von Schadsoftware oder zur Vorbereitung der Spionage in angeschlossenen Netzen oder Datenbanken
Drive-by-Exploits zur breitflächigen Infiltration von Rechnern mit Schadsoftware beim Surfen mit dem Ziel der Übernahme der Kontrolle des betroffenen Rechners
Gezielte Malware-Infiltration über E-Mail und mithilfe von Social Engineering mit dem Ziel der Übernahme der Kontrolle über den betroffenen Rechner und anschließender Spionage
Distributed Denial of Service-Angriff mittels Botnetzen mit dem Ziel der Störung der Erreichbarkeit von Webservern oder der Funktionsfähigkeit der Netzanbindung der betroffenen Institution
Ungezielte Verteilung von Schadsoftware mittels SPAM oder Drive-by-Exploits mit Fokus auf Identitätsdiebstahl
Mehrstufige Angriffe, bei denen z.B. zunächst zentrale Sicherheitsinfrastrukturen (wie TLS/SSLZertifizierungsstellen) kompromittiert werden, um dann in weiteren Schritten die eigentlichen Ziele anzugreifen

Download des Registers der Cyber-Gefährdungen und Angriffsformen beim BSI oder lokal.

2011 Cyber Attacks Timeline

Alexander Geschonneck — Wed, 28 Dec 2011 13:15:46 +0000

Paolo Passeri hat eine schöne Timeline von Sicherheitsvorfällen (Hacks, Defacements, Data Breaches, etc.) des Jahres 2011 grafisch zusammengestellt. Sicherlich nicht vollständig, aber für diejenigen sehenswert, die nicht jede Meldung über Cyber Attacks verfolgen (wollen). Allein die Übersicht für die erste Dezemberhälfte bringt viele bekannte Namen hervor. Die gesamte Übersicht des Jahres 2011 findet sich hier.

X-Ways Forensics: Update 16.3 und neue X-Ways Produkte

Alexander Geschonneck — Sun, 25 Dec 2011 19:23:19 +0000

Neben dem Update von X-Ways Forensics auf 16.3 mit vielen Neuerungen, gibt es vom gleichen Hersteller nun zwei zusätzliche Produkte: X-Ways Imager und X-Ways Investigator CTR.

Bevor ich die Neuerungen in Version 16.3 beschreibe, möchte ich kurz auf die beiden neuen Produkte eingehen, wobei sie eigentlich gar nicht so neu sind, da es sich im Wesentlichen um “Ausgliederungen” bekannter Features von X-Ways Forensics in separate Einzelprogramme handelt.

X-Ways Imager ist die reduzierte Version von X-Ways Forensics, die nur für die Sicherung der Datenträger verwendet werde kann. Dieses Werkzeug ist nicht mir X-Ways Capture zu verwechseln, welches eine Beweismittelsicherung im laufenden Betrieb ermöglicht.

X-Ways Investigator CTR ist eine neue, noch weiter im Funktionsumfang reduzierte Version von X-Ways Investigator, die ausschließlich Datei-Containers von X-Ways Forensics und X-Ways Investigator öffnen kann, keine sonstigen Images und keine Datenträger. X-Ways Investigator CTR ist exklusiv als Zusatzprodukt für X-Ways Forensics gedacht, zum Aufteilen der Auswertungsarbeit auf mehrere Ermittler/Sachbearbeiter oder wenn Dateien in Containern an andere mit einem Fall befaßte Personen weitergegeben werden sollen, die nur ausgewählte Dateien zu sehen brauchen, sehen sollen oder sehen dürfen. X-Ways Investigator CTR entspricht praktisch einem extrem mächtigen Viewer-Programm für Container, mit vielen nützlichen Features wie Filter, Stichwortsuchen, Berichterzeugung, Kommentarmöglichkeiten usw. Also eigentlich ein prima Werkzeug für Staatsanwälte für eine erste schnelle Beweismittelsichtung oder ein generelles Early Case Assessment.

Ich hoffe, dass es dies nun erstmal war mit der Ausgliederung von einzelnen Features.

Was listet nun die Changelog für Version 16.3 auf?

Datei-Container

Ein neues Datei-Container-Format wurde eingeführt. Das neue Format kann von diversen Computerforensik-Tools verstanden werden, die nicht von X-Ways stammen. Ältere Versionen von WinHex (mit Specialist-Lizenz oder höher), X-Ways Forensics und X-Ways Investigator können es ebenfalls verstehen. All diese Tools können die Datei-Inhalte und die grundlegensten Metadaten lesen (z. B. Dateiname, Pfad, diverse Attribute, Dateigröße, die meisten Zeitstempel, existierend oder gelöscht). Um die größtmögliche Menge von Metadaten aus einem Container zu importieren, verwenden Sie WinHex/X-Ways Forensics/X-Ways Investigator 16.3 oder neuer. Aus Kompatibilitäts- und Nostalgiegründen können Sie in v16.3 immer noch Container im alten Format erzeugen.
Das neue Format verhindert, daß Sie dieselben Dateien versehentlich zweimal in den gleichen Container kopieren.
Das Schreiben und Lesen besonders großer Container sollte mit dem neuen Format nun schneller sein (noch genauer zu testen).
Das neue Format speichert Kommentare und Datei-Klassifizierungen (Berichtstabellenverknüpfungen) nunmehr intern, nicht mehr in separaten Dateien in einem Metadaten-Unterverzeichnis. Sowohl Kommentare als auch Berichtstabellenverknüpfungen können nun auch in Tools anderer Hersteller eingesehen werden, die das neue Format verstehen.
Künstliche Verzeichnisse können optional in Containern des neuen Formats angelegt werden, um Unterobjekte von Dateien aufzunehmen, zur besseren Kompatibilität mit Tools, die Dateien nicht als Unterobjekte von anderen Dateien akzeptieren (Tools anderer Hersteller sowieso WinHex/XWF/XWI 15.9 und älter). WinHex/XWF/XWI 16.0 und neuer (jeweils neuestes Service-Release) brauchen keine solchen künstlichen Verzeichnisse.
Container (sowohl im alten als auch im neuen Format) speichern neuerdings die gültige Datenlänge (englische Microsoft-Terminologie: valid data length) von Dateien, die aus Dateisystemen stammen, die dieses Feld unterstützen, auch wenn die gültige Datenlänge nicht kleiner als die logische Dateigröße ist.
Dateien, die in NTFS oder in Zip-/RAR-Archiven verschlüsselt sind, werden beim Kopieren in Datei-Container nicht mehr komplett ausgelassen. Sie werden jetzt mit ihren Metadaten aufgenommen, so daß der Empfänger/Bearbeiter des Containers leicht sehen kann, daß an der betreffenden Stelle ursprünglich verschlüsselte Dateien lagen. Die verschlüsselten Daten zu solchen Dateien werden weiterhin nicht mit kopiert (und ergeben ohne ihren Kontext ohnehin keinen Sinn). Zip-/RAR-Archive, die Verschlüsselung für einige oder alle Dateien, die sie enthalten, verwenden, werden natürlich vollständig mitsamt ihren Daten kopiert, und wurden schon immer so kopiert.
Anfängliche Nullbytes werden beim expliziten Kopieren nur des Schlupfes einer Datei in einen Container nun gezielt ausgelassen. Konsequenterweise wird das entstehende Objekt im Container dann auch in der Attributspalte als bloßen Ausschnitt des Originals gekennzeichnet.
Dateien in Containern, die im Original-Asservat Unterobjekte aufwiesen, werden im Container nicht mehr als Dateien mit Unterobjekten gekennzeichnet, wenn nicht mind. eines dieser Unterobjekte auch tatsächlich mit in den Container aufgenommen wurde.

Datei-Header-Signatur-Suche

Die individuellen Standard-Dateigrößen der Datei-Header-Signatur-Suche werden nun in Bytes statt KB angegeben, um präziseres Ausgliedern von Daten zu ermöglichen. Das ist nützlich insbes. dann, wenn man keine ganzen Dateien sucht, sondern bloß Datensätze, Einträge, Mikroformate, Netzwerkverkehr-Artefakte im Hauptspeicher u. ä.
Möglichkeit, gleichzeitig Dateien bestimmter Typen an Sektorgrenzen und Dateien anderer Typen auf Byte-Ebene zu suchen. Zu diesem Zweck kann das Flag “b” (für “Byte-Ebene”) in einer neu hinzugekommenen Spalte in den Datei-Header-Signatur-Definitionen eingetragen werden. Erlaubt es, ganze Dateien und einzelne Datensätze o. ä. im selben Durchgang zu suchen.
Datei-Header-Signatur-Suchen auf Byte-Ebene können nun auch auf Asservate angewandt werden, die physische Datenträger sind (in denen partitionierte Bereiche übersprungen werden, weil die Partitionen als zusätzliche Asservate separat behandelt werden).
Ein weiteres Flag “f” kann in der neuen letzten Spalte zum Ausdruck bringen, daß die betreffende Footer-Signatur gedacht ist zum Finden von Daten, die nicht mehr Teil der Datei sind und aus der auszugebenden Datei exkludiert werden sollen. Das ist anders als bei gewöhnlichen Footern, die Bestandteil von aus Sektoren ausgegliederten Dateien sind/werden.
Dieses neue Flag “f” ist nützlich für Dateiformate, die eigentlich keinen wohldefinierten Footer aufweisen, wobei das Ende der Datei dann u. U. anhand des Auftretens von Daten erkannt werden kann, die nicht mehr zu der Datei gehören können. Das könnte z. B. dieselbe Signatur wie die des Headers sein (wenn Dateien des jeweiligen Typs typischerweise in Gruppen auftreten, direkt hintereinander) oder einfach \x00 (für Dateiformate wie ASCII-Textdateien, die keine Nullbytes enthalten, bei denen \x00 jedoch mit hoher Wahrscheinlichkeit im RAM-Schlupf erwartet werden kann). Solche Footer-Signaturen sollten als exklusiv gekennzeichnet werden, weil die Daten, die mit ihnen gefunden werden, nicht selbst Teil der Datei sind.
Ein weiteres neues, analog zu verstehendes Flag “h” kann anzeigen, daß die angegebene Header-Signatur als exklusiv zu verstehen ist, so daß sie Daten findet, die nicht Teil der Datei sind und die aus den Sektoren ausgegliederte Datei erst direkt dahinter anfängt. Gewöhnliche Header hingegen sind Teil der Dateien.
Die Option zum Suchen von Datei-Header-Signaturen nur an Cluster-Grenzen wurde aufgegeben.

Datei-Format-Unterstützung

Der Registry-Viewer unterstützt nun Registry-Hives von Windows 8.
Die Pfad-Wiedergabe des “gesprächigen” Modus der Registry-Berichts für Ausdrucke wurde überarbeitet.
Unterstützung von Datei-Archiven überarbeitet. Fähigkeit zum Auffinden und Lesen von Dateien in bestimmten defekten Zip-Archiven, die WinZip, WinRAR und 7-Zip nicht finden können.
Unterstützung von Bildern mit extrem hoher Auflösung (größer als ca. 25 MP).
Fähigkeit zum Filtern nach Bildern mit einem Hautfarbenanteil von x % oder weniger. Ein sehr niedriger Anteil oder 0% kann nützlich sein, um eingescante Dokumente zu finden, die mit voller Farbtiefe gescant wurden statt mit Graustufen und daher minimale Abweichungen von einer reinen Grauskala enthalten und folglich nicht als Schwarz-Weiß/Graustufen-Bilder von X-Ways Forensics klassifiziert werden.
Zusätzlicher Überblick über Log-In- und Log-Off-Vorgängen am Ende der Interpretation von .evtx Event-Logs.
Für mit einem roten X markierte Dateien wird keine Extraktion interner Metadaten mehr versucht.
Bei der Metadaten-Extraktion wird nun eine Berichtstabellenverknüpfung für solche TIFF-Dateien erzeugt, die aus mehreren Seiten bestehen.
Performanz der Konsistenzprüfung von JPEG-Dateien verbessert.
Mehr Exif-Metadata aus JPEG-Dateien extrahierbar: focal length, lens model, F number, serial number, firmware, image unique ID
Ein etwaiges vorhandenes Signierdatum kann nun aus ausführbaren Dateien (.exe, .dll, …) extrahiert werden.
Interne Erzeugungszeitstempel können nun aus Zertifikatsdateien extrahiert werden (.cat, .cer, .ctl).
Fähigkeit zum Auffinden von Dateien vom Typ .itc2 iTunes Artwork Cache per Datei-Header-Signatur-Suche und Fähigkeit zum Auffinden von in ihnen eingebetteten PNG-Dateien.
Beschleunigung der E-Mail-Extraktion aus Exchange EDB. Speicherbedarf für Extraktion aus Exchange EDB reduziert.
Überarbeitete Standard-Dateityp-Maske für E-Mail-Extraktion schließt nun MS Office 2011 für Mac mit ein (*.olk14MsgSource), um die Extraktion von Datei-Anhängen zu ermöglichen.

Bedienbarkeit

Es ist jetzt möglich, durch Drücken der Esc-Taste eine Suchtrefferliste in Richtung normalem Verzeichnis-Browser zu verlassen und dort sofort automatisch zu der Datei zu navigieren, in der ein ggf. zuletzt ausgewählte Suchtreffer enthalten war.
Durch Drücken der Multiplikationstaste auf dem Nummernblock der Tastatur sowie durch Drücken der Sterntaste kann ein Verzeichnis oder eine Datei mit Unterobjekten im Verzeichnis-Browser neuerdings erkundet werden. Nützlich, wenn Sie Doppelklicke und die Eingabe-Taste bereits zum Einsehen von Dateien mit Unterobjekten verwenden.
Es ist jetzt möglich, die Sterntaste genau wie die Multiplikationstaste (Windows-Standard) zum vollständigen rekursiven Aufklappen des Verzeichnisbaumes vom ausgewählten Verzeichnis aus abwärts zu drücken. Nützlich z. B. auf Laptop-Computern ohne Nummernblock (und damit ohne Multiplikationstaste).
Die Tastenkombination Strg + Pfeiltaste Links bzw. Rechts kann nun zum Zurück- und Vorwärtsnavigieren verwendet werden, genau wie die Menübefehle und Werkzeugleistensymbole für Vor und Zurück.
Die Befehle Vor und Zurück berücksichtigen nun das Wechseln vom normalen Verzeichnis-Browser zur Suchtrefferliste und andersherum und können solche Wechsel rückgängig machen.
Es ist jetzt möglich, Verzeichnisse oder Dateien mit Unterobjekten, die Suchtreffer enthalten, innerhalb der Suchtrefferliste zu erkunden. Beachten Sie allerdings, daß Sie etwaige Unterobjekte nur dann sehen würden, wenn diese ebenfalls Suchtreffer enthalten. Falls sie keine Suchtreffer enthalten, sehen Sie statt dessen eine Erinnerung daran, daß Ihnen die Zurück-Funktionalität offensteht sowie das Drücken der Esc-Taste zu Rückkehr in den normalen Verzeichnis-Browser, wo Sie die Unterobjekte dann definitiv sehen könnten, zumindest wenn alle Filter ausgeschaltet sind.
Die Anzahl der herausgefilterten Suchtreffer in der Suchtrefferliste bei aktivem Filter ist nun eine intuitiv verständlichere Zählweise.
Separater Menübefehl zum Hinzufügen von Hauptspeicher-Abbildern zu einem Fall.
Der Modus Disk/Partition/Container in X-Ways Investigator versteckt nun die Hex- und Textspalte und zeigt statt dessen einige nützliche Informationen über den Datenträger/Container und über den Datei-Überblick.
Neue Einstellungsmöglichkeiten in investigator.ini:
-40 verhindert Suchen mit GREP-Syntax
-41 verhindert Hautfarbenerkennung
-42 verhindert Ausgabe des Fallprotokolls im Fallbericht
-43 verhindert Ausgabe des Hauptteils des Fallberichts
-44 verhindert das Exportieren von Berichtstabellenverknüpfungen
-45 verhindert Datei-Export zur Analyse
-46 verhindert Exportieren von Teilbäumen
-47 verhindert Verwendung des Menübefehls “Liste exportieren”
-48 verhindert Metadaten-Extraktion
Einzelne Original-E-Mail-Dateien, die auf einem Datenträger vorgefunden werden (wie .eml, .emlx oder .olk14MsgSource) werden nun in der Attr.-Spalte als verarbeitete Original-eml gekennzeichnet, wenn sie verarbeitet wurden (E-Mail-Extraktion beim Erweitern des Datei-Überblicks) und kann danach nach diesem Merkmal gefiltert werden. Nützlich um alle einzelnen Original-E-Mails unter alle künstlich produzierten .eml-Dateien (die extrahierte E-Mails repräsentieren) mit dem Attr.-Filter zu erfassen.

Physische Datenquellen

Fähigkeit zum Rekonstruieren von RAID-Systemen des Typs Level 6, genauer gesagt folgender Varianten: Backward Parity (Adaptec), Forward Parity und Forward Delayed Parity mit beliebiger Parity-Start-Komponente.
Fähigkeit zum Rekonstruieren von RAID-Systemen des Typs Level 5 Forward Delayed Parity und Forward Dynamic Delayed Parity (WiebeTech/CRU-Dataport).
Schablone für GPT-Partitionstabellen nun im Lieferumfang enthalten und aufrufbar über das Verzeichnis-Browser-Kontextmenü (beim Rechtsklick auf die virtuelle Datei, die den Anfang einer GPT-partitionierten Platte repräsentiert) und über das Aufklappmenü des Schalters mit dem weißen Pfeil.
Fähigkeit zum Schreiben von Sektoren unter Windows Vista und 7 verbessert.
Es ist nun möglich, den Befehl Datei | Datenträger-Sicherung auf lokalen physischen RAM anzuwenden, der von X-Ways Forensics selbst unter Windows XP or 2000 geöffnet wurde.

Diverses

Die Option der Absturzsicherheit bei der Text-Decodierung wird nun, wenn ganz gewählt, auch auf .eml-Dateien angewandt, was in früheren Versionen aus Performanzgründen nicht geschah.
Suchtreffer und ihr Kontext können nun auch korrekt angezeigt werden, wenn sie in UTF-8 gespeichert sind.
Sicherheitsoption zum Überprüfen der CRCs von Chunks beim Lesen von .e01-Evidence-Files.
Seltenen Fehler “Internal error 2010″ behoben, den in früheren Versionen bei logischen Suchen auftreten konnte.
Interpretation von Zeitstempeln in Ext*-Dateisystemen nun unabhängig von Einstellungen im Daten-Dolmetscher für UNIX/C-Datumsangaben, wie es sein sollte.
Einige Ausnahmefehler behoben, die bei der Metadaten-Extraktion auftreten konnten.
Versehentliche Ausgabe von Dummy-Einträgen im Registry-Bericht korrigiert.
Fähigkeit zum Sortieren nach der Suchbegriffsspalte.
Fehler bei E-Mail-Extraktion aus Exchange EDB behoben.
Relativer Pfad zur Viewer-Komponent (wie z. B. .\viewer) jetzt ganz unterstützt. Nützlich bei portabler Anwendung von X-Ways Forensics auf Live-Systemen und Start auf einem mitgebrachten USB-Stick o. ä.
Viele kleinere Verbesserungen.

Mac OSX Lion Passwörter (2)

Alexander Geschonneck — Sun, 27 Nov 2011 13:27:54 +0000

Als Nachtrag zu meinem Mac OSX Lion Passwort-Beitrag habe ich einen weiteren interessanten Hinweis zum einfachen Umgehen des Passwortschutzes bei Martin Weber gefunden:

“Was viele Lion-Nutzer nicht wissen dürften: Ihr Mac, auch mit Passwortschutz, lässt sich Sekunden ohne Zusatzsoftware dank der auf der Festplatte vorhandenen Recovery-Partition öffnen.

Und das geht ganz einfach: Den Mac neustarten und dann per CMD-R in den Recovery-Modus booten. Das bis zu Snow Leopard vorhandene “Passwort zurücksetzen” hat Apple aus der GUI verbannt, dafür hilft ein beherztes

resetpassword

im Terminal. Nach einem Neustart ist der (fremde) Mac offen.

Wie schützt man sich nun davor?

1) Indem man ein Firmware-Passwort auf dem betroffenen Mac einrichtet. Das funktioniert ebenfalls im Recovery-Modus. Dieses Firmware-Passwort lässt sich allerdings (mit etwas mehr Aufwand, gerade an neueren Macs) auch löschen: Durch Entfernen des Akkus und des RAMs und anschließendem Parameter-Ram-Reset (CMD-P-R) beim nächsten Boot verschwindet das Passwort.

2) Indem man die Festplattenverschlüsselung FileVault2 nutzt: Hiermit werden sämtliche Daten der Mac-Partition auf der Festplatte mit einem Passwort verschlüsselt; ein Zugriff auf die Daten ist ohne Eingabe des Passworts oder des Sicherheitsschlüssels nicht möglich.

Seit Lion kann man auch seine Backup-Platten verschlüsseln, sodass diese auch nicht zum Ausspähen der Daten genutzt werden können.”

Hier der Link zum Originalbeitrag.

MacOS X Lion Computer Forensik Artefakte

Alexander Geschonneck — Sat, 26 Nov 2011 21:49:06 +0000

Als weitere Ergänzung zum iX-Artikel über OS X Forensics möchte ich an dieser Stelle auf eine recht umfangreiche Liste von OS X Lion Artefakten hinweisen. Sean Cavanaugh von “The Apple Examiner“ hat diese Liste bei GoogleDocs hinterlegt. Ja, ja, ich weiß Google. Aber wer mag, kann da aber gleich mit seiner Google-ID weitere Ergänzungen hinzufügen.

Die lokale Kopie liegt jedenfalls hier.

Remote Forensic Software vs. Quellen-TKÜ

Alexander Geschonneck — Fri, 25 Nov 2011 16:52:02 +0000

War ein interessanter Wochenausklang. Nachdem ich gestern beim Landespräventionstag des LPR NRW über die Schäden durch Cybercrime vorgetragen habe, stand heute im Bundestag ein Expertengespräch zu den aktuellen “Entwicklungen” bei der Quellen-TKÜ an – dies vor allem auch im Zusammenhang mit dem sog. “Staatstrojaner”. Wichtig ist in diesem Zusammenhang, dass man in der Öffentlichkeit nicht den Fehler begehen sollte, die Online-Durchsuchung mit der Quellen-TKÜ durcheinander zu bringen; diese ist ja Gegenstand der aktuellen Diskussion um den “Staatstrojaner”. Hier sind auch klar die durch beide “Verfahren” gewonnenen Erkentnnise zu differenzieren. Dies betrifft vor allem die Anforderungen, die an die Integrität dieser Spuren und der notwendigen Beweishärte zu stellen sind. Natürlich ist auch über alternative Ausleitmöglichkeiten nachzudenken, was vielleicht bei Skype möglich erscheint, bei anderer und zusätzlicher Kommunikation aber schnell komplex werden kann.

Ich bin guter Dinge, dass alles gut werden kann - solange der sachliche Diskurs in Richtung Transparenz weiter geführt wird und das sah heute sehr danach aus.

iX-Artikel: Review EnCase v7

Alexander Geschonneck — Thu, 17 Nov 2011 20:43:28 +0000

In iX 12/2011 ist ein Review von EnCase v7 erschienen. Mein Kollege Thomas Ledermüller hat sich darin mit denneuen Funktionen der gerade im Behördenumfeld beliebten Forensik-Software beschäftigt. Das Heft gibt es wie immer Kiosk.

SQLite Forensic Reporter

Alexander Geschonneck — Wed, 16 Nov 2011 20:02:08 +0000

Warum ist das SQLite Format für einen Forensiker so interessant? Na, weil sehr viele Tools dieses Format für ihre interne Datenverwaltung verwenden. So basieren z.B. die Konfigurations- oder Inhaltedaten folgender Anwendungen auf SQLite-Datenbanken: Mozilla Cache und Verlauf, iPhone, DropBox, iTunes, Google Suchverlauf, Safari Cache, Picasa, Skype, Realplayer, Android…..

Insofern ist es wichtig, einen SQLite Browser stets zur Hand zu haben. Der SQLite Forensic Reporter hat für die o.g. Anwendungen bereits Query Templates dabei, man kann sich diese aber auch sehr einfach selbst erstellen, um jegliche SQLite-Datenbank abzufragen.

Am besten man geht so vor, dass man den SQLite Forensic Reporter die verdächtige Festplatte (natürlich wie immer als Image gemountet oder via Writeblocker angeschlossen oder auch gern in einer VM) anhand von Headersignaturen nach entsprechenden SQLite-Datenbanken der einzelnen Anwendungen suchen lässt. Sind die Datenbanken dann gefunden worden, lassen sich diese einfach auswerten. Wer mag, kann CSV- oder auch HTML-Reports erzeugen. Die Suche ist für den optional, der die Datenbank bereits kennt und einfach so öffnet. Unbekannte Datenbanken – also wofür weder Template noch Headersignatur vorhanden sind – werden standardmäßig aus analysiert.

Der SQLite Forensic Reporter kostet USD125 kann hier heruntergeladen werden.

neue Version des Evtx Parsers erschienen

Alexander Geschonneck — Wed, 16 Nov 2011 12:58:16 +0000

Andreas Schuster hat Version 1.1.0 seines Evtx Parsers für die forensische Analyse neuerer Windows Eventlogs veröffentlicht. Diese Version erweitert die Anzahl unterstützter XML-Konstrukte und Datentypen deutlich und versteht jetzt mehr als 90% der von Microsofts proprietärem, binären XML Dialekt angebotenen Funktionen.

Evtx Parser und die Perl Bibliothek Parse::EVTX Perl sind als Download über sein Blog verfügbar. Die Bibliothek erkennt jetzt auch CDATA sections (Knotentyp 0×07), Referenzen auf XML Entitäten wie zum Beispiel (Knotentyp 0×09) und XML Verarbeitungsanweisungen (Knotentypen 0x0a und 0x0b). Neu hinzugekommen sind 13 Module, die Felder von Ganzzahlen, Fließkommazahlen einfacher und doppelter Genauigkeit, GUIDs, FILETIME und SYSTEMTIME Strukturen analysieren und darstellen.

Interview Technology Review: Die neuen Waffen der Phisher

Alexander Geschonneck — Fri, 28 Oct 2011 18:37:11 +0000

Ich dachte, es erscheint gar nicht mehr. Technology Review hat in Ausgabe 11/2011 einen Beitrag über moderne Phishing-Angriffe veröffentlicht. Einen Online-Überblick gibt es hier. Den Rest am Kiosk.

Artikel im Betriebs-Berater: Anonymisierung im Rahmen der forensischen Datenanalyse [Update]

Alexander Geschonneck — Tue, 25 Oct 2011 23:20:21 +0000

Werden Daten im Rahmen einer forensischen Datenanalyse verarbeitet, so enthalten diese häufig Verweise auf natürliche Personen, einschließlich der Mitarbeiter des Unternehmens. Der Umgang mit personenbezogenen Daten ist durch das Bundesdatenschutzgesetz (BDSG) geregelt. Um den gesetzlichen Vorgaben zu entsprechen, ist neben anderen Voraussetzungen anzuraten, die personenbezogenen Daten im Vorfeld der Datenanalyse zu anonymisieren oder zu pseudonymisieren. Das öffentliche Interesse am Thema Datenschutz hat in den vergangenen Jahren, nicht zuletzt durch einige aufsehenerregende Fälle, stark zugenommen. Die Medien haben diese Fälle umfangreich aufgegriffen. Für Unternehmen ist es daher umso wichtiger, sich mit dem Thema Datenschutz intensiver auseinanderzusetzen. Die mögliche Verletzung der Regelungen des BDSG stellt für das Unternehmen ein Risiko dar. Kommt es im Rahmen einer Datenanalyse zu Verstößen gegen den Datenschutz, so droht nicht nur eine Schädigung der Reputation. Vielmehr können auch Bußgelder, Geld- und sogar Freiheitsstrafen verhängt werden.

Lesen Sie den gesamten Artikel, der in Zusammenarbeit mit meinen Kollegen RAin Barbara Scheben und Jörg Meyer im Betriebs-Berater Nr. 43/2011 erschienen ist.

[Update]Den Rest gibt es am Kiosk oder hier.[Update]

Statistik über gestohlene und kompromittierte Accounts

Alexander Geschonneck — Sun, 23 Oct 2011 19:49:42 +0000

Es ist auch immer wieder interessant für uns, wenn wir mehr über Angriffe auf E-Mailaccounts und die Reaktion der betroffenen Anwender erfahren. Diese Angriffe können oft der Startpunkt für weitere Attacken sein. Ein Dienstleister für die SPAM-Erkennung hat sich intensiver damit beschäftigt, welche Accounts (bevorzugte Provider) betroffen waren und wie diese Accounts kompromittiert wurden, ob diese in der Folge für SPAM verwendet wurden, wie die Betroffenen von dem Angriff erfahren haben und wie diese ihren Account wieder unter ihre Kontrolle bringen konnten.

Die Keyfacts des Dienstleisters Commtouch sind in dieser Infografik zusammengefasst:

Der gesamte Artikel findet sich hier.

If you didn’t go looking for it, don’t install it!

Alexander Geschonneck — Mon, 10 Oct 2011 09:48:37 +0000

Urban Legends halten sich. Ich kann mich an einen früheren Kollegen erinnern, dem ich einen Arzt empfohlen habe, weil er auf Virenscanner und lokale Firewall auf seinem Mac gepfiffen hat (und wahrscheinlich immer noch pfeift ). In der Tat kann man darüber trefflich diskutieren. Die bisherigen Angriffe hätten durch einen Mac-User mit GMV (Gesundem Menschenverstand) erkannt, bzw. verhindert werden können. Es ist aber m.E. nur eine Frage der Zeit, denn mit zunehmender Verbreitung… usw. usw. usw.
Brian Krebs hat einen interessanten Beitrag über einen Mac Trojaner veröffentlicht, der die aktuelle Bedrohungslage einzuschätzen hilft. Der Trojaner für OSX kommt als PDF-Datei mit Payload daher und kopiert sich dann in mehreren Schritten auf die Festplatte. Der Angriffsvektor ist auch hier wieder der Anwender in Verbindung mit Social Engineering. Ich denke, noch gilt auch für Mac-User die erste seiner Basic Rules for Online Safety: If you didn’t go looking for it, don’t install it!

Remote Forensic Software #fail

Alexander Geschonneck — Sun, 09 Oct 2011 12:34:19 +0000

Als hätte man es kommen sehen. Man kann über den Ton der Meldung sicherlich diskutieren, der Inhalt hat es aber in sich! Wenn die untersuchte Software wirklich authentisch ist, werden wohl einige Leute einen hektischen Start in die Woche haben.

alter Beitrag dazu

Berufszertifizierungen in der Computer-Forensik [Update]

Alexander Geschonneck — Sat, 08 Oct 2011 13:15:46 +0000

Beinahe täglich erreichen mich E-Mails von Interessierten, die sich gern im Bereich der Computer-Forensik weiterbilden wollen. Seien es Absolventen oder General IT-Practicioner, die das Betätigungsfeld wechseln möchten. Oft kommt die Frage dann auch auf die für diesen Bereich sinnvolle Berufszertifizierungen (CISSP, EnCE, CISA, CEH, CFE, CHFI, GCFA, GCIA, GCIH usw). Allen Interessierten möchte ich hierzu gern ein paar Hinweise geben, die natürlich nur auf meiner persönlichen Erfahrung beruhen und keinen Anspruch auf Vollständigkeit haben. Die ganze Geschichte hat mehrere Seiten. Zum einen dienen diese Kurse dazu, sich Wissen in einem bestimmen Fachgebiet anzueignen (sic!). Der andere wichtige Aspekt ist, dass man damit auch einem Dritten nachweisen kann, dass man sich nach anerkannten Standards weitergebildet und einer Prüfung unterzogen hat. Beim zweiten Aspekt macht es eigentlich wenig Sinn, sich NICHT an eine große und global bekannte Institution zu halten. Wir merken, dass dies von Mandanten ganz konkret nachgefragt wird und bei zunehmenden globalen Wettbewerb auch sinnvoll ist. Irgendein IHK-Zertifikat ist halt für einen nicht-deutschen Mandanten nicht einfach zu bewerten. Zusätzlich werden immer häufiger auch Produktzertifikate nachgefragt. Hiermit kann man natürlich wieder etwas über den Umfang mit dem Produkt lernen, aber auch nachweisen, dass man damit umgehen kann. Fast alle professionellen Anbieter von Computer-Forensik Werkzeugen bieten hier etwas für die eigene Produktpalette: EnCase, Access Data, X-Ways Forensics, Paraben, Clearwell, Introspect, NUIX etc. Wer also gern z.B. EnCE werden möchte, sollte sich bei den Herstellern erkundigen. Betriebssystemspezifische Zertifizierungen á la MCSE sind auch sinnvoll, sagen aber logischerweise nix über Forensik aus.

Kommen wir nun zu den eigentlichen Berufszertifizerungen. Die Webseite der Information Systems Security Association (ISSA) listet eine große Anzahl von möglichen Zertifizierungen auf. Dazu gehören u.a. auch die ”Klassiker” wie CISSP (Certified Information Security Professional), CISA (Certified Information Systems Auditor) und CEH (Certified Ethical Hacker) auf. Diese Zertifizierungen haben zwar ihren Ursprung in der Informationssicherheit bzw. IT-Security, bilden aber eine gute Basis, um Schwachstellen und damit auch Security Incidents zu verstehen.

Eher speziell auf Incident Response bzw. Computer Forensics ausgerichtete Berufszertifizierungen, die ich für mein Team immer empfehle, sind die Kurse der Global Information Assurance Certification (GIAC). Die Schulungen werden über das SANS-Institut (SANS steht für “SysAdmin, Networking and Security”) durchgeführt und am Ende müssen die Kandidaten ein Paper verfassen. Bei der GIAC finden sich zwar auch andere Zertifizierungen, für den Bereich der Computer-Forensik sind m.E. die folgenden Zertifiakte sinnvoll und in der Branche anerkannt:

Zusätzlich möchte ich noch gern auf die Digital Forensics Association (DFA) hinweisen. Diese Non-Profit Organisation hat es sich zur Aufgabe gemacht, Ausbildungsstandards im Bereich Computer-Forensik zu schaffen und die Interessenten untereinander zu vernetzen.Möchte man auch im klassischen Bereich der Fraud-Investigation tätig sein, empfehle ich den international ebenfalls weit verbreiteten Certified Fraud Examiner (CFE).

Es bleibt festzuhalten, dass man die Frage nach der idealen Berufszertifizierung nicht mit einem Satz beantworten kann. Ich empfehle als erstes zu überlegen, wofür ich das Zertifikat benutzen möchte.

Es gibt auch einige Zertifikate aus Deutschland, da habe ich aber nicht den direkten Überblick. Hinweise gern per Mail an mich.