for(ensik){blog;}

Die Folien meines Vortrags über Grundlagen und neue Techniken des File Carvings sind jetzt online verfügbar. Eine Aufzeichnung des Vortrags kann gegen Gebühr im Archiv des Linux-Magazins abgerufen werden.

Von Andreas Schuster am 04.04.2008, 10:00 Uhr | Permalink

Das DFN-CERT veranstaltet am 13. und 14. Februar 2008 nun zum 15. Mal den Workshop "Sicherheit in vernetzten Systemen". Alexander Geschonneck wird auf dieser Veranstaltung über "Windows Vista Forensics" sprechen. Ich bin mit einem Vortrag über File Carving dabei.

Von Andreas Schuster am 04.12.2007, 10:00 Uhr | Permalink

"Chopstick" hat in seinem Blog Chirashi Security zwei Artikel zu CarvFS veröffentlicht.

Von Andreas Schuster am 08.07.2007, 20:00 Uhr | Permalink

Golden G. Richard III, Vassil Roussev und Lodovico Marziale beschreiben einen Carver der auf lokalen Speichermedien sowie über ein Netz arbeitet. Ihren Aufsatz In-Place File Carving stellten die Autoren auf der 3. jährlichen Konferenz der IFIP-Arbeitsgruppe 11.9 vor.

Von Andreas Schuster am 21.05.2007, 08:00 Uhr | Permalink

Eines der Probleme bei der Rekonstruktion gelöschter Dateien durch das Carving besteht darin, die Grenzen der ursprünglichen Dateien zu identifizieren. Das gilt besonders für den leider recht häufigen Fall, dass die Dateien fragmentiert sind. In ihrem Beitrag zur DFRWS 2006 Challenge berechnen Klayton Monroe und Jay Smith von KoreLogic Security sowie Andy Bair, seinerzeit noch am MITRE, die blockweise Entropie, um Dateigrenzen zu bestimmen und Datenblöcke zu identifizieren, die einer Datei wahrscheinlich unzutreffend zugeordnet wurden.

Von Andreas Schuster am 07.04.2007, 08:00 Uhr | Permalink

Die beiden im Rahmen der Open Computer Forensics Architecture entwickelten Programme LibCarvPath und CarvFS implementieren Funktionen des In-Place Carvings.

Von Andreas Schuster am 19.12.2006, 08:00 Uhr | Permalink

Golden Richard hat die Version 1.60 des Carvers Scalpel veröffentlicht. Diese Version unterstützt erstmals den neuen Ansatz des In-Place Carvings.

Von Andreas Schuster am 18.12.2006, 08:00 Uhr | Permalink

Carving nennt man eine Standardtechnik zur Wiederherstellung gelöschter Dateien. Üblicherweise wird dabei sehr viel Plattenplatz belegt. Eine verbesserte Technik, in-place, in-line oder auch zero space carving soll dies jetzt ändern - und dabei den Prozess auch noch merklich beschleunigen.

Von Andreas Schuster am 15.12.2006, 12:00 Uhr | Permalink

Vor dem Hintergrund der diesjährigen Challenge des Digital Forensic Research Workshops erwarte ich einige Neuigkeiten auf dem Gebiet des Carvings. Und da schon einige Beiträge zu Carvern vorhanden sind, habe ich eine neue Rubrik eröffnet.

Von Andreas Schuster am 09.07.2006, 16:30 Uhr | Permalink

Im Moment ist es wohl en vogue, das bekannte Foremost neu zu implementieren. LURHQ hat heute Foregone vorgestellt, einen in Perl programmierten Foremost-Klon. Nach dem Test bleibt nur eine Frage: Wer braucht das?

Von Andreas Schuster am 16.02.2006, 00:10 Uhr | Permalink