Tipps und Handlungsempfehlungen für die Cyber-Forensik Mehr als den „Ereignishorizont“ im Blick

Forensik-Experten müssen nicht nur technische Zusammenhänge beherrschen, sondern sich auch im geschäftlichen Umfeld sicher bewegen. Richtlinien, Standards und Best Practices helfen IT-Sicherheitsermittlern dabei, entsprechende Prozesse zu entwickeln. Dieser Beitrag widmet sich den wichtigsten Punkten.

Anbieter zum Thema

sysob IT-Distribution GmbH & Co. KG

Fujitsu Technology Solutions GmbH

SEPPmail - Deutschland GmbH

Völlig gleich, ob sie ihr Renommee in der Branche erhöhen oder ihre Karriere voranbringen möchten: Forensik-Experten müssen zeigen, dass sie nicht nur die rein technischen Zusammenhänge beherrschen:

• Auf technischer Ebene müssen sie die Grundlagen der Kriminaltechnik kennen, ausreichende praktische Kenntnisse von Computersystemen besitzen, analytisch denken und mit rechtlichen Verfahren vertraut sein.

• Auf der geschäftlichen Seite müssen sie wechselseitige Kontrollmechanismen etablieren, um den Erfolg der technischen Aspekte zu gewährleisten.

Unternehmen steuern ihre Geschäftsfunktionen und -Praktiken in der Regel bereits über Richtlinien, Standards und Verfahrensweisen. Analog dazu muss auch die Cyber-Forensik durch robuste und wiederholbare Prozesse unterstützt werden. Diese Prozesse bilden nicht nur die Grundlage für die Durchführung der forensischen Untersuchungen. Sie verringern auch die Gefahr, dass Einzelne Entscheidungen treffen, die im Widerspruch zu etablierten Best Practices stehen.

Nur mit einer angemessenen Vorbereitung lässt sich sicherstellen, dass alle, die in irgendeiner Weise in die Cyber-Forensik involviert sind, schnell und richtig handeln. Dementsprechend muss eine Dokumentation zur Verfügung stehen, an die sich alle Beteiligten bei forensischen Analysen laufend halten können. Dazu gilt es zunächst, eine Reihe von Prozessen zu entwickeln.

Diese Prozesse müssen von Schlüsselpersonen im Unternehmen mitgetragen werden – Menschen mit unterschiedlichen Aufgaben, die entscheidend zur Erstellung der Prozesse beitragen können. Diese Personen sollten auch die nötige Autorität besitzen, um die Dinge voranzutreiben. Vor diesem Hintergrund bieten sich unter anderem Führungskräfte aus den folgenden Abteilungen an:

• IT-Betriebsabteilung: um festzustellen, welche technischen Ressourcen im gesamten Unternehmen vorhanden sind.

• Sicherheitsabteilung (IT- und physische Sicherheit): um zu entscheiden, welche Kontrollmechanismen zum Schutz der Ressourcen erforderlich sind.

• Juristische Abteilung: um die rechtlichen Verpflichtungen und Auswirkungen zu klären.

• Personalabteilung: um zu gewährleisten, dass Rechte und Privatsphäre der Mitarbeiter gewahrt bleiben.

Die richtige Reaktion

Sobald die Unterstützung der Führungskräfte gewährleistet ist, kann man mit dem Erstellen der Dokumentation beginnen. Diese wird nicht aus einem einzigen Papier bestehen, das den gesamten Bereich der Cyber-Forensik abdeckt; vielmehr handelt es sich um eine Sammlung von Dokumenten, die die verschiedenen Aspekte der Cyber-Forensik regeln.

Es ist wichtig zu bedenken, dass diese Dokumentation den Mitarbeitern zeigen soll, was von ihnen erwartet wird, wenn sie auf eine bestimmte Situation reagieren – gleich, ob bereits bekannt ist, dass die Cyber-Forensik involviert wird oder nicht. Um die Cyber-Forensik angemessen unterstützen zu können, sollte das Unternehmen zumindest Folgendes dokumentiert haben:

• Richtlinien, um einen Verhaltenskodex zu definieren und festzulegen, in welchem Rahmen das Unternehmen Systeme überwachen darf.

• Standards zu Themenfeldern wie beispielsweise Sicherheitskontrollen, Protokollierungsanforderungen, Backup und Wiederherstellung.

• Verfahrensbeschreibungen, die detailliert erläutern, wie das Unternehmen forensische Untersuchungen durchführt; wie etwa Beschreibung von Verfahren zum Umgang mit Beweismaterial, von Methoden der Datenbeschaffung und von verwendeten Analyse-Tools.

Sobald die Dokumentation abgenommen worden ist, dient sie als Basis für die Unterstützung und Durchführung der Cyber-Forensik im gesamten Unternehmen und überdies als Grundlage für den Aufbau und Betrieb eines forensischen Labors. Ein forensisches Labor muss eine „sichere Zone“ sein, in der es möglich ist, Daten auf geregelte Weise zu verwalten, aufzubewahren und auf sie zuzugreifen.

Es liegt letztlich in der Verantwortung jeder einzelnen Person, die in einem solchen Labor tätig ist, die Richtlinien, Standards und Verfahrensweisen einzuhalten. Denn nur so bleiben die Prinzipien der Datenauthentizität und Datenintegrität gewahrt.

Raum für forensische Untersuchungen schaffen

Der erste Schritt beim Aufbau eines forensischen Labors besteht darin, die jeweiligen Aufgaben und Verantwortlichkeiten des Laborleiters und seiner Mitarbeiter zu definieren. Der Leiter muss neben allgemeinen Management-Aufgaben dafür Sorge tragen, dass die Mitarbeiter in der Lage sind, die Prozesse und Verfahrensweisen im Einklang mit den Standards des Labors zu befolgen.

Die Mitarbeiter wiederum müssen ihre Fähigkeiten laufend auf den neuesten Stand bringen, damit sie forensische Analysen erfolgreich durchführen können. Zudem muss der Laborleiter dafür sorgen, dass die Laborumgebung geeignet ist, um forensische Untersuchungen auf sichere und geschützte Weise durchzuführen.

Zu den Kontrollmaßnahmen, die in jedem forensischen Labor erforderlich sind, gehören zunächst solche, die der physischen Sicherheit dienen. Die Autorisierung für das Labor muss nach dem Prinzip der minimalen Rechte erfolgen; es dürfen also nur Personen autorisiert werden, die berechtigterweise Zutritt benötigen. Ein forensisches Labor sollte ähnlich wie ein Rechenzentrum angelegt sein, wozu beispielsweise folgende physische Sicherheitsmaßnahmen gehören:

• Das Labor sollte sich in Innenräumen ohne Fenster befinden, soweit dies im Einklang mit den Brandschutzbestimmungen möglich ist

• Wände, Decke und Boden sollten aus Beton bestehen, um die Einbruchsgefahr weiter zu minimieren

• Bestehende Möglichkeiten der physischen Zugangskontrolle wie elektronische Ausweiskarten lassen sich nutzen, um das Personal zu authentifizieren und die Audit-Protokolle zu zentralisieren

• Sicherheitskameras helfen dabei, die Vorgänge im Labor optisch überwachen.

• Bildschirme sollten so positioniert sein, dass nur befugtes Personal die Inhalte einsehen kann.

Wichtige Eigenschaften der Analyse-Systeme

Bei forensischen Analysen müssen die Kosten der Durchführung mit den Kosten der zwingend benötigten Tools in Einklang gebracht werden. Das bedeutet, dass man genau wissen muss, welche Technologien de IT-Infrastruktur unterstützt, einschließlich der Hardware, Software und Peripheriegeräte.

Eine forensische Workstation muss nicht nur einwandfrei mit den vorhandenen Technologien im Unternehmen harmonieren, sondern bei den Datenanalysen auch außerordentlich effizient und flexibel arbeiten. Jedes forensische System – sei es nun vorgefertigt oder spezifisch angepasst – muss über die folgenden grundlegenden Fähigkeiten verfügen:

• Unterbinden aller Veränderungen gegenüber den Original-Medien.

• Erzeugung exakter, bitgenauer Kopien aller Quellmedien.

• Reproduktion der exakten, bitgenauen Kopien auf Sekundärmedien

• Durchführung forensischer Analysen am verfügbaren Beweismaterial

Laufende Qualitätssicherung ist in einem forensischen Labor von essenzieller Bedeutung. Abhängig davon, wo sie Cyber-Forensik durchführen, kann es notwendig sein, dass das Labor – und dessen Mitarbeiter – bestimmte Zertifizierungen erwerben.

Wenn ihr cyberforensisches Labor keinem etablierten Lenkungssystem unterliegt, sollten sich das Labor und die Mitarbeiter unbedingt regelmäßigen Audits unterziehen, um die Einhaltung der Richtlinien, Prozeduren etc. zu gewährleisten. Die Audits sollten unter anderem die folgenden Prüfungen umfassen:

• Untersuchung der Decke, Böden, Wände und Türen auf Auffälligkeiten aller Art

• Überprüfung der Schlösser von Türen und Stauschränken auf Funktionstüchtigkeit

• Überprüfung der Zugangsprotokolle, um festzustellen, ob Bewegungen in/aus dem Labor festgehalten werden

• Prüfung, ob die Mitarbeiter die nötigen Fähigkeiten und Erfahrungen zur Durchführung forensischer Analysen besitzen

• Unabhängige Bestätigung, dass die verwendete Hardware und Software korrekt und bestimmungsgemäß funktioniert

Cyber-Forensik erfordert umfangreiche Steuerungsmaßnahmen und Unterstützung, um sicherzustellen, dass der laufende Betrieb hohen Qualitätsmaßstäben genügt. Das Implementieren einer verbindlichen Dokumentation und die Durchführung der Analysen in einer „sicheren Zone“ geben Unternehmen die Gewissheit, dass die Prinzipien der Datenauthentizität und Integrität in der Cyber-Forensik eingehalten werden.

Über den Autor

Jason Sachowski, (ISC)²-zertifizierter CISSP-ISSAP, CSSLP, CCFP und SSCP, arbeitet als Senior Manager im Bereich Security Research & Development bei der kanadischen Scotiabank Group.

(ID:42445477)