26.03.2013 Forensic Toolkit von Access Data

Cyber-Kriminellen auf der Spur

Von: Olaf Heckmann

 Für die gerichtsfeste Analyse von Datenträgern hat Access Data die digitale Investigationsplattform Forensic Toolkit (FTK) entwickelt. Damit sollen sich Vorgänge überprüfen sowie digitale Spuren in IT-Systemen ermitteln und auswerten lassen.

Das neue Toolkit sei laut Anbieter speziell für die Belange von Unternehmen sowie von Anwaltskanzleien oder Regierungsbehörden wie Finanzämtern und Steuerfahndung konzipiert. Kombiniert in einer einzigen Plattform, soll die Plattform u.a. eine intuitive Benutzeroberfläche, E-Mail-Analyse sowie Entschlüsselungsfunktionen bieten. Bei Bedarf lassen sich das Anti-Malware-Modul Cerberus sowie das grafische Darstellungsmodul Visualization ergänzen, heißt es in einer Pressemitteilung.  Desweiteren lassen sich mittels FTK Festplatten-Images erstellen, Datei- und Archivtypen untersuchen sowie die Registry analysieren. Außerdem sei es möglich, eine Investigation durchzuführen, Dateien zu entschlüsseln, Passwörter zu knacken und einen Report über alle erfolgten Aktivitäten zu erstellen.

Die neue Lösung arbeitet datenbankbasiert, wobei die Datensätze von den FTK-Komponenten getrennt gehalten werden. Sollte die Oberfläche geschlossen werden oder abstürzen, soll diese Trennung verhindern, dass Ermittlungsergebnisse verlorengehen. Das FTK ist x509-zertifiziert und stellt eine FIPS 140-2-zertifizierte SSL-Verschlüsselungs-Engine bereit. Daneben unterstützt die Plattform die Methoden Credant, Safeboot, Utimaco, EFS, PGP, Guardian Edge, Sophos Enterprise und S/Mime.  

Agent stellt Remote-Untersuchung sicher 

Ein Bestandteil des FTK ist die überdies die Remote-Analyse. Dazu richten die Analysten einen permanenten oder reversiblen Agenten auf dem zu durchsuchenden Computer ein, über den sie Fernanalysen sowie „Incident Response Capabilities“ durchführen können. Nach Bedarf kann der Client auch auf einen anderen Computer verschoben werden, um Multi-Machine-Analysen durchzuführen. Ob Apple-, Unix- oder Linux-Betriebssystem: Mittels des Client lässt sich gemäß Herstellerangaben eine Vorschau anzeigen sowie Daten von der Festplatte, Peripheriegeräten und dem Memory-Speicher erfassen und untersuchen.

Nicht zuletzt sollen sich bei der E-Mail-Analyse mittels dem Toolkoit u.a. folgende Typen bearbeiten lassen: Notes NSF, Outlook PST/OST, Exchange EDB oder Outlook Express DBX. Darüber hinaus stellt die Forensikplattform spezielle Analysefunktionen für Mac-Computer bereit, wie z.B. einen Plist-Support, JSON-Datei-Support sowie Apple DMG und DD_DMG Disk Image Support.