Rubrik "Labor"

FTK Imager 3.0

Das Bessere ist der Feind des Guten. AccessData hat den Funktionsumfang des kostenlos erhältlichen FTK Imager in der jetzt erschienenen Version 3.0 erheblich erweitert. Besonders praktisch ist, dass der Imager jetzt auch forensische Abbilder in allen gebräuchlichen Formaten als physische Laufwerke, und darin enthaltene FAT- und NTFS-Partitionen auch als logische Laufwerke in Windows einbinden kann.

CarvFS auf dem Mac

CarvFS ist ein Dateisystem, das auf LibCarvPath und FUSE aufsetzt. Es kann beliebige Ausschnitte aus einem anderen Dateisystem als Dateien zugänglich machen. Vorwiegend unterstützt CarvFS daher das In-Place Carving. Ich verwende es aber auch häufig, um große strukturierte Dateien oder unbekannte Dateisysteme zu untersuchen. CarvFS lässt sich unter Linux problemlos compilieren; die Installation auf einem Mac erforderte aber einige Änderungen am Quellcode und den CMake Dateien. Mit einiger Hilfe durch Rob von der KLPD ist es mir schließlich gelungen, CarvFS unter OS X zu installieren. Die Patches veröffentliche ich in der Hoffnung, dass sie auch anderen helfen werden.

Test von Löschwerkzeugen

Das US NIST hat Hard- und Software zum Löschen von Festplatten getestet. Verwendet werden diese Löschwerkzeuge zum Beispiel dann, wenn ein während der Fallbearbeitung genutzter Datenträger nicht mehr länger benötigt wird. Das sichere Löschen der Daten soll einerseits verhindern, dass schutzwürdige Informationen unbeabsichtigt verbreitet werden.

Ausserdem müssen Daten, die zu unterschiedlichen Fällen gehören, sauber getrennt werden. Dies ist einfach zu erreichen, indem man für jeden Fall einen eigenen, "sterilen", Datenträger verwendet.

010 Editor Version 3.1.0

Der 010 Editor, ein Hex-Editor ist für mich zu einem unverzichtbaren Werkzeug für der Untersuchung von Dateien geworden. Jetzt haben die Autoren die Version 3.1 veröffentlicht, die eine Vielzahl neuer Funktionen enthält.

Speicheranalyse mit FTK 3

Vor vier Jahren, auf dem DFRWS 2005, wurden die ersten Werkzeuge zur Windows-Speicheranalyse präsentiert. Langsam finden die seitdem entwickelten Methoden Eingang in kommerzielle Werkzeuge. Auch das kürzlich von AccessData öffentlich vorgestellte Forensic Toolkit 3 bietet jetzt einige Funktionen zur Untersuchung von Windows-Speicherabbildern.

FTK Imager 2.6.0

AccessData hat die Version 2.6.0 des FTK Imagers veröffentlicht. Neben Fehlerbereinigungen bietet diese Version des FTK Imagers erstmals die Möglichkeit, den Arbeitsspeicher des lokalen Computers zu sichern.

Writeblocker für FireWire-Geräte

Tableau hat mit dem T9 nun auch einen Writeblocker für Geräte mit FireWire-Interface im Angebot. Damit sollen sich portable Festplatten und Apple Macs im Target Disk Mode sichern lassen. Von der Bauform und Bedienung her scheint der T9 weitgehend dem bekannten T8 zu entsprechen, über den sich USB-Geräte schreibgeschützt ansprechen lassen.

FTK Imager Version 2.5.5

AccessData hat die Version 2.5.5 des kostenlosen FTK Imagers veröffentlicht. Diese Version behebt ein Kompatibilitätsproblem beim Import von Abbildern im Expert Wittness Format (.E01) in EnCase. Die Fehlermeldung
Error in "Header": String cannot be longer than 12 characters
gehört damit endlich der Vergangenheit an. Der FTK Imager ist beim AccessData Support zum Download verfügbar.

NIST testet Datensicherung für Mobiltelefone

Das NIST hat vier Programme zur Datensicherung von Mobiltelefonen getestet. Als einziges Produkt hat Paraben Device Seizure 2.1 alle Tests bestanden.

Genaugkeit von Zeitangaben

Didier Stevens beklagt in einem Blogeintrag die scheinbare Genauigkeit von Zeitangaben in Programmausgaben und Untersuchungsberichten. So werden Zeitpunkte auf die Sekunde genau angegeben, obwohl die Genaugkeit der Datenquelle geringer ist. Stevens nennt als Beispiel eine Geldkarte. Ein weiteres bekanntes Beispiel sind die Zeitstempel des FAT-Dateisystems mit einer Auflösung von 2 Sekunden. Stevens schlägt deshalb vor, für Zeitangaben die wissenschaftliche Notation für fehlerbehaftete Größen zu verwenden, z.B. 11:37:30 ± 675s.
 1 2 3 4 5 6 7 

Archiv

Impressum

Dieses Blog ist ein Projekt von:
Andreas Schuster
Im Äuelchen 45
D-53177 Bonn
impressum@forensikblog.de

Copyright © 2005-2012 by
Andreas Schuster
Alle Rechte vorbehalten.
Powered by Movable Type 5.12