Mit IT-Forensik-Tools Datendieben auf der Spur

Trotz umfangreicher Schutzmaßnahmen der Unternehmen gelangen sensible Firmen- und Kundeninformationen oftmals illegal ins Internet oder – weitaus gefährlicher – geheime Forschungsunterlagen in die Hände der Konkurrenz. Die Konsequenzen sind weitreichend und vor allem teuer. Die Unternehmenskommunikation kümmert sich in solchen Fällen um die Schadensbegrenzung, die Rechtsabteilung begleitet die Ermittlungen der Staatsanwaltschaft und die IT-Forensik sichert und verfolgt digitale Spuren, um die Täter zu identifizieren.

Dabei sind den Spezialisten der IT-Forensik häufig schnell die ­Hände gebunden: aufgrund gesetzlicher Vorgaben und Regularien oder auch durch das firmeninterne Compliance-Management. Denn dieses gibt die Rahmenparameter vor, in denen sich die Forensiker bewegen dürfen. Doch welche Lösungen bietet der Markt überhaupt, um Datendieben wirkungsvoll das Handwerk zu legen? Und ist es nicht effizienter, im Schadensfall auf externe Experten zurückzugreifen, anstatt kostenintensive Spezialsoftware anzuschaffen?

Forensische Duplikate erstellen

Ist der Schadensfall eingetreten, gilt es für die IT-Forensik, ohne größeren Zeitverlust sämtliche kritischen Daten sicherzustellen. Hierbei werden beispielsweise Datenträger sowie alle relevanten Protokolle des Netzverkehrs gesichert und analysiert. Die übliche Vorgehensweise bei der Analyse von Datenträgern sieht die Erstellung eines forensischen Duplikats vor. Trotz der Kenntnis um die Vergänglichkeit der einzelnen Spuren wird diesem Kriterium in praxi häufig nicht in notwendigem Umfang Rechnung getragen. Einige Verfahrensvorgaben für forensische Untersuchungen sehen als ersten Schritt das ­Ziehen des Netzsteckers und den Ausbau der Festplatten vor, woraufhin diese auf mitgebrachte Sicherungsplatten 1:1 dupliziert werden. Dadurch wird aber eine Unter­suchung des Arbeitsspeicherinhaltes bzw. von volatilen Daten unmöglich.

Darüber hinaus gefährdet dieser Vorgang bei einigen Dateisystemen die Sicherheit auf den Festplatten, da moderne Datei­systeme viele relevante Daten im Speicher halten, die verlorengehen können. Wird der Netzstecker gezogen, verschließt sich diese Handlungsoption. Hinzu kommt, dass bei einem abgeschalteten Computer alle Daten durch eine starke Festplattenverschlüsselung geschützt sein könnten. Unabhängig von den einzelnen Charakteristika eines Vorfalls gibt es keine allgemein­gültige Vorgehensweise, die auf alle Analysen übertragbar ist. Bei jeder Untersuchung gilt es daher aufs Neue zu entscheiden, ob Post-­Mortem- oder Live-Analyse die ­gewünschten Resultate erzielen wird.

Der Handwerkskasten: IT-Forensik-Tools

Um Sicherheitsvorfälle bereits im Vorfeld zu vermeiden, können Softwaretools etwaige Lücken im Sicherheitsnetz wirkungsvoll evaluieren – nicht zuletzt zur Prävention bzw. zur Feststellung des aktuellen Schutzniveaus. Ist ein Sicherheitsvorfall bereits eingetreten und wird ein IT-Forensiker mit einer fachlichen Analyse betraut, existiert ebenfalls eine umfangreiche Auswahl an Tools. Zu den bekanntesten Systemen zählen das „FKT – Forensik Toolkit“ von Accessdata, „Encase“ von Guidance Software oder „X-Ways Forensic“ von X-Ways Software Technologies. Ersteres bietet ein komplettes Examinierungs-Toolkit, das sich aufgrund flexibel anpassbarer Filter gut für die Analyse einer hohen Datenmenge sowie für E-Mail-Dateien eignet.

„Encase“ verfügt hingegen über eine sogenannte De-Nisting-Funktion: Durch die National Software Reference Library (NSRL) wird eine Vielzahl von bekannten und originalen Dateien ausgeschlossen. Einen weiteren Nutzen bietet die mögliche Integration von „Pass­ware Kit Forensic“. Diese Lösung bietet die Decodierung vieler verschlüsselter Dateitypen, wie beispielsweise „Truecryptcontainer“. Der bislang einzige deutsche Hersteller im Bereich Computer-Forensik-Software ist X-Ways Software Technologies. Dessen Tool zeigt eine gute Performance in der Analyse von Schlupfspeichern (Slackspace). Das Programm ermöglicht zudem eine hohe
Geschwindigkeit und einen geringen Ressourcenhunger.

Nicht zuletzt sind es in einer zunehmend mobilen Welt insbesondere Tablet-PCs und Smartphones, die die Datendiebe ins Visier nehmen. Auch hier können IT-Forensiker inzwischen auf diverse Tools zurückgreifen: „UFED – Universal Forensic Extraction Device“ von Cellebrite dient der Auswertung von mobilen Geräten und bietet in der Ultimate-Version auch die physikalische Analyse von Speichermedien. Ebenfalls mit UFED ist das sogenannte SIM ID Cloning möglich. Insgesamt werden aktuell rund 10.000 verschiedene Geräteprofile unterstützt, aufgeteilt in die Kategorien Logische-, Physikalische-, Dateisystem- und Kennwort-Extraktion.

Basis für eine effektive IT-Forensik:

•   Ein funktionierender und geprüfter Incident-Management-Prozess, der auch eine mögliche forensische Analyse berücksichtigt
•   Die richtigen Tools für die richtigen Aufgaben
•   Fachlich entsprechend ausgebildetes und geschultes Personal
•   Ein stringenter Prozess zur ­IT-Forensik bei der hausinternen Analyse
•   Eine belastbare Dokumentation der Beweismittelkette sowie der gesamten forensischen Beweismittelaufnahme und Analyse

Quelle: Accessec GmbH

Bildquelle: Thinkstock/iStock