Professionelle Datenwieder­herstellung/-analyse und IT-Forensik für Berlin

Das Institut für Computer Forensik ist führend im Bereich der professionellen Datenwiederherstellung und forensischen Datenaufbereitung für Berlin mit Sitz und Laboren in Gera.

+

Datenrettung / Datenwiederherstellung
für Server, PC-Workstations und mobile geräte

+

Digitale Forensik und Datenanalyse
für Hard- und Software

+

Ransomware Datenträgerentsperrung
nach Hackerangriffen

Inhalt der Festplatte sichern

Als Alternative zum Entfernen des gesamten Servers können vor Ort eine vollständige Kopie der Festplatten mit einem geeigneten Hardwaregerät erstellen. Eine Kopie der Platte oder eines Disk-Images (natürlich bedeutet eine bitweise Kopie, "Sektor-zu-Sektor", "Bitstream-Image") wird zur Prüfung mit den gleichen Fragen weitergegeben, als ob die Disk selbst übertragen wurde.

Es gibt verschiedene Modelle von Festplattenhardware-Duplikatoren und mehrere Software-Modelle. Die Software umfasst "EnCase", "FTK", "SMART", "dd" und deren Varianten ("dd_rescue", "DCFLDD" usw.), "NED". Der einfachste Software-Duplizierer ist das Programm "dd", das Teil eines Unix / Linux-Betriebssystems ist.

Um eine Kopie einer Festplatte zu erstellen, muss man natürlich über eine Festplatte oder mehrere Festplatten mit einer Gesamtkapazität von mindestens der zu kopierenden Festplatte verfügen.

Eine Kopie der Festplatte des Computers, die am Tatort gescannt wird, kann auf vier Arten erstellt werden:

• Nehmen Sie die Festplatte aus dem Computer heraus, wenn sie ausgeschaltet ist, schließen Sie sie an den Fachcomputer an (es ist ratsam, sie im Readonly-Modus zu montieren oder über eine Hardwareaufzeichnungssperre anzuschließen) und eine Kopie der Software auf dem Expertencomputer erstellen.
• Entfernen Sie die Festplatte aus dem ausgeschalteten Computer, verbinden Sie sie mit einem eigenständigen Hardwaregerät, um die Festplatten zu kopieren, und erstellen Sie eine Kopie.
• Schließen Sie eine zusätzliche Festplatte oder ein anderes externes Gerät an den Computer an, der gescannt wird, und kopieren Sie die Informationen mithilfe der auf dem Computer verfügbaren Software oder besser von einem Spezialisten.
• Stellen Sie eine Netzwerkverbindung mit dem Remote-Computer (Server) des Spezialisten vom gescannten Computer her und kopieren Sie das Disk-Image dort über das Netzwerk, indem Sie die auf dem zu scannenden Computer verfügbare Software verwenden oder besser vom Remote-Server übernehmen.

Die Wahl der Methode liegt vorzugsweise im Ermessen des Forensikers. Bei der Auswahl geht er nicht nur von den verfügbaren Mitteln aus, sondern berücksichtigt auch andere Umstände. Wie wahrscheinlich ist es zum Beispiel, dass auf dem Computer ein Rootkit * oder eine logische Bombe * gescannt wird, welche Konsequenzen hat das Stoppen der Arbeit des untersuchten Computers usw.?

Sterilität

Wenn Platten nach dem Schema von Sektor zu Sektor kopiert werden, ist es sehr wichtig, dass die Zielfestplatte (auf die sie kopiert wird) zuvor gereinigt wurde. Das heißt, alle Sektoren müssen ausnahmslos mit Nullen oder zufälligen Bytes überschrieben werden. Andernfalls findet der Experte, der der Meinung ist, dass er eine Kopie einer Platte untersucht, dort tatsächlich die Überreste der vorherigen Kopie, die er nicht unterscheiden kann. Die Tatsache, dass alle Sektoren der Zielfestplatte vorab gelöscht sind, muss im Protokoll aufgezeichnet werden.

Es sollte beachtet werden, dass nicht alle Programme, die für die "Datenträgerbereinigung" vorgesehen sind, ihre Funktion korrekt ausführen. Ganz zu schweigen von den Fehlern und Fehlern im Programm. Ein solches Programm unterstützt das aktuelle Dateisystem möglicherweise nicht (oder nicht ganz richtig). Programme, die unter dem Betriebssystem „Windows“ ausgeführt werden, erhalten auf Anforderung des Betriebssystems oder Treibers möglicherweise keinen Zugriff auf bestimmte Bereiche der Festplatte. Es kommt vor, dass das Betriebssystem Aufrufe an einige Sektoren der Festplatte an andere Sektoren umleitet. Daher wird die Disc nicht vollständig gereinigt. Für die dauerhafte Verwendung auf Ihrem Computer, um beispielsweise den Datenschutz zu gewährleisten, ist dies kein Problem. Für die "Sterilisation" der Platte, die Informationen für spätere Forschungen kopieren soll, ist dies jedoch nicht akzeptabel. Für eine vollständige Reinigung sollten Sie Programme unter DOS oder UNIX verwenden.

Wenn die Festplatten nach dem Schema "Festplatte in Datei" kopiert werden, ist es nicht erforderlich, die Zielfestplatte vorab zu reinigen.

Zu dem gleichen Zweck - um eine mögliche "Nicht-Sterilität" das Ziellaufwerk sicherzustellen, ist es hilfreich, beim Kopieren die Hash-Funktionen oder Prüfsummen der kopierten Sektoren (Gruppen von Sektoren) zu berechnen und sie in das Protokoll einzutragen. In Zukunft kann der Experte den Wert dieser Funktionen für die untersuchte Kopie neu berechnen und sich so von deren Genauigkeit überzeugen.

Suchtaktiken

Wenn die erforderlichen Nachweise auf Computermedien enthalten sein können, sollte die Suche gemäß den nachstehenden Regeln durchgeführt werden, um die Rechtmäßigkeit und Beweiskraft sicherzustellen.
Computerspeichermedien umfassen entfernbare und nicht entfernbare Magnetplatten, CDs (CDs), DVDs, Flash-Laufwerke, optische Platten, Magnetkarten, digitale Kassetten und einige andere. Solche Medien können in PCs, Servern, Kommunikationsgeräten, Handheld-Computern (PDAs), Kommunikatoren, Smartphones, Mobiltelefonen, Digitalkameras und Videokameras, Musikabspielgeräten und anderen ähnlichen Technologien enthalten sein - alle derartigen Geräte mit eingebauten Medien werden vollständig entfernt.

Andere Arten von Geräten enthalten keine computerlesbaren Medien. Daher ist es nicht erforderlich, sie zurückzuziehen oder zu untersuchen. Dies sind: Drucker, Scanner, Faxgeräte sowie Tastaturen, Monitore, Mäuse, Joysticks, Lautsprecher. Es sei daran erinnert, dass sich die Technologie rasch weiterentwickelt und die dem Benutzer zur Verfügung stehenden Medien möglicherweise morgen als Teil solcher Geräte erscheinen, auf denen sie heute noch nicht vorhanden sind. Es sei beispielsweise daran erinnert, dass der Audioplayer im Jahr 2000 nicht als Träger von Computerinformationen betrachtet werden sollte und dass fast alle Audioplayer (MP3-Player) auch tragbare Speichergeräte für den Benutzer sind. In naher Zukunft planen die Hersteller, alle Haushaltsgeräte mit eingebauten Computern auszustatten - Kühlschränke, Klimaanlagen, Kaffeemaschinen, Waschmaschinen usw. Ein Computer als Teil von Haushaltsgeräten umfasst wahrscheinlich eingebettete oder austauschbare Medien und eine Netzwerkschnittstelle für den Fernzugriff.

Zunächst werden also die Grundprinzipien für den Umgang mit Informationsträgern und Computergeräten während einer Suche erläutert. Anschließend werden die Regeln für die Durchführung einer Suche in Gegenwart solcher Geräte detaillierter beschrieben.