Forensische Abbilder und Schreibschutz

Das Erstellen eines Laufwerksabbilds ist Routinearbeit, und gerade in der Routine verbergen sich Fehler: das falsche Format, ein nie getesteter Schreibblocker, ein defekter Sektor, den niemand dokumentiert hat. Im Folgenden werden die gebräuchlichen Formate, Schreibblocker, Werkzeugtests, ein schrittweiser Arbeitsablauf und die häufigsten Probleme behandelt. Die sichere Speicherung von Abbildern wird in Modul 5 behandelt.

Abbildformate

Ein forensisches Abbild ist eine Datei oder eine Gruppe von Dateien, die eine Bitstromkopie einer Quelle enthält.

Rohformat (dd)

Ein Abbild im Rohformat, häufig als dd-Abbild bezeichnet, nach dem Unix-Befehl dd, der üblicherweise zu seiner Erstellung verwendet wird, enthält die exakten Bytes der Quelle und sonst nichts. Fast jedes Werkzeug kann es lesen, und es lässt sich in nummerierte Segmente (.001, .002) aufteilen. Da es keinen Header enthält, werden Falldetails und Hashwerte separat in Protokollen und Notizen festgehalten.

Expert Witness Format (E01)

Das Expert Witness Format (EWF), bekannt unter seiner Dateierweiterung E01, stammt aus einem kommerziellen Forensikwerkzeug und wird mittlerweile von den meisten forensischen Softwareprodukten unterstützt. Ein E01-Abbild speichert die Quelldaten, optional komprimiert, zusammen mit Fallmetadaten wie Fallnummer, Prüfer und Beschreibung, Prüfsummen für jeden Datenblock zur Lokalisierung von Beschädigungen sowie einem Hashwert der erfassten Daten. Große Abbilder werden in Segmente mit den Namen .E01, .E02 und so weiter aufgeteilt.

Der in einem E01 gespeicherte Hashwert ist der Hashwert der Quelldaten, nicht der .E01-Datei. Wenn Sie den Hashwert der .E01-Datei selbst mit einem allgemeinen Dienstprogramm berechnen, erhalten Sie einen anderen Wert. Das ist zu erwarten und kein Anzeichen für eine Manipulation. Werkzeuge verifizieren ein E01, indem sie die Daten aus dem Container auslesen und deren Hashwert mit dem gespeicherten Wert vergleichen.

AFF4

AFF4 (Advanced Forensic Format 4) ist ein offenes Format für sehr große Abbilder, das mehrere Datenströme, etwa ein Laufwerksabbild und ein Arbeitsspeicherabbild, zusammen mit ihren Metadaten in einem Container aufnehmen kann.

Schreibblocker

Ein Schreibblocker ermöglicht es einem Prüfer, ein Speichergerät zu lesen, und verhindert gleichzeitig jegliche Schreibzugriffe darauf. Ohne einen Schreibblocker kann bereits das Anschließen eines Laufwerks an einen Computer Veränderungen bewirken: Betriebssysteme können dessen Volumes einbinden, Dateisystemjournale nachführen oder Systemdateien darauf erstellen.

• Hardware-Schreibblocker werden physisch zwischen dem Quelllaufwerk und der forensischen Arbeitsstation angeschlossen. Sie leiten Lesebefehle an das Laufwerk weiter und blockieren Schreibbefehle, unabhängig vom Betriebssystem der Arbeitsstation. Es gibt Modelle für gängige Schnittstellen wie SATA, SAS, NVMe und USB.
• Software-Schreibblocker arbeiten innerhalb des Betriebssystems, als Treiber oder Einstellung, die Schreibzugriffe auf ausgewählte Geräte verweigert, oder als forensische Bootumgebung, die Laufwerke niemals mit Schreibzugriff einbindet. Sie sind kostengünstig, hängen aber davon ab, dass sich das Betriebssystem und seine Konfiguration genau wie erwartet verhalten.

Ein Schreibblocker kontrolliert die Befehle, die vom Computer kommen. Er kontrolliert nicht, was innerhalb des Laufwerks geschieht: Der Controller einer SSD kann weiterhin durch TRIM (Modul 1) markierte Blöcke löschen, solange die SSD mit Strom versorgt wird, und Laufwerke aktualisieren interne Zähler wie die Betriebsstunden. Ein Schreibblocker schützt außerdem nur das Gerät, das über ihn angeschlossen ist, und ein einfacher USB-zu-SATA-Adapter ist kein Schreibblocker, auch wenn er ähnlich aussieht.

Werkzeuge testen und Ihren Aufbau validieren

Prüfer müssen nachweisen können, dass ihr Schreibblocker und ihr Werkzeug zur Abbilderstellung wie angegeben funktionieren. Zwei Arten von Nachweisen unterstützen dies.

• Unabhängige Tests: Das Programm Computer Forensics Tool Testing (CFTT) des NIST veröffentlicht Spezifikationen für Werkzeugkategorien, darunter Hardware- und Software-Schreibblocker sowie Werkzeuge zur Erstellung von Laufwerksabbildern, und Testberichte zu bestimmten Produkten und Versionen einschließlich aller festgestellten Auffälligkeiten.
• Eigene Validierung: ISO/IEC 27041 sieht vor, dass Methoden und Werkzeuge für ihren vorgesehenen Einsatz validiert werden. Eine einfache Prüfung: Berechnen Sie den Hashwert eines Testlaufwerks, schließen Sie es über den Schreibblocker an, versuchen Sie, es einzubinden und darauf zu schreiben, und berechnen Sie anschließend erneut seinen Hashwert; die Werte müssen übereinstimmen. Wiederholen Sie dies nach Firmware- oder Softwareaktualisierungen und bewahren Sie die Aufzeichnungen auf. Auch SWGDE veröffentlicht Leitlinien für Validierungstests.

Ein CFTT-Bericht zu einer anderen Firmwareversion oder eine vor Jahren auf anderer Hardware durchgeführte Validierung ist ein schwächerer Nachweis als eine aktuelle Prüfung genau des verwendeten Aufbaus.

Der Ablauf der Abbilderstellung

1. Dokumentieren Sie die Quelle. Fotografieren Sie das Laufwerk und sein Etikett; erfassen Sie Hersteller, Modell, Seriennummer, Kapazität, Schnittstelle und das Gerät, aus dem es stammt.
2. Bereiten Sie das Ziel vor. Verwenden Sie neue oder forensisch gelöschte Datenträger mit ausreichend Speicherplatz, die vor der Verwendung geprüft wurden, damit alte Daten nicht mit Beweismitteln verwechselt werden können. Erfassen Sie auch deren Identität.
3. Schließen Sie die Quelle über den Schreibblocker an. Verbinden Sie die Quelle mit dem Schreibblocker und den Schreibblocker mit der Arbeitsstation. Beachten Sie dabei die Anweisungen des Schreibblockers zur Stromversorgung des Laufwerks.
4. Überprüfen Sie die Schreibblockierung. Vergewissern Sie sich, dass der Schreibblocker Schreibschutz anzeigt und die Arbeitsstation das Laufwerk als schreibgeschützt erkennt; prüfen Sie, ob die gemeldete Kapazität Ihrer Erwartung entspricht.
5. Erstellen Sie das Abbild. Wählen Sie Format, Segmentgröße, Komprimierung und Hashalgorithmen, geben Sie die Falldetails ein und erstellen Sie ein Abbild des gesamten Geräts.
6. Berechnen Sie den Hashwert und verifizieren Sie das Abbild. Erfassen Sie den bei der Erfassung berechneten Hashwert, verifizieren Sie anschließend das Abbild und vergleichen Sie die Werte.
7. Dokumentieren Sie den Vorgang. Bewahren Sie das Protokoll des Werkzeugs auf; notieren Sie Werkzeug und Version, Start- und Endzeit, Fehler sowie abschließende Hashwerte; aktualisieren Sie die Beweismittelkette (Modul 5).

Werkzeuge als Beispiele

Die Methode ist wichtiger als das Produkt. Zu den kostenlosen Beispielen zählen FTK Imager (ein kostenloses Windows-Werkzeug eines kommerziellen Anbieters), Guymager (ein quelloffenes Linux-Werkzeug mit grafischer Oberfläche), ewfacquire (Teil der quelloffenen Bibliothek libewf, das E01-Abbilder erstellt) und dc3dd (eine für den forensischen Einsatz angepasste Version von dd, die während des Kopierens Hashwerte berechnet und Fehler protokolliert). Erfassen Sie den Namen und die Version des Werkzeugs.

Häufige Probleme

• Defekte Sektoren. Werkzeuge zur Abbilderstellung versuchen wiederholt, beschädigte Bereiche zu lesen, füllen dann üblicherweise unlesbare Sektoren mit Nullen und protokollieren deren Position. Ein später berechneter Hashwert der Quelle kann abweichen. Geben Sie an, wie viele Sektoren nicht gelesen werden konnten.
• Verborgene Bereiche. Die Host Protected Area (HPA) und das Device Configuration Overlay (DCO) sind Funktionen von ATA-Laufwerken, die einen Teil des Datenträgers für das Betriebssystem unsichtbar machen können. Vergleichen Sie die native Kapazität des Laufwerks mit der gemeldeten Kapazität; der Zugriff auf einen verborgenen Bereich kann eine Änderung der Laufwerkskonfiguration erfordern, die dokumentiert werden muss.
• Verschlüsselte Laufwerke. Ein physisches Abbild eines verschlüsselten Laufwerks ist gültig, aber ohne Passwort oder Wiederherstellungsschlüssel nicht lesbar. Suchen Sie vor dem Herunterfahren nach Schlüsseln (Lektion 4.1), erfassen Sie alle im Rahmen einer Autorisierung bereitgestellten Wiederherstellungsschlüssel und ziehen Sie ein logisches Abbild des entsperrten Volumes auf einem laufenden System in Betracht. Selbstverschlüsselnde Laufwerke verschlüsseln in Hardware; wenn ein Passwort festgelegt ist, sperren sie sich bei einer Unterbrechung der Stromversorgung selbst und geben ohne dieses Passwort keine lesbaren Benutzerdaten aus.
• Nicht entnehmbare Speicher. Bei vielen aktuellen Laptops ist der Speicher auf der Hauptplatine verlötet und durch die Hardware verschlüsselt, sodass ein Ausbau des Laufwerks zur Abbilderstellung im ausgeschalteten Zustand unmöglich ist. Prüfer sind dann auf die geräteeigenen Schnittstellen, spezielle Startmodi oder eine Live-Erfassung und eine logische Erfassung angewiesen.

Prüfungsschwerpunkt: Vergleichen Sie Abbilder im Rohformat (dd), E01 und AFF4, und denken Sie daran, dass der in einem E01 gespeicherte Hashwert die erfassten Daten abdeckt, nicht die Containerdatei. Unterscheiden Sie Hardware- von Software-Schreibblockern und kennen Sie deren Grenzen, insbesondere die Garbage Collection bei SSDs. Kennen Sie die Rolle von NIST CFTT und Ihrer eigenen Validierung gemäß ISO/IEC 27041, die Schritte der Abbilderstellung in der richtigen Reihenfolge sowie den Umgang mit defekten Sektoren, HPA und DCO sowie verschlüsselten Laufwerken.