Digitale Forensik 101: Beweise nach einem Vorfall

Warum forensische Integrität wichtig ist

Wenn ein Sicherheitsvorfall eintritt, besteht der erste Impuls oft darin, sofort Maßnahmen zu ergreifen – aus einem Backup wiederherstellen, den Rechner neu aufsetzen, Zugangsdaten zurücksetzen. Dieser Impuls ist verständlich, kann jedoch kritische Beweise vernichten, die benötigt werden, um zu verstehen, was passiert ist, wer dahintersteckt, auf welche Daten zugegriffen wurde und wie eine Wiederholung verhindert werden kann. In Fällen mit regulatorischen Pflichten oder rechtlichen Schritten können unsachgemäß behandelte Beweise zudem unzulässig sein.

Digitale Forensics ist die Disziplin des Sammelns, Aufbewahrens und Analysierens digitaler Beweise auf eine Weise, die deren Integrität und Zulässigkeit sicherstellt. Sie müssen kein Forensics-Spezialist sein, um die Kernprinzipien bei einer ersten Reaktion anzuwenden – aber Sie müssen genug wissen, um die Situation nicht zu verschlechtern.

Die Reihenfolge der Flüchtigkeit

Digitale Beweise reichen von hochflüchtig (verschwinden beim Abschalten der Stromversorgung) bis dauerhaft (überleben Neustarts und Laufwerkswechsel). Sammeln Sie Beweise in der Reihenfolge vom flüchtigsten zum dauerhaftesten:

1. CPU-Register und Cache (sofort verloren beim Herunterfahren)
2. RAM / Speicherinhalt (verloren beim Herunterfahren – enthält laufende Prozesse, Netzwerkverbindungen, Entschlüsselungsschlüssel, Passwörter im Klartext)
3. Netzwerkverbindungen (aktueller TCP-Status, ARP-Cache, Routing-Tabelle)
4. Laufende Prozesse (Prozessliste, geöffnete Datei-Handles, geladene Module)
5. Festplatteninhalte (bleiben nach dem Herunterfahren erhalten – Dateien, Protokolle, Artefakte)
6. Remote-Protokollierungs- und Überwachungsdaten (SIEM, Syslog – bereits außerhalb des Systems)
7. Physische Medien und Sicherungskopien

Schalten Sie ein mutmaßlich kompromittiertes System niemals ab, bevor Sie flüchtige Daten erfasst haben, es sei denn, der weitere Betrieb stellt ein unvertretbares Risiko dar (z. B. aktive Ransomware, die Dateien verschlüsselt).

Live-System-Erfassung

Bevor Sie irgendetwas berühren, dokumentieren Sie den aktuellen Zustand:

# Zeitstempel, angemeldete Benutzer, Netzwerkstatus, Prozessliste erfassen
date > evidence_$(hostname)_$(date +%Y%m%d%H%M%S).txt
who >> evidence.txt
netstat -antp >> evidence.txt
ps aux >> evidence.txt
lsof -n >> evidence.txt
arp -a >> evidence.txt

Für die Speichererfassung verwenden Sie dedizierte Tools:

• Linux: LiME (Linux Memory Extractor) Kernelmodul
• Windows: WinPmem, DumpIt oder kommerzielle Tools wie Magnet RAM Capture
• macOS: OSXpmem

Schreiben Sie Speicher-Dumps auf externe Medien (USB-Laufwerk oder Netzwerkfreigabe), niemals auf die lokale Festplatte des untersuchten Systems – das Schreiben von Daten verändert das Dateisystem, das Sie erhalten möchten.

Disk-Imaging: Forensische Kopien erstellen

Arbeiten Sie niemals direkt mit dem Originalbeweismaterial. Erstellen Sie ein bit-genaues forensisches Abbild und arbeiten Sie ausschließlich mit Kopien:

# Forensisches Abbild mit dd erstellen
dd if=/dev/sda of=/mnt/external/evidence.img bs=4M conv=noerror,sync status=progress

# Integrität mit Hash prüfen
sha256sum /dev/sda > original.sha256
sha256sum /mnt/external/evidence.img > copy.sha256
diff original.sha256 copy.sha256  # Muss übereinstimmen

Bevorzugen Sie dcfldd oder dc3dd gegenüber einfachem dd – sie unterstützen integriertes Hashing während der Erfassung und geben Fortschrittsinformationen aus. FTK Imager (Windows, kostenlos) bietet eine grafische Oberfläche und erstellt forensisch einwandfreie Abbilder im E01-Format.

Notieren Sie den Hash in Ihrem Beweisprotokoll vor und nach der Abbilderstellung. Der Hash ist der Fingerabdruck der Beweisintegrität – wenn jemand die Beweise anfechtet, können Sie nachweisen, dass diese seit der Erfassung unverändert geblieben sind.

Beweiskette (Chain of Custody)

Die Beweiskette ist die dokumentierte Spur, die zeigt, wer wann Zugang zu Beweisen hatte und was damit gemacht wurde. Jedes Beweisstück muss folgendes aufweisen:

• Eine eindeutige Kennung (Fallnummer, Beweisgegenstandsnummer)
• Beschreibung (Marke, Modell, Seriennummer des Mediums; Hostname und IP eines Servers)
• Hash-Werte (MD5 und SHA-256)
• Erfassungsdetails: Wer hat es erfasst, wann, wo und mit welchen Tools
• Übergabeprotokoll: Jedes Mal, wenn Beweise den Besitzer wechseln, wird dies mit Unterschrift dokumentiert

Verwenden Sie physische Beweisbeutel mit manipulationssicheren Siegeln für Hardware. Bei digitalen Beweisen führen Sie Protokolle in einem System, das vom untersuchten System getrennt ist.

Protokollanalyse: Die Geschichte rekonstruieren

Sobald Disk-Abbilder und Speicher-Dumps gesichert sind, beginnt die Analyse. Wichtige Artefakte zur Untersuchung:

• Authentifizierungsprotokolle: /var/log/auth.log (Linux), Windows Security Event Log (Event ID 4624/4625 für erfolgreiche/fehlgeschlagene Anmeldungen)
• Webserver-Protokolle: Zugriffsprotokolle mit URLs, User-Agents, Quell-IPs, Antwortcodes
• Shell-Verlauf: .bash_history, .zsh_history – Angreifer vergessen diese oft zu löschen
• Persistenzmechanismen: Cron-Jobs, Systemd-Dienste, Windows Run-Schlüssel, Autostart-Ordner, WMI-Abonnements
• Prefetch-Dateien (Windows): Aufzeichnung kürzlich ausgeführter Programme – nützlich, um nachzuweisen, dass ein Tool ausgeführt wurde
• Browser-Artefakte: Verlauf, Downloads, zwischengespeicherte Anmeldedaten

Tools wie Autopsy (Open-Source), Volatility (Speicheranalyse) und Plaso/log2timeline (Zeitachsengenerierung) automatisieren einen Großteil der Artefaktextraktion.

Eine Zeitachse erstellen

Das wertvollste forensische Ergebnis ist oft eine Zeitachse der Ereignisse – die Aktionen des Angreifers chronologisch abzubilden:

1. Erster Zugang (Phishing-E-Mail wurde um 14:32 UTC geöffnet)
2. Malware-Ausführung (cmd.exe wurde um 14:33 durch einen Word-Prozess gestartet)
3. Aufklärung (net user, whoami-Befehle um 14:34)
4. Seitliche Bewegung (Verbindung zu 10.0.0.15 via RDP um 14:51)
5. Datenexfiltration (großer ausgehender Transfer zu 203.0.113.42 um 16:20)

Plaso verarbeitet Dutzende von Protokollformaten und Artefakttypen, um einheitliche Zeitachsen zu erstellen. Für eine genaue Zeiterfassung über Systeme hinweg ist eine konsistente NTP-Konfiguration erforderlich – Abweichungen in Systemuhren erschweren die Korrelation.

Dokumentieren Sie alles während Ihrer Arbeit. Ihre Analysenotizen sind ebenfalls Beweise.