Deutsch
Menü

Was ist Digitale Forensik?

Techniken und Verfahren, mit denen für die Untersuchung von Sicherheitsvorfällen oder Straftaten beweiserhebliche Daten aus Computern und Netzwerkgeräten gesammelt und unter Wahrung ihrer Unverfälschtheit analysiert werden, um aufzuklären, was geschehen ist. Grundlegend ist, mit dem Flüchtigsten (Arbeitsspeicherinhalt, Zustand der Netzwerkverbindungen usw.) zu beginnen, das Originalmedium schreibgeschützt zu kopieren, die Übereinstimmung mit Hashwerten zu prüfen und jede Übergabe der Beweise festzuhalten (Chain of Custody).

Japanische Bezeichnung: デジタルフォレンジック

„Digitale Forensik“ kommt in 1 Übungsfragen aus 1 Themen vor, z. B. Cyberangriffe und Abwehr in der Praxis.

Fachgebiet: Cyberangriffe und Abwehr in der Praxis

Jetzt üben: Fragen zu Digitale Forensik

Auf einem Server, auf dem sich ein Sicherheitsvorfall ereignet hat, werden Beweise für die Untersuchung gesammelt. Welche Reihenfolge entspricht am besten dem Grundsatz, Beweise in der Reihenfolge zu sammeln, in der sie verloren gehen können (von hoher zu niedriger Flüchtigkeit)?

  1. AArbeitsspeicherinhalt und aktueller Zustand der Netzwerkverbindungen → Festplatteninhalt → extern aufbewahrte Backups und Archive
  2. BExtern aufbewahrte Backups und Archive → Festplatteninhalt → Arbeitsspeicherinhalt und aktueller Zustand der Netzwerkverbindungen
  3. CFestplatteninhalt → nach dem Ausschalten Arbeitsspeicherinhalt und aktueller Zustand der Netzwerkverbindungen → extern aufbewahrte Backups
Antwort und Erläuterung anzeigen

Antwort: A. Arbeitsspeicherinhalt und aktueller Zustand der Netzwerkverbindungen → Festplatteninhalt → extern aufbewahrte Backups und Archive

RFC 3227 (2002), ein Leitfaden für das Sammeln von Beweisen in der digitalen Forensik, empfiehlt, mit dem Flüchtigsten zu beginnen. CPU-Register und Caches, Arbeitsspeicherinhalt, laufende Prozesse und der Zustand der Netzwerkverbindungen gehen mit der Zeit oder beim Ausschalten verloren und werden daher zuerst gesammelt. Im Arbeitsspeicher können Malware, die nicht auf der Festplatte liegt, oder Informationen in entschlüsseltem Zustand vorhanden sein. Der Festplatteninhalt wird danach kopiert und untersucht; extern aufbewahrte Backups und Archive ändern sich kaum und können zuletzt kommen.

„Digitale Forensik“ in den Erläuterungen

Fragen mit „Digitale Forensik“ (1)

  1. Auf einem Server, auf dem sich ein Sicherheitsvorfall ereignet hat, werden Beweise für die Untersuchung gesammelt. Welche Reihenfolge entspricht am besten dem Grundsatz, Beweise in der Reihenfolge zu sammeln, in der sie verloren gehen können (von hoher zu niedriger Flüchtigkeit)?

Verwandte Begriffe

Cyber Kill Chain EDR (Endpoint Detection and Response) Incident Response Intrusion Detection System (IDS) IoC (Indicator of Compromise) Lateral Movement Lieferkettenangriff (Supply-Chain-Angriff) MITRE ATT&CK Penetrationstest SBOM (Software Bill of Materials)

Zur Glossarübersicht