Reihenfolge der Flüchtigkeit und Beweiserhebung

Digitale Forensik ist die Anwendung wissenschaftlicher Methoden zum Erheben, Sichern, Analysieren und Präsentieren digitaler Beweismittel in einer rechtlich zulässigen Form. Forensische Ermittler rekonstruieren Zeitabläufe von Angriffen, ermitteln die Grundursache von Vorfällen und stellen gelöschte oder versteckte Daten wieder her. Das Fachgebiet unterliegt strengen Verfahrensanforderungen, da unsachgemäß behandelte Beweismittel – selbst bei technisch fehlerhafter Behandlung – in Gerichtsverfahren unzulässig sein können. Die Forensik verbindet die technische und die rechtliche Welt.

Die Reihenfolge der Flüchtigkeit legt fest, in welcher Reihenfolge digitale Beweismittel erfasst werden sollten – von den flüchtigsten (verschwinden am schnellsten) bis zu den am wenigsten flüchtigen (bleiben länger erhalten). Forensische Ermittler erfassen die flüchtigsten Daten immer zuerst, da sie beim Ausschalten oder Neustarten des Systems verloren gehen. Eine Erfassung in der falschen Reihenfolge zerstört Beweismittel, die hätten gesichert werden können. Der Standard RFC 3227 enthält eine weithin verwendete Reihenfolge der Flüchtigkeit für forensische Verfahren.

Die Arbeitsspeichererfassung (RAM-Erfassung) ist eine der wertvollsten und zeitkritischsten forensischen Maßnahmen. Der RAM enthält: laufende Prozesse und deren Argumente, entschlüsselte Versionen aktuell verwendeter verschlüsselter Dateien, Tabellen mit Netzwerkverbindungen, vom Betriebssystem zwischengespeicherte Benutzeranmeldedaten, im Arbeitsspeicher gehaltene Verschlüsselungsschlüssel sowie dateilose Schadsoftware, die ausschließlich im RAM vorhanden ist. Der Arbeitsspeicher muss erfasst werden, solange das System eingeschaltet ist – ein Neustart oder Herunterfahren zerstört diese Beweismittel vollständig. Zu den Tools gehören Magnet RAM Capture, WinPmem und LiME (für Linux).

Beim Festplatten-Imaging wird eine forensische Bit-für-Bit-Kopie eines Speichermediums erstellt, einschließlich aller Daten, gelöschter Dateien, nicht zugewiesener Bereiche und Dateisystemmetadaten. Um eine versehentliche Veränderung der ursprünglichen Beweismittel zu verhindern, wird ein Schreibschutzgerät zwischen dem Beweismitteldatenträger und der forensischen Arbeitsstation angeschlossen – es lässt Lesebefehle durch, blockiert jedoch alle Schreibbefehle. Dadurch wird sichergestellt, dass die ursprünglichen Beweismittel während der Erfassung nicht verändert werden und ihre Integrität für Gerichtsverfahren erhalten bleibt.

Kryptografisches Hashing ist grundlegend für die Integrität forensischer Beweismittel. Jedes Beweismittel muss bei der Erfassung mit SHA-256 (oder aus Gründen der Abwärtskompatibilität mit MD5) gehasht werden. Der Hashwert wird in der Dokumentation zur Beweismittelkette festgehalten. Bei jedem Zugriff auf die Beweismittel oder jeder Übertragung wird der Hashwert erneut berechnet – stimmt er mit dem ursprünglichen Hashwert überein, wurden die Beweismittel nicht verändert. Gerichte verlangen diesen Integritätsnachweis, um digitale Beweismittel zuzulassen. Eine Hashwertabweichung bedeutet, dass die Beweismittel verändert wurden und möglicherweise nicht zulässig sind.

Bei der lebenden (Online-)Forensik werden Beweismittel von einem laufenden System erfasst – dabei werden flüchtige Daten vor dem Herunterfahren gesichert. Dies ist erforderlich, wenn eine Analyse des flüchtigen Arbeitsspeichers nötig ist, das System nicht offline genommen werden kann oder dateilose Schadsoftware auf dem Datenträger nicht sichtbar wäre. Bei der toten (Offline-)Forensik werden ausgeschaltete Systeme anhand von Festplattenabbildern analysiert, was sicherer und kontrollierter ist. Bei modernen Vorfällen ist häufig eine Kombination erforderlich: flüchtige Daten werden im laufenden Betrieb erfasst, anschließend wird das System ausgeschaltet und der Datenträger für eine eingehendere Analyse als Abbild gesichert.

Bei einem aktiven Vorfall mit mehreren betroffenen Systemen müssen Ermittler eine Triage durchführen – sie priorisieren, welche Systeme zuerst untersucht werden. Zu den Triage-Kriterien gehören: Systeme mit den weitreichendsten Zugriffsmöglichkeiten (Domänencontroller, Datenbanken), Systeme, die am wahrscheinlichsten Persistenzmechanismen des Angreifers enthalten, Systeme mit der aktuellsten bösartigen Aktivität sowie Systeme mit den größten geschäftlichen Auswirkungen. Bei einer Triage-Erfassung werden EDR-Telemetriedaten und gezielt ausgewählte Artefakte statt vollständiger Festplattenabbilder erfasst, sodass viele Systeme gleichzeitig schnell analysiert werden können.

Paketerfassungs- (PCAP)**dateien zeichnen den gesamten Netzwerkverkehr auf Paketebene auf. Während eines Vorfalls können PCAP-Beweismittel Folgendes offenlegen: im Klartext übertragene Anmeldedaten, über C2-Kanäle an kompromittierte Systeme gesendete Befehle, exfiltrierte Daten (große ausgehende Übertragungen), laterale Bewegungen (interne Verbindungsmuster) sowie Quellen für den Download von Schadsoftware. PCAP wird mit Wireshark, tcpdump oder Netzwerk-TAPs erfasst. Für die PCAP-Erfassung ist eine Genehmigung erforderlich, da dabei der gesamte Datenverkehr eines Segments aufgezeichnet wird, möglicherweise einschließlich privilegierter Kommunikation.

Cloud-Umgebungen bringen besondere forensische Herausforderungen mit sich. Der physische Zugriff auf die zugrunde liegende Hardware ist nicht möglich – Cloudanbieter kontrollieren die Hypervisor-Ebene. Festplattenabbilder virtueller Maschinen können über Cloud-APIs als Snapshots erstellt werden. Protokolldaten (CloudTrail, Azure Monitor) sind bei Cloudvorfällen die wichtigste Beweisquelle. Die Erfassung des Arbeitsspeichers ist auf Verfahren beschränkt, die vom Cloudanbieter oder durch die VM-Introspektion unterstützt werden. Die Zuständigkeit für Beweismittel kann komplex sein, wenn sich Cloudserver in anderen Ländern befinden als dem Land, in dem sich der Vorfall ereignet hat. Das Verständnis dieser Einschränkungen ist für die Untersuchung von Cloudvorfällen unerlässlich.

Forensische Ermittler verwenden spezielle Tools, die für den korrekten Umgang mit Beweismitteln entwickelt wurden. Autopsy (Open Source) und FTK (Forensic Toolkit) (kommerziell) analysieren Festplattenabbilder und extrahieren Artefakte. Volatility analysiert Speicherabbilder, um Prozesse, Netzwerkverbindungen und Schadsoftwareartefakte zu extrahieren. Magnet AXIOM unterstützt sowohl die digitale als auch die mobile Forensik. Wireshark analysiert PCAP-Dateien. X-Ways Forensics ist ein schlankes, aber leistungsfähiges kommerzielles Toolkit. Ermittler müssen validierte Tools verwenden, um die Integrität der Beweismittel sicherzustellen.

Forensische Einsatzbereitschaft bedeutet, dass eine Organisation bereits vor einem Vorfall Maßnahmen ergriffen hat, damit digitale Beweismittel effizient erfasst werden können und rechtlich zulässig sind. Zu den Bestandteilen gehören: eine umfassende Protokollierung auf allen kritischen Systemen, eine ausreichend lange Aufbewahrung der Protokolle zur Unterstützung von Untersuchungen (90–365 Tage), dokumentierte Verfahren für den Umgang mit Beweismitteln, geschulte Ersthelfer, die wissen, dass Beweismittel nicht verändert werden dürfen, vorab bereitgestellte oder kurzfristig verfügbare forensische Tools sowie im Voraus geprüfte rechtliche Genehmigungen (z. B. die Zustimmung von Mitarbeitern zu Richtlinien zur Überwachung).

Testen Sie Ihr Verständnis der CompTIA Security+-Konzepte (SY0-701) aus dieser Lektion.

In dieser Lektion haben Sie gelernt: Die Reihenfolge der Flüchtigkeit erfordert, dass RAM und laufende Prozesse zuerst erfasst werden, da sie beim Ausschalten des Systems verloren gehen, Schreibschutzgeräte verhindern jede Veränderung der ursprünglichen Beweismittel während des Festplatten-Imaging und das Hashing mit SHA-256 bei der Erfassung und Überprüfung gewährleistet die Integrität der Beweismittel für ihre rechtliche Zulässigkeit. Als Nächstes befassen wir uns mit der Beweismittelkette und der rechtlichen Zulässigkeit.