Kali Linux Workshop, Teil 4 IT-Forensik mit Kali Linux

In vierten Teil unserer Workshop-Serie zu Kali Linux geht es um die forensischen Werkzeuge, die Teil der Pentesting-Distribution sind. Mit diesen Tools lassen sich Daten retten, Images erzeugen, Dateien aufspüren oder auch PDFs auf Malware untersuchen.

Anbieter zum Thema

sysob IT-Distribution GmbH & Co. KG

Rapid7 Germany

Specops Software GmbH

Für IT-Forensiker gibt es nur wenige Geheimnisse. Computer und Dateien enthalten nicht nur die offensichtlichen Informationen, sondern jede Menge Metadaten. Diese lassen sich auslesen und für zahlreiche Anwendungsfälle nutzen. So ist es Beispielsweise möglich, vermeintlich gelöschte Daten wiederherzustellen oder sie von einem eigentlich defekten Laufwerk zu kopieren. Andererseits kann man damit auch nach Informationen schnüffeln, die einen nichts angehen. Wie immer in der IT-Sicherheit haben die Tools mehrere Anwendungsfälle, positive wie negative.

Achtung: Eine forensische Untersuchung kann gegen geltendes Recht verstoßen, etwa wenn das Ziel nicht weiß, dass diese Untersuchung durchgeführt wird oder dagegen ist. In diesem Beitrag gehen wir davon aus, dass alle Personen mit der Forensik einverstanden sind. Besondere Vorsicht gilt, wenn die forensischen Daten im Rahmen einer strafrechtlichen Untersuchung erhoben werden. Hier müssen etwa Images besondere Anforderungen erfüllen. Das BSI hat einen sehr guten Leitfaden zu diesem Thema. Der Einfachheit halber setzen wir in diesem Beitrag daher einen Schwerpunkt auf die Rettung eigener Daten sowie praktische Tools für Administratoren. Sobald es um die Daten Dritter geht, sollte man sich rechtliche Beratung und mindestens eine schriftliche Beauftragung einholen.

Kali Linux Workshop, Teil 1

Kali Linux installieren und Hacking-Lab aufsetzen

Kali Linux Workshop, Teil 2

Informationen sammeln mit Kali Linux

Guymager

In der Forensik arbeitet man normalerweise nicht mit den „echten“ Daten, sondern untersucht Abbilder, sogenannte Images. Diese lassen sich mit zahlreichen Tools erstellen, auf der Kommandozeile etwa dc3dd. Wer lieber eine grafische Oberfläche vorzieht, findet in Guymager das passende Tool. Über den Menüpunkt “Rescan” lassen sich die angeschlossenen Speicher einlesen. Ein Rechtsklick gibt anschließend die Option für das Erstellen eines Images oder ob das Gerät geklont werden soll. Der Unterschied ist, dass beim Klonen keine Image-Abbild erstellt wird, es lohnt sich etwa um Daten von einem Datenträger zum anderen zu kopieren - etwa beim Umzug von einer Festplatte auf eine andere. Ein Image ist ein digitales Abbild, das anschließend wie eine Festplatte behandelt werden kann.

Foremost

Das Programm nutzt Header-Informationen, um nach verlorenen Daten zu suchen. So lassen sich beispielsweise Bilder oder Dokumente auf einer Festplatte oder einer Image-Datei aufspüren. Die jeweils zu suchenden Daten lassen sich wahlweise über Schalter in der Kommandozeile oder eine Konfigurationsdatei definieren. Das Programm benötigt allerdings seine Zeit.

Hashdeep

Hash-Werte sind essentiell um die Integrität von Daten auf unterschiedlichen Systemen sicherzustellen. Nur wenn zwei Werte übereinstimmen, wurde die Datei bei der Übertragung nicht verändert. Hashdeep kann diese Daten für ganze Verzeichnisse rekursiv berechnen. Die Daten werden wahlweise direkt im Terminal ausgegeben oder in einer Datei gespeichert.

DDrescue

Defekte Festplatten oder USB-Sticks mit wichtigen Dokumenten darauf - das ist ein Fall für DDrescue. Das Programm kopiert Informationen blockweise und achtet dabei nicht, ob die gespeicherten Daten auch lesbar sind. Kann ein Block nicht übertragen werden, überspringt DDrescue diesen und kopiert den nächsten. Nach Abschluss des Kopiervorgangs lassen sich die übertragenen Daten mit klassischen Tools auslesen. Es kann dabei sein, dass etwa Bilder oder Dokumente zumindest noch teilweise vorhanden sind.

Scrounge-ntfs

Scrounge-ntfs ähnelt DDrescue, ist aber auf das Windows-Dateisystem optimiert. Es liest jeden Block des angegebenen Datenträgers und baut das Dateisystem auf einer anderen Partition oder einem Verzeichnis wieder auf. Damit lassen sich neben kaputten Informationen potentiell auch gelöschte Dateien wiederherstellen. Scrounge-ntfs benötigt Anfang und Ende der jeweiligen Partition. Diese Informationen gibt der Parameter -l gefolgt vom /dev/-Verzeichnis des eingehängten Datenträgers preis.

Pdf-parser

Dieses Programm ist eine Ausnahme zum Thema Datenrettung und -Wiederherstellung. Pdf-parser untersucht PDF-Dateien auf ihre Inhalte, ohne diese dabei zu rendern. Das ist etwa dann wichtig, wenn in der Datei eine potentielle Malware steckt. Typischerweise senden etwa Kriminelle solche Dokumente in Spear-Phishing-Attacken mit, getarnt als Angebot, Rechnung oder Lebenslauf. Pdf-parser macht es möglich, diese Dokumente zu untersuchen, ohne dass die Inhalte gelesen werden. Eine perfekte Beispieldatei kommt von Didier Stevens. Er hat die EICAR-Datei, eine harmlose Testdatei für Viren-Programme, in ein PDF eingebaut. In pdf-parser ist das sehr gut zu sehen, die Datei taucht gleich zu Beginn unter “EmbeddedFiles” auf. Pdf-parser ist ein praktisches Werkzeug, mit dem Admins schnell sehen können, was in einer potentiell gefährlichen Datei steckt.

Fazit

IT-Forensik ist ein faszinierendes Thema in das man schnell versinken kann. Es macht Spaß, sich durch die Eingeweide eines IT-Systems zu graben und dort nach versteckten Daten zu suchen. Gleichzeitig kann das Wissen um die richtigen Tools und Vorgehensweisen wichtige Dateien retten, etwa bei defekten Speichermedien. Die angesprochenen Tools kratzen nur an der Oberfläche dessen, wozu die Werkzeuge in Kali fähig sind. Andere Bereiche, etwa die Analyse von Speicherabbildern können weitere wertvolle Informationen enthüllen, allerdings begibt man sich damit in eine dunkelgraue rechtliche Zone.

Kali Linux Workshop, Teil 3

Schwachstellenanalyse mit Kali Linux

(ID:45221742)