Häufige Artefakte

Ein Artefakt ist eine Spur, die ein Betriebssystem oder Programm als Nebeneffekt der normalen Nutzung hinterlässt: eine Aufzeichnung darüber, dass ein Programm ausgeführt, eine Datei geöffnet, ein Gerät angeschlossen oder eine Webseite besucht wurde. Benutzer wissen selten, dass diese Spuren existieren, was sie wertvoll macht. Jedes Artefakt beantwortet jedoch nur bestimmte Fragen und hat bekannte Grenzen. Der Schwerpunkt liegt hier auf den Artefakten, die Prüfer am häufigsten verwenden, hauptsächlich unter Windows, mit einem kurzen Blick auf Browser, Mobiltelefone und Cloud-Dienste. Ihre eingehende Interpretation ist Gegenstand von Kursen auf Prüferniveau wie CFX und MFX.

Nachweise für die Ausführung eines Programms

• Prefetch-Dateien (C:\Windows\Prefetch, Erweiterung .pf) werden von Windows erstellt, um den Programmstart zu beschleunigen. Jede Datei erfasst den Namen des Programms, wie oft es ausgeführt wurde und wann es zuletzt ausgeführt wurde (unter Windows 8 und neuer bis zu acht der letzten Ausführungszeitpunkte). Prefetch ist auf Desktop-Versionen von Windows normalerweise aktiviert, auf Servern jedoch häufig deaktiviert und kann ausgeschaltet werden.
• UserAssist-Einträge im Registry-Hive NTUSER.DAT jedes Benutzers erfassen Programme, die dieser Benutzer über die grafische Benutzeroberfläche gestartet hat, einschließlich der Anzahl der Ausführungen und des letzten Ausführungszeitpunkts. Die Programmnamen werden mit ROT13, einer einfachen Buchstabenersetzung, leicht verschleiert gespeichert und von Werkzeugen automatisch dekodiert.

Nachweise dafür, dass eine Datei oder ein Ordner geöffnet wurde

• LNK-Dateien (Verknüpfungsdateien) werden beim Öffnen von Dateien automatisch im Ordner Recent des Benutzers (%APPDATA%\Microsoft\Windows\Recent) erstellt. Eine LNK-Datei speichert den vollständigen Pfad des Ziels und dessen damalige Zeitstempel, den Laufwerkstyp und bei vielen Laufwerken die Seriennummer des Volumes, wodurch eine Datei einem bestimmten USB-Laufwerk zugeordnet werden kann.
• Sprunglisten speichern für jede Anwendung die zuletzt damit geöffneten Dateien (in den Ordnern AutomaticDestinations und CustomDestinations unter Recent). Sie zeigen, welches Programm welche Datei geöffnet hat.
• ShellBags, die in den Registry-Hives NTUSER.DAT und UsrClass.dat des Benutzers gespeichert sind, erfassen Ordner, die der Benutzer im Explorer durchsucht hat, einschließlich Ordnern auf Wechseldatenträgern und Netzwerkfreigaben, die nicht mehr existieren.

Die Registry und angeschlossene Geräte

Die Windows-Registry ist eine Datenbank mit Einstellungen, die in Dateien gespeichert werden, die als Hives bezeichnet werden: SYSTEM, SOFTWARE, SAM und SECURITY in C:\Windows\System32\config sowie NTUSER.DAT und UsrClass.dat in jedem Benutzerprofil. Unter anderem erfasst sie USB-Speichergeräte. Der Schlüssel SYSTEM\CurrentControlSet\Enum\USBSTOR listet angeschlossene Speichergeräte mit Hersteller, Produkt und bei den meisten Geräten einer Seriennummer auf; SYSTEM\MountedDevices verknüpft Geräte mit Laufwerksbuchstaben; und das Textprotokoll C:\Windows\INF\setupapi.dev.log erfasst, wann ein Gerät erstmals installiert wurde. Zusammen können sie zeigen, dass ein bestimmtes USB-Laufwerk an den Computer angeschlossen war und wann dies geschah.

Ereignisprotokolle

Windows schreibt Ereignisprotokolle nach C:\Windows\System32\winevt\Logs in Dateien mit der Erweiterung .evtx. Das Sicherheitsprotokoll erfasst beispielsweise erfolgreiche Anmeldungen (Ereignis-ID 4624), fehlgeschlagene Anmeldungen (4625) und Abmeldungen (4634), wenn die entsprechenden Überwachungseinstellungen aktiviert sind. Das System- und das Anwendungsprotokoll erfassen Dienste, Fehler und Installationen. Protokolle haben eine maximale Größe und überschreiben ihre ältesten Einträge, sodass sie möglicherweise nur Tage oder Wochen abdecken. Ein leeres oder kurzes Protokoll kann sowohl auf geringe Aktivität als auch auf absichtliches Leeren hinweisen, das seinerseits ein aufgezeichnetes Ereignis im Sicherheitsprotokoll hinterlässt.

Webbrowser

Browser speichern Verlauf, Downloads, Cookies und Cache in ihren Profilordnern, überwiegend in SQLite-Datenbanken. Chromium-basierte Browser wie Chrome und Edge speichern den Verlauf in einer Datenbankdatei namens History mit Tabellen für besuchte Adressen, einzelne Besuche und Downloads; Firefox verwendet places.sqlite. Ihre Zeitstempel verwenden unterschiedliche Formate (Lektion 6.2). Private Fenster oder Inkognitofenster sind darauf ausgelegt, wenig oder keinen Verlauf auf dem Datenträger zu hinterlassen. Dessen Fehlen beweist daher nicht, dass keine Webseiten besucht wurden.

Mobiltelefone und Cloud-Dienste im Überblick

Auf Mobiltelefonen werden die meisten App-Daten, auch die vieler Messaging-Apps, zusammen mit Systemprotokollen in SQLite-Datenbanken und Einstellungsdateien im privaten Speicherbereich der jeweiligen App gespeichert. Welche Artefakte zugänglich sind, hängt stark von der Akquisitionsebene und dem Sperrzustand ab (Modul 4). Cloud-Speicher-Clients auf Computern führen lokale Datenbanken und Synchronisierungsprotokolle, die zeigen können, dass eine Datei hochgeladen, heruntergeladen oder gelöscht wurde, selbst wenn sich die Datei selbst nicht mehr auf dem Gerät befindet.

Artefakte auf einen Blick

Was Artefakte nicht beweisen

Artefakte erfassen die Aktivität eines Benutzerkontos auf einem Gerät, nicht die einer namentlich bestimmten Person. Wenn mehrere Personen ein Konto gemeinsam nutzen oder dessen Passwort kennen, können die Artefakte nicht zeigen, wer an der Tastatur saß; andere Beweismittel wie Anmeldezeiten, der Aufenthaltsort der Person oder Kameraaufnahmen können dabei helfen. Ein fehlendes Artefakt ist ebenso begrenzt aussagekräftig: Einstellungen, Bereinigungswerkzeuge, Protokollrotation, privates Surfen oder ein anderes Programm können das Fehlen erklären. Die belastbarsten Befunde beruhen auf mehreren unabhängigen Artefakten, die übereinstimmen. Der Bericht gibt an, was jedes einzelne zeigt und was nicht (Modul 7).

Ein Praxisbeispiel

Ein Mitarbeiter steht im Verdacht, eine Kundenliste auf ein USB-Laufwerk kopiert zu haben. Der Prüfer findet einen USBSTOR-Eintrag für ein Laufwerk mit einer bestimmten Seriennummer, das erstmals um 12:44 UTC angeschlossen wurde. Eine LNK-Datei und ein Sprunglisteneintrag zeigen, dass die Kundenliste um 12:47 UTC von Laufwerk E: geöffnet wurde, und die LNK-Datei enthält eine Volume-Seriennummer. Das Sicherheitsprotokoll zeigt, dass das Konto des Mitarbeiters seit 08:30 angemeldet war. Jedes Artefakt allein hat eine begrenzte Aussagekraft; zusammen stützen sie die Feststellung, dass das Konto des Mitarbeiters um 12:47 UTC die Kundenliste von einem USB-Laufwerk geöffnet hat, das drei Minuten zuvor angeschlossen worden war. Ob die Datei kopiert wurde und von wem, sind eigenständige Fragen, die weitere Beweismittel erfordern.

Prüfungsschwerpunkt: Ordnen Sie jedem Artefakt zu, was es zeigt: Programmausführung (Prefetch, UserAssist), Datei- und Ordnerzugriffe (LNK-Dateien, Sprunglisten, ShellBags), USB-Verbindungen (USBSTOR, MountedDevices, setupapi.dev.log) und Anmeldungen (Ereignis-IDs 4624, 4625, 4634 im Sicherheitsprotokoll). Wissen Sie außerdem, wo sich die wichtigsten Registry-Hives befinden und dass Browser den Verlauf in SQLite-Datenbanken speichern. Rechnen Sie mit Fragen dazu, was jedes Artefakt beweist und was nicht, zum Unterschied zwischen Konto und Person, dazu, warum das Fehlen eines Artefakts nur geringe Beweiskraft hat, und zum Wert gegenseitiger Bestätigung.