Tool-Tipp: Forensische Analyse von Datenträgern

Mit dem Open-Source-Forensik-Tool „The Sleuth Kit“ und dem HTML-Frontend „Autopsy“ lassen sich externe und interne Datenträger forensisch analysieren. Das Tool unterstützt die wichtigsten Dateiformate und kann gelöschte Dateien wiederherstellen. Es dient allerdings weniger der Datenrettung, sondern vor allem der forensischen Analyse.

Anbieter zum Thema

Axivion GmbH

Parasoft® Deutschland GmbH

RTI Real-Time Innovations

The Sleuth Kit gehört zu den bekanntesten Tools zur forensischen Analyse von Datenträgern. Das Tool unterstützt unter anderem die Dateisysteme NTFS, FAT, Ext2, Ext3, UFS1 und UFS2. Als Webfrontend für The Sleuth Kit wird Autopsy verwendet. Neben der forensischen Analyse lassen sich die gefundenen Dateien auch wiederherstellen. Zwar ist das Tool vor allem in Linux-Kreisen bekannt, steht aber auch als Windows-Version zur Verfügung.

Neben herkömmlichen Datenträgern lassen sich mit The Sleuth Kit auch externe Datenträger und USB-Sticks sowie SD-Karten untersuchen. Auch gelöschte Dateien auf Smartphones und Tablets lassen sich regenerieren, genauso wie Daten von virtuellen Festplatten und virtuellen Computern. Auf der Internetseite der Entwickler stehen The Sleuth Kith und Autopsy über verschiedene Download-Seiten zur Verfügung. Es handelt sich bei The Sleuth Kit und Autopsy um verschiedene Programme, die jedoch gemeinsam eingesetzt werden können. Während Autopsy eine grafische Oberfläche besitzt, besteht The Sleuth Kit vor allem aus Befehlszeilentools.

Bildergalerie

Bildergalerie mit 13 Bildern

Zunächst muss Autopsy auf den eigenen Rechner installiert werden. Der Download hat etwa eine Größe von 483 MB. Die Einstellungen von Autopsy können jederzeit über „Tools\Options“ angepasst werden. Die Standardeinstellungen reichen in der Regel zum Herstellern von Dateien aus.

Mit Autopsy Dateien finden

Am einfachsten und schnellsten lassen sich Dateien mit Autopsy wiederherstellen. The Sleuth Kit bietet zwar viele Möglichkeiten, allerdings ist die Bedienung per Befehlszeile recht umständlich. Nach dem Start wird zunächst ein neuer Fall (Case) erstellt. Dieser enthält alle notwendigen Einstellungen für eine Untersuchung. Dazu gehört der zu untersuchende Bereich und das Verzeichnis, in dem Autospy die notwendigen Daten zur Wiederherstellung speichert. Um alle Dateien zu finden, sollte Autopsy möglichst mit Administrator-Rechten gestartet werden. Sicherheitsfunktionen, wie der neue überwachte Ordnerzugriff in Windows 10 Version 1709 muss entweder deaktiviert oder entsprechend angepasst werden, damit Autopsy Zugriff auf die Daten erhält.

Beim Erstellen wird das Verzeichnis festgelegt, in dem Autopsy seine Datenbank ablegt und Dateien, die wiederhergestellt werden sollen. Es handelt sich bei diesem Verzeichnis nicht um das Verzeichnis aus dem Daten wiederhergestellt werden sollen. Dieses wird erst danach im Assistenten über „Select Typ of Data Source to Add“ und dann mit „Select Data Source“ ausgewählt. Anschließend wir die Datenquelle noch genauer spezifiziert. Dazu gehört auch die Auswahl der Module, mit denen Autospy den Datenträger untersuchen soll. Gelöschte E-Mails lassen sich dadurch genauso untersuchen, wie Favoriten und viele andere Daten.

Mit Autopsy Daten wiederherstellen

Sobald alle Daten eingegeben wurden, kann über den Case die Datenquelle durchsucht werden. Anschließend zeigt Autopsy die entsprechenden Daten an Diese werden über die Baumstruktur auf der rechten Seite übersichtlich sortiert. Mit wenigen Mausklicks kann hier also angezeigt werden, welche Dateien auf dem Rechner gelöscht wurden und wiederherstellbar sind. Mit der Schaltfläche „Timeline“ können der Löschzeitpunkt der Daten sowie weitere Informationen angezeigt werden. Hier kann der untersuchende Anwender genau feststellen wann Daten gelöscht wurden, und wie das Löschen zusammenhängt. Gelöschte Daten lassen sich aber auch ohne „Timeline“ über das Kontextmenü exportieren und wiederherstellen.

Über die Schaltfläche „View Images/Videos“ können die gefundenen Multimediadateien betrachtet und auf Wunsch auch wiederhergestellt werden. Ein umfassender Bericht der Wiederherstellung steht über „Generate Report“ bereit. Der Bericht kann als Excel-Tabelle gespeichert werden, aber auch als HTML-Dokument. Berichte werden, wie alle Daten eines Falls, im Verzeichnis gespeichert, das dem Fall zugeordnet wurde.

Wie man mit The Sleuth Kit und Autopsy gelöschte Daten zur forensischen Datensicherung finden und wiederherstellen kann, zeigen wir im Tool-Tipp-Video und in der Bildergalerie zu diesem Artikel.

Dieser Beitrag stammt von unserem Partnerportal Security-Insider.

(ID:45305780)