Deutsch
Menü

Cyberangriffe und Abwehr in der Praxis

Bei der Untersuchung eines Sicherheitsvorfalls sollen Beweise wie Festplattenkopien so behandelt werden, dass sie später auch vor Gericht oder für eine Strafanzeige verwendet werden können. Welcher Umgang entspricht am besten dem Grundsatz der lückenlosen Beweismittelkette (Chain of Custody)?

  1. AUm die Untersuchung zu beschleunigen, wird die Originalfestplatte direkt geöffnet und untersucht; Erkenntnisse werden nicht aufgezeichnet, sondern von der zuständigen Person im Kopf behalten
  2. BNach dem Anlegen einer Kopie wird die Originalfestplatte nicht mehr gebraucht; sie wird sofort initialisiert und zur Kostensenkung in einem anderen Arbeitsgerät wiederverwendet
  3. CDie Originalfestplatte wird über ein Gerät kopiert, das Schreibzugriffe verhindert, und Hashwerte sowie wer sie wann erhalten und was damit getan hat, werden aufgezeichnet
Antwort und Erläuterung anzeigen

Antwort: C. Die Originalfestplatte wird über ein Gerät kopiert, das Schreibzugriffe verhindert, und Hashwerte sowie wer sie wann erhalten und was damit getan hat, werden aufgezeichnet

Damit Beweise etwa vor Gericht als glaubwürdig gelten, muss gezeigt werden können, dass sie zwischen Sicherung und Vorlage weder manipuliert noch ausgetauscht wurden. Deshalb wird auf das Originalmedium nur über ein Gerät zugegriffen, das Schreibzugriffe verhindert (Write Blocker), eine bitgenaue Kopie angelegt und festgehalten, dass die Hashwerte (etwa SHA-256) von Original und Kopie übereinstimmen. Untersucht wird die Kopie; das Originalmedium wird versiegelt aufbewahrt, und bei jeder Übergabe werden Datum und Uhrzeit, zuständige Person und Zweck festgehalten. Reißt diese Aufzeichnung ab, wird die Glaubwürdigkeit der Beweise angezweifelt.

Dieses Thema üben Zur Themenseite

Weitere Fragen zu Cyberangriffe und Abwehr in der Praxis

  1. Welche Aussage über die in der Bedrohungserkennung verwendeten Begriffe IoC (Indicator of Compromise) und IoA (Indicator of Attack) ist richtig?
  2. Welche Aussage beschreibt den Unterschied zwischen den Rollen eines CSIRT und eines PSIRT innerhalb einer Organisation richtig?
  3. Bei der Untersuchung eines Eindringens werden die Logs zweier Server abgeglichen. Die Logs des Webservers sind in koordinierter Weltzeit (UTC) aufgezeichnet, und seine Uhr war per NTP korrekt gestellt. Die Logs des Dateiservers sind in japanischer Zeit (UTC+9 Stunden) aufgezeichnet, und seine Uhr ging gegenüber der richtigen Zeit 4 Minuten vor. Im Log des Webservers ist eine verdächtige Anmeldung um 01:52 (UTC) verzeichnet, im Log des Dateiservers das Auslesen sehr vieler Dateien um 10:58 (japanische Zeit). Wie viele Minuten nach der verdächtigen Anmeldung fand das Auslesen der Dateien tatsächlich statt?
  4. In derselben Woche wurden Korrekturen für drei Schwachstellen veröffentlicht. Der Betriebsverantwortliche kann nur eine Korrektur pro Tag einspielen. Welche Kombination aus der zuerst zu behebenden Schwachstelle und dem Grund ist am besten geeignet?
  5. Welche Aussage beschreibt den Unterschied zwischen Schwachstellenscan, Penetrationstest und Red-Team-Übung als Methoden zur Überprüfung der Abwehr einer Organisation richtig?