for(ensik){blog;}

Dieser kurze Beitrag enthält lediglich einen aktualisierten Codeschnipsel für die Datei magic(5), mit deren Hilfe das Unix-Dienstprogramm file(1) DMP-Dateien von 32bit- und 64bit-Systemen erkennen und ihre wichtigsten Daten anzeigen kann.

Von Andreas Schuster am 29.02.2008, 10:00 Uhr | Permalink

Die Crash Dumps der 32bit- und der 64bit-Versionen von Microsoft Windows unterscheiden sich deutlich. Da 64bit-Maschinen immer häufiger anzutreffen sind, gebe ich in diesem Beitrag einige Hinweise zur Struktur der zugehörigen Crash Dumps.

Von Andreas Schuster am 28.02.2008, 10:00 Uhr | Permalink

Matthieu Suiche und Nicolas Ruff haben die erste öffentliche Version von Sandman veröffentlicht.

Von Andreas Schuster am 27.02.2008, 10:00 Uhr | Permalink

Durch Zufall bin ich auf das Blog 8 bits von Mark Stam gestoßen. Er schreibt über IT, Informationssicherheit und digitale Forensik. Leider schreibt er nur auf Niederländisch. Andererseits finde ich, dass sich der Inhalt auch so gut erfassen lässt. Und zur Not gibt es noch Google Translate.

Von Andreas Schuster am 26.02.2008, 08:30 Uhr | Permalink

Die Spannungsversorgung zu kappen oder einen Reset zu erzwingen, klingt nicht gerade nach einer forensisch einwandfreien Prozedur zur Sicherung des Hauptspeichers. Doch die Forschung präsentiert hier einige verblüffende Ergebnisse.

Von Andreas Schuster am 25.02.2008, 10:00 Uhr | Permalink

Brendan Dolan-Gavitt beschreibt in einem sehr ausführlichen Beitrag, wie man Registry Hives in Abbildern des Arbeitsspeichers auffindet und interpretiert.

Von Andreas Schuster am 11.02.2008, 10:00 Uhr | Permalink

Die ACME Portable Computer GmbH veranstaltet am 5. März 2008 an ihrem Messestand auf der CeBIT eine Forensic Night. Neben reichlich Gelegenheit zum Kennenlernen und Erfahrungsaustausch sind zwei Vorträge geplant. Alexander Geschonneck wird über die IT-Forensik unter Vista sprechen, während eTRACE die Untersuchung des Betriebssystems Linux betrachtet. Weitere Informationen zur Anmeldung gibt es bei ACME.

Von Andreas Schuster am 05.02.2008, 10:00 Uhr | Permalink

Eine einfache und zuverlässige Methode zur Erstellung von Speicherabbildern ist der Zugriff über FireWire. In diesem Beitrag beschreibe ich die Datensicherung mit Hilfe der Helix Boot CD.

Von Andreas Schuster am 04.02.2008, 10:00 Uhr | Permalink

Jesse Kornblum hat die erste Version seines neuen Programms dc3dd zur forensisch sicheren Kopie von Datenträgern freigegeben. Das Programm basiert auf GNU dd aus den coreutils (was dann auch die Versionsnummer erklärt). Es enthält dabei viele Funktionen des bekannten dcfldd.

Von Andreas Schuster am 02.02.2008, 15:00 Uhr | Permalink