Deutsch
Menü

Cyberangriffe und Abwehr in der Praxis

Auf einem Server, auf dem sich ein Sicherheitsvorfall ereignet hat, werden Beweise für die Untersuchung gesammelt. Welche Reihenfolge entspricht am besten dem Grundsatz, Beweise in der Reihenfolge zu sammeln, in der sie verloren gehen können (von hoher zu niedriger Flüchtigkeit)?

  1. AArbeitsspeicherinhalt und aktueller Zustand der Netzwerkverbindungen → Festplatteninhalt → extern aufbewahrte Backups und Archive
  2. BExtern aufbewahrte Backups und Archive → Festplatteninhalt → Arbeitsspeicherinhalt und aktueller Zustand der Netzwerkverbindungen
  3. CFestplatteninhalt → nach dem Ausschalten Arbeitsspeicherinhalt und aktueller Zustand der Netzwerkverbindungen → extern aufbewahrte Backups
Antwort und Erläuterung anzeigen

Antwort: A. Arbeitsspeicherinhalt und aktueller Zustand der Netzwerkverbindungen → Festplatteninhalt → extern aufbewahrte Backups und Archive

RFC 3227 (2002), ein Leitfaden für das Sammeln von Beweisen in der digitalen Forensik, empfiehlt, mit dem Flüchtigsten zu beginnen. CPU-Register und Caches, Arbeitsspeicherinhalt, laufende Prozesse und der Zustand der Netzwerkverbindungen gehen mit der Zeit oder beim Ausschalten verloren und werden daher zuerst gesammelt. Im Arbeitsspeicher können Malware, die nicht auf der Festplatte liegt, oder Informationen in entschlüsseltem Zustand vorhanden sein. Der Festplatteninhalt wird danach kopiert und untersucht; extern aufbewahrte Backups und Archive ändern sich kaum und können zuletzt kommen.

Dieses Thema üben Zur Themenseite

Weitere Fragen zu Cyberangriffe und Abwehr in der Praxis

  1. Bei der Untersuchung eines Sicherheitsvorfalls sollen Beweise wie Festplattenkopien so behandelt werden, dass sie später auch vor Gericht oder für eine Strafanzeige verwendet werden können. Welcher Umgang entspricht am besten dem Grundsatz der lückenlosen Beweismittelkette (Chain of Custody)?
  2. Welche Aussage über die in der Bedrohungserkennung verwendeten Begriffe IoC (Indicator of Compromise) und IoA (Indicator of Attack) ist richtig?
  3. Welche Aussage beschreibt den Unterschied zwischen den Rollen eines CSIRT und eines PSIRT innerhalb einer Organisation richtig?
  4. Bei der Untersuchung eines Eindringens werden die Logs zweier Server abgeglichen. Die Logs des Webservers sind in koordinierter Weltzeit (UTC) aufgezeichnet, und seine Uhr war per NTP korrekt gestellt. Die Logs des Dateiservers sind in japanischer Zeit (UTC+9 Stunden) aufgezeichnet, und seine Uhr ging gegenüber der richtigen Zeit 4 Minuten vor. Im Log des Webservers ist eine verdächtige Anmeldung um 01:52 (UTC) verzeichnet, im Log des Dateiservers das Auslesen sehr vieler Dateien um 10:58 (japanische Zeit). Wie viele Minuten nach der verdächtigen Anmeldung fand das Auslesen der Dateien tatsächlich statt?
  5. In derselben Woche wurden Korrekturen für drei Schwachstellen veröffentlicht. Der Betriebsverantwortliche kann nur eine Korrektur pro Tag einspielen. Welche Kombination aus der zuerst zu behebenden Schwachstelle und dem Grund ist am besten geeignet?