IT-Forensik Flashcards
Was sind Anforderungen an die IT-Forensik?
Akzeptanz: Die angewandten Methoden und Schritte sollten in der Fachwelt
beschrieben und allgemein anerkannt sein. Bei einem Einsatz neuartiger
Verfahren sollte zunächst der Nachweis der Korrektheit erbracht werden.
Glaubwürdigkeit: Die angewandten Verfahren und Funktionalitäten müssen
erwiesenermaßen robust sein.
Wiederholbarkeit: Die Ergebnisse der Verfahren müssen durch Dritte reproduziert
werden können.
Integrität: Die sichergestellten Daten müssen zu jedem Zeitpunkt gegen ungewollte
Veränderung geschützt sein. Ein entsprechender Beweis muss jederzeit erbracht werden können.
Ursache und Auswirkungen: Die Auswahl der Methoden muss eine logisch
nachvollziehbare Beweiskette zwischen Ereignissen und Beweisspuren
ermöglichen
Dokumentation: Jeder Schritt des Ermittlungsprozesses muss angemessen
dokumentiert sein.
Was sind die Prozessschritte?
- strategische Vorbereitung
- operationale Vorbereitung
- Datensammlung
- Datenwiederherstellung
- Datenanalyse
- Präsentation
Welch Arten von Slacks gibt es?
Disk-Slack: ist der nicht partitionierte Bereich eines Datenträgers
Volume-Slack: bezeichnet Sektoren am Ende der Partition, die keinem Cluster mehr zugeordnet wurden
Datei-Slack: ist die Sammelbezeichnung für RAM-Slack und Drive-Slack
RAM-Slack: ist der Bereich des letzten Bytes der tatsächlichen Datei zur nächsten
Sektorgrenze
Drive-Slack: ist der Bereich vom Ende des RAM-Slacks bis zur Clustergrenze
