Vortrag zum Thema Digitale Forensik

Prof. Holger Morgenstern, Dipl.-Ing. (FH) Tobias Scheible http://hs-albsig.de

Digitale Forensik

Rotary Club Ebingen-Zollernalb

Bisingen-Zimmern

23.11.2015

Digitale ForensikForensiker - Spurensucher im digitalen Zeitalter

1


Digitale Forensik


Bisingen-Zimmern

23.11.2015

Vorstellung

Prof. Holger Morgenstern

Öffentlich bestellter und vereidigter Sachverständiger für Technik, Systeme und Anwendungen der Informationsverarbeitung sowie Computer Forensik

Seit 2013: Professor an der Hochschule Albstadt-Sigmaringen

Seit 2014: Dekan der Fakultät Informatik

Dipl.-Ing. (FH) Tobias Scheible

Studium Kommunikations- und Softwaretechnik, HS Albstadt-Sigmaringen

2009 bis 2012: Softwareingenieur im Bereich Web Development

Seit 2012: Wissenschaftlicher Mitarbeiter am IWW und in der Fakultät INF

2


Digitale Forensik


Bisingen-Zimmern

23.11.2015

Agenda Digitale Forensik: Was ist das?

Definition

Digitale Spuren und ihre Besonderheiten

Vorgehensmodelle

Wenn es vor Gericht geht

Digitale Forensik: Weiterbildung

Master Digitale Forensik

Open C3S

Digitale Forensik: Praktische Beispiele

Datenträgerforensik

Verschleierte Kommunikation

Authentifizierung & Identifizierung

Datenspionage

3


Digitale Forensik


Bisingen-Zimmern

23.11.2015

Digitale Forensik: Was ist das?

CSI & Co.?

Gelöschte Daten hervorzaubern?

Verbrannte Festplatten auslesen?

Verschwommene Mini-Bilder verbessern?

…

Überwachung?

Wer, was, wie, wann, womit, wozu,…?

Gerichtsfeste Beweise?

Anklage, Verteidigung, Arbeitsrecht, Technik, …

4


Digitale Forensik


Bisingen-Zimmern

23.11.2015


forensisch – forum (lat) – Marktplatz – Schauplatz von Gerichtsverfahren

forensisch ~ Bezug zum Rechtssystem

„Computer forensics is the scientific examination and analysis of data held on, or retrieved from, computer storage media in such a way that the information can be used as evidence in a court of law.“ (© 2003 DIBS USA Inc)

Legale, neutrale, überprüf- und nachvollziehbare Sicherung, Analyse und Dokumentation digitaler Beweise

Forensische Informatik ~ Anwendung wissenschaftlicher Methoden auf Fragen des Rechtssystems. (Freiling / Dewald)

Wissenschaft = Wahrheit?

5


Digitale Forensik


Bisingen-Zimmern

23.11.2015


Digitale Spuren <-> Physische Spuren

Flüchtigkeit

persistent, semi-persistent, flüchtig

Technische Vermeidbarkeit

essentiell, vermeidbar

Manipulierbarkeit

Kopierbarkeit

Semantik

6


Digitale Forensik


Bisingen-Zimmern

23.11.2015


S-A-P

Sicherung der Beweise

Prinzip: Alles sichern – Nichts verändern!

Erstellen eines forensisch korrekten Abbilds der elektronisch gespeicherten Daten (forensic sound imaging)

Authentifizierung des Abbilds (Kryptografie)

Analyse und Bewertung der gesicherten Daten

Digitale Spurensuche

Präsentation - Bericht / Gutachten / Darstellung vor Gericht

Neutral, überprüf- und nachvollziehbar

7


Digitale Forensik


Bisingen-Zimmern

23.11.2015


Sicherung – Anforderungen (post-mortem): Jedes bit der Quelle muss 1:1 (raw) und unabhängig vom logischen Dateisystem abgebildet werden

Lesefehler müssen robust und nachvollziehbar behandelt werden

Die Quelle darf keinesfalls verändert werden

Prozess muss einer Überprüfung standhalten und reproduzierbar gleiche, durch Dritte verifizierbare Ergebnisse liefern

Erstellte Kopie muss durch kryptografische Verfahren geschützt werden, damit eventuelle Veränderungen sicher erkannt werden können

md5sum /dev/<Datenträger>

dd if=/dev/<Datenträger> of=</verzeichnis/image>

md5sum /verzeichnis/image

Vergleich der Hash-Werte

8


Digitale Forensik


Bisingen-Zimmern

23.11.2015


Sicherung „lebender“ Systeme:

Keine Systembefehle verwenden (könnten vom Angreifer manipuliert worden sein)

Keine „Untersuchung“ des Systems durchführen

Keine Installation / Deinstallation von Software

Keine „Reparaturversuche“ durchführen

Ordnungsgemäßer Shutdown kann Beweise vernichten

Alle Aktionen protokollieren

Protokolle nicht auf die zu untersuchenden Datenträger schreiben

…

9


Digitale Forensik


Bisingen-Zimmern

23.11.2015


10


Digitale Forensik


Bisingen-Zimmern

23.11.2015


Verschiedene Vorgehensmodelle

Incident Response Process

Investigative Process

Common Model

aus Freiling, Dewald: Forensische Informatik

11


Digitale Forensik


Bisingen-Zimmern

23.11.2015


Vor Gericht…“gerichtsfest“

Zivilverfahren

Die Parteien bestimmen.

Strafverfahren

Es wird ermittelt, aber neutral.

Arbeits-, Dienstrecht, …

Rollen

Ermittler / Sachverständiger / öbuv Sachverständiger

Glaubwürdigkeit!

legal, neutral, überprüf- und nachvollziehbar

12


Digitale Forensik


Bisingen-Zimmern

23.11.2015

Digitale Forensik: Was man nicht machen sollte…

Neulich beim Recycling…

13


Digitale Forensik


Bisingen-Zimmern

23.11.2015



14


Digitale Forensik


Bisingen-Zimmern

23.11.2015



15


Digitale Forensik


Bisingen-Zimmern

23.11.2015



… PC aus dem Jahr 2000

… Daten sind nicht weg

… Firma / Benutzer

nicht wegwerfen ohne richtig zu löschen!

16


Digitale Forensik


Bisingen-Zimmern

23.11.2015

17



Digitale Forensik


Bisingen-Zimmern

23.11.2015


Berufsbegleitender Masterstudiengang

Gebührenpflichtig (kostendeckend nach Landeshochschulgesetz)

Kooperativer Studiengang

HS Albstadt-Sigmaringen

FAU Erlangen-Nürnberg

LMU München

Lehrinhalte

Umfassendes technisches IT-Wissen

Genaue Methodenkenntnis der Digitalen Forensik

Juristische Grundlagen

18


Digitale Forensik


Bisingen-Zimmern

23.11.2015

Curriculum

19

1. Semester

2. Semester

3. Semester

4. Semester

5. Semester

6. Semester

7. Semester

Einführung in die Informatik

IT-Sicherheit und IT-Angriffe

Betriebssysteme und Betriebssystemforensik

Datenträger-Forensik

Digitale Ermittlungen

Wahlpflichtmodul

Masterthesis

Einführung in Betriebssysteme und Methoden der Informatik

Programmieren im Forensik-Umfeld

Rechnernetze und Netzwerkforensik

Reverse Engineering

Live-Analyse

Browser- undAnwendungsforensik

Internet Grundlagen

Grundlagen Digitaler Forensik

Informationsrecht

Cyberkriminalität und Computerstrafrecht

Cyberkriminalität und Computerstrafprozessrecht

Wirtschaftskriminalität

Grundlagen-studium

Aufbau-studium


Digitale Forensik


Bisingen-Zimmern

23.11.2015

HS Albstadt-Sigmaringen

20

1. Semester

2. Semester

3. Semester

4. Semester

5. Semester

6. Semester

7. Semester







Masterthesis




Reverse Engineering

Live-Analyse

Wahlpflichtmodul

Internet Grundlagen


Informationsrecht




Grundlagen-studium

Aufbau-studium


Digitale Forensik


Bisingen-Zimmern

23.11.2015

FAU Erlangen-Nürnberg

21

1. Semester

2. Semester

3. Semester

4. Semester

5. Semester

6. Semester

7. Semester






Wahlpflichtmodul

Masterthesis




Reverse Engineering

Live-Analyse


Internet Grundlagen


Informationsrecht




Grundlagen-studium

Aufbau-studium


Digitale Forensik


Bisingen-Zimmern

23.11.2015

LMU München

22

1. Semester

2. Semester

3. Semester

4. Semester

5. Semester

6. Semester

7. Semester






Wahlpflichtmodul

Masterthesis




Reverse Engineering

Live-Analyse


Internet Grundlagen


Informationsrecht




Grundlagen-studium

Aufbau-studium


Digitale Forensik


Bisingen-Zimmern

23.11.2015

23

Open C3S


Digitale Forensik


Bisingen-Zimmern

23.11.2015

Verbundpartner Hochschule Albstadt-Sigmaringen

Ruhr-Universität Bochum

Technische Universität Darmstadt

Hochschule Darmstadt

Friedrich-Alexander-Universität Erlangen-Nürnberg

Goethe-Universität Frankfurt am Main

Universität Mannheim

Hochschule Offenburg

Universität Passau

Fachhochschule Stralsund

Eberhard Karls Universität Tübingen

24


Digitale Forensik


Bisingen-Zimmern

23.11.2015

Open Competence Center for Cyber Security

25

Vorkurse

Zertifikate

Bachelorstudiengang

Masterstudiengang

Studium InitialeBerufsbegleitend zum Hochschulzugang

HochschulzertifikateAuf hohem akademischen Niveau mit ECTS-Punkten

Informatik/IT-SicherheitFlexibles und modulares Bachelor-Fernstudium

IT GRC ManagementIntensiver, praxisorientierter Kompetenzaufbau


Digitale Forensik


Bisingen-Zimmern

23.11.2015

26



Digitale Forensik


Bisingen-Zimmern

23.11.2015


Datenträger- bzw. Festplattenforensik sind Hauptgebiete der Computer-Forensik

Zwei Ausrichtungen:

Untersuchung von Daten auf Festplatten zwecks Beweiserhebung

Rekonstruktion und die Analyse der Daten

Rekonstruktion eines zeitlichen Ablaufes einer Straftat

Zwei Analysemethoden

Live-Response-Analyse

Post-mortem-Analyse

27


Digitale Forensik


Bisingen-Zimmern

23.11.2015

Beispiel: Daten wiederherstellen

28


Digitale Forensik


Bisingen-Zimmern

23.11.2015

Beispiel: Daten wiederherstellen

29

Dateien werden in einem Dateisystem (Ablageorganisation) organisiert

Alle Dateien werden in einer Art Verzeichnis mit Verweisen gespeichert, wo sie sich physikalisch auf dem Datenträger befinden

Beim Löschen einer Datei wird einfach der Eintrag aus dem Verzeichnis entfernt

Dadurch sind die Daten der Datei noch auf dem Datenträger vorhanden

Überschreiben der Daten sorgt für die komplette Löschung

Mythos des mehrfachen Überschreibens ist falsch bzw. veraltet

1GB Festplatten: 56 Prozent Wahrscheinlichkeit pro Bit, 0,97 Prozent Wahrscheinlichkeit pro Byte


Digitale Forensik


Bisingen-Zimmern

23.11.2015

Beispiel: Verschlüsselungsalgorithmen

30

Quelle: piriform.com

https://www.piriform.com/recuva


Digitale Forensik


Bisingen-Zimmern

23.11.2015

Beispiel: Verschlüsselungsalgorithmen

Unterschiedliche Algorithmen benötigen unterschiedlich viel Rechenaufwand

Ältere Algorithmen können schneller berechnet werden

Die Länge des Passwortes ist entscheidend für die Sicherheit

Aktueller Stand der Technik: Advanced Encryption Standard (AES)

AES-192/256 sind in den USA für staatliche Dokumente mit höchster Geheimhaltungsstufe zugelassen

31


Digitale Forensik


Bisingen-Zimmern

23.11.2015

Beispiel: Häufige Passwörter

32

Quelle: stricture-group.com

https://stricture-group.com/files/adobe-top100.txt


Digitale Forensik


Bisingen-Zimmern

23.11.2015

Beispiel: VeraCrypt

33

Quelle: codeplex.com

https://veracrypt.codeplex.com/


Digitale Forensik


Bisingen-Zimmern

23.11.2015

Beispiel: VeraCrypt

34

Weiterentwicklung des Tools TrueCrypt

Durch viele Reviews bzw. Tests als sicher eingestuft

Verschlüsselung von Dateien in einem Container

Auch komplette Systemfestplatten können verschlüsselt werden

Portable Version für USB-Sticks ist verfügbar


Digitale Forensik


Bisingen-Zimmern

23.11.2015

35



Digitale Forensik


Bisingen-Zimmern

23.11.2015


Viele Kommunikationsverbindungen werden abgehört bzw. analysiert

Unverschlüsselte Kommunikation kann in Echtzeit analysiert werden

36


Digitale Forensik


Bisingen-Zimmern

23.11.2015

Beispiel: Bildbearbeitung

37

Quelle: sketchtoy.com

http://sketchtoy.com/


Digitale Forensik


Bisingen-Zimmern

23.11.2015

Beispiel: Bildbearbeitung

Viele Filterungen basieren auf Textanalysen

Bilddateien können nicht automatisch gefiltert werden

Bilderkennung benötigt viel Rechenleistung

Werden Bilder als Vektoren übermittelt, ist die Erkennung noch schwieriger

38


Digitale Forensik


Bisingen-Zimmern

23.11.2015

Beispiel 2: Online-Spiele

39

Quelle: minesweeperonline.com

http://www.heise.de/security/meldung/00000000-Passwort-fuer-US-Atomraketen-2060077.html


Digitale Forensik


Bisingen-Zimmern

23.11.2015

Beispiel: Online-Spiele

3D-Daten sind noch schwieriger zu analysieren

Allein die riesige Datenmenge macht eine Analyse schwierig

Geheime Absprachen in virtuelle Online-Welten

40


Digitale Forensik


Bisingen-Zimmern

23.11.2015

Beispiel: Steganographie

41

Quelle: embeddedsw.net

http://embeddedsw.net/OpenPuff_Steganography_Home.html


Digitale Forensik


Bisingen-Zimmern

23.11.2015

Beispiel: Steganographie

Verborgene Speicherung von Informationen in einem Trägermedium

Klassische Varianten:

auf Papier „unsichtbare“ Geheimtinte

Doppelte Böden in Briefen

…

Computergestützte Variante:

Symmetrische Steganographie

Asymmetrische Steganographie

Liegt das Foto im Original vor, kann eine Manipulation entdeckt werden

42


Digitale Forensik


Bisingen-Zimmern

23.11.2015

43



Digitale Forensik


Bisingen-Zimmern

23.11.2015


Wie kann sich ein Benutzer sicher authentifizieren?

Wie kann ein Absender eindeutig identifiziert werden?

Eine der größten Herausforderungen der IT-Sicherheit

Die Forensik untersucht die Authentifizierung & Identifizierung

44


Digitale Forensik


Bisingen-Zimmern

23.11.2015

Beispiel: E-Mail-Absender fälschen

45

Quelle: php.net

https://secure.php.net/manual/de/function.mail.php


Digitale Forensik


Bisingen-Zimmern

23.11.2015

Beispiel: E-Mail-Absender fälschen

46

E-Mails können sehr einfach gefälscht werden

Es gibt keinen Standardmechanismus, der den Absender eindeutig identifiziert

Mit S/MIME oder PGP kann ein Signatursystem realisiert werden


Digitale Forensik


Bisingen-Zimmern

23.11.2015

E-Mail Quellcode

47


Digitale Forensik


Bisingen-Zimmern

23.11.2015

Beispiel: SMS-Absender fälschen

48

Quelle: smskaufen.com

http://smskaufen.com/


Digitale Forensik


Bisingen-Zimmern

23.11.2015

Beispiel: SMS-Absender fälschen

49

Inhalte werden im Klartext übertragen

Es gibt keine Validierung für einen korrekten Absender

SMS beinhalten keine Meta-Daten über den Kommunikationsweg

Spuren sind nur schwer zu analysieren, da die Daten beim Provider liegen


Digitale Forensik


Bisingen-Zimmern

23.11.2015

50

Datenspionage


Digitale Forensik


Bisingen-Zimmern

23.11.2015

Beispiel: Hardware Keylogger

51

Quelle: amazon.com

http://www.amazon.com/KeyGrabber-USB-KeyLogger-8MB-Black/dp/B004TUBOKW


Digitale Forensik


Bisingen-Zimmern

23.11.2015

Beispiel: BadUSB-Angriff

52

Quelle: coolcomponents.co.uk

https://www.coolcomponents.co.uk/teensy-3-1.html


Digitale Forensik


Bisingen-Zimmern

23.11.2015

Beispiel: Funktastaturen abhören

+53

Quelle: lightinthebox.comQuelle: coolcomponents.co.uk

http://www.lightinthebox.com/de/verbesserter-2-4ghz-nrf24l01-wireless-transceiver-modul-fuer-arduino-schwarz_p683437.html

https://www.coolcomponents.co.uk/teensy-3-1.html


Digitale Forensik


Bisingen-Zimmern

23.11.2015

Cyber Security Lab

54

Cyber Security Vortrag

Am 14. Januar 2016

öffentlich & gebührenfrei

Folien der Präsentation demnächst online unter: https://cyber-security-lab.de

Noch Fragen?


Digitale Forensik


Bisingen-Zimmern

23.11.2015

Vielen Dank

Education

Vortrag zum Thema Digitale Forensik