Festplattenabbilder und Dateisystemforensik

Bei der forensischen Datensicherung wird eine bitgenaue Kopie eines Speichermediums erstellt, wobei die Integrität der Beweise erhalten bleibt. Die Originalbeweise dürfen niemals verändert werden – arbeiten Sie mit einer durch einen Schreibschutz gesicherten Kopie. Erstellen Sie Hashes des Originals und der Kopie, um die exakte Reproduktion zu verifizieren.

Hardware-Schreibblocker verhindern physisch, dass Schreibbefehle die Beweislaufwerke erreichen. Software-Schreibblocker (dc3dd, FTK Imager) verhindern Schreibvorgänge auf Betriebssystemebene. Verwenden Sie stets einen Schreibblocker, bevor Sie Beweislaufwerke anschließen, um eine versehentliche Veränderung der Beweise zu verhindern.

dd erstellt Raw-Disk-Images. dc3dd ergänzt Fortschrittsanzeige, Hashing und die Aufteilung der Ausgabe – unverzichtbar für große Laufwerke. Verwenden Sie bs=4096 für eine bessere Leistung. Prüfen Sie, ob der Hash des Abbilds mit dem Hash der Beweise übereinstimmt, um die Integrität nachzuweisen.

FTK Imager bietet eine grafische Benutzeroberfläche für die Erstellung von Windows-Disk-Images. Das Tool unterstützt E01 (Expert Witness Format), das das Abbild komprimiert und den Hash, Details zur Erfassung sowie die Notizen des Untersuchers im Datei-Header speichert – der forensische Standard für Beweismittel.

FAT32 speichert Dateimetadaten in Verzeichniseinträgen und die Belegungskette in der File Allocation Table. Gelöschte Dateien hinterlassen Verzeichniseinträge mit einer 0xE5-Markierung; die FAT-Kette wird auf null gesetzt, aber Datencluster können erhalten bleiben. Wiederherstellungsprogramme nutzen diese Überreste.

NTFS speichert alle Metadaten in der Master File Table (MFT). Jeder MFT-Datensatz beschreibt eine Datei. $LogFile protokolliert Änderungen für die Wiederherstellung nach Abstürzen. $UsnJrnl (Änderungsjournal) protokolliert jeden Dateivorgang – eine äußerst wertvolle Quelle für die Rekonstruktion von Zeitabläufen, selbst nach einer Löschung.

Autopsy und Sleuth Kit stellen gelöschte Dateien wieder her, indem sie nach intakten MFT-Einträgen mit freigegebenen Datenclustern suchen und File Carving durchführen – dabei werden Datei-Magic-Bytes (Signaturen) in rohen Clusterdaten unabhängig von den Metadaten des Dateisystems identifiziert.

Beim File Carving werden Dateien anhand von Headern und Footern (Magic-Bytes) aus nicht zugewiesenem Speicherplatz wiederhergestellt. JPEG beginnt mit FF D8 FF. PDF mit 25 50 44 46. ZIP mit 50 4B 03 04. Scalpel und PhotoRec sind die wichtigsten Werkzeuge für File Carving.

Autopsy erstellt anhand der MAC-Zeitstempel (Modified, Accessed, Changed) und der $UsnJrnl-Einträge eine Zeitleiste. Filtern Sie rund um den vermuteten Zeitpunkt der Kompromittierung, um zu sehen, welche Dateien erstellt, geändert oder gelöscht wurden – so lassen sich die Aktionen des Angreifers chronologisch rekonstruieren.

Die Windows-Registry erfasst installierte Software, USB-Geräte (USBSTOR), zuletzt geöffnete Dokumente, den zuletzt angemeldeten Benutzer und Persistenz über Run-Schlüssel. Registry Explorer und RegRipper extrahieren und analysieren Registry-Hives aus Disk-Images zur Artefaktanalyse.

Browserverlauf, Cookies, zwischengespeicherte Dateien und Formulardaten werden in SQLite-Datenbanken gespeichert. Chrome verwendet LevelDB. Das Extrahieren dieser Artefakte gibt Aufschluss über Aufklärungsaktivitäten des Angreifers, die Vorbereitung der Datenexfiltration und webbasierte Befehlskanäle.

Die Datenträgerforensik beginnt mit einer forensisch einwandfreien Abbildsicherung mithilfe von Write-Blockern und einer Hash-Verifizierung. NTFS-MFT, $UsnJrnl, Registry-Hives, Browserdatenbanken und Datei-Carving aus nicht belegtem Speicherplatz ermöglichen gemeinsam die Rekonstruktion der Aktivitäten von Angreifern auf kompromittierten Systemen.