Beweissicherung nach einem Angriff (Forensik) ist nötig. Wer macht das? Wie läuft das ab?

hol dir nen Forensik-Experten und erstatt auch Anzeige bei der Polizei. finger weg von der Platte lass nen Profi ein Imaging ziehen. timeline und Malware finden und nen Bericcht schreiben.. dann chain of Custody dokumentieren – damit die Beweise vor Gericht auch zählen...

Workflow für digitale Forensik: 1) Sicherung (dd-Tool: dd if=/dev/sda of=image.img bs=1M, MD5-Hash verifizieren), 2) Analyse (FTK Imager, EnCase, Volatility für Speicheranalyse), 3) Zeitachse (Datei-Zeitstempel: Erstellung, Änderung, Zugriff — MAC-Zeiten), 4) Artefakt-Wiederherstellung (Windows-Registry-Hives, Browser-Cache, E-Mail-Datenbanken), 5) Malware-Analyse (statisch + dynamisch: Ausführung in Sandbox, Analyse von Memory Dumps), 6) Berichterstattung (SANS-Format: Methodik, Befunde, Empfehlungen). Chain-of-Custody-Formular: Geräte-ID, Übergabe-Datum/-Uhrzeit, Unterschrift des Bearbeiters, Aufbewahrungsbedingungen, Zugriffsprotokoll (wer, wann). Zulässigkeit vor Gericht (türkische Strafprozessordnung): Sachverständigennachweise, Validierung der Methodik, Reproduzierbarkeit (kann ein anderer Experte zum selben Ergebnis kommen).

finger weg vom Rechner hol dir nen Forensik-Experten. mach ein Disk-Image, dokumentier den Hash. dokumentier die Beweiskette — wer hat es wann. im Report Zeitachse Malware-Analyse. ob der Beweis vor Gericht zählt hängt davon ab, ob die Methodik stimmt...

Phasen der forensischen Untersuchung: Sicherung (sofortige Beweissicherung, keine Systemänderungen), Erfassung (bitgenaue Kopie, kryptografische Hash-Verifizierung), Untersuchung (Datenanalyse, Extraktion von Artefakten), Analyse (Rekonstruktion der Zeitachse, Verknüpfung von Kausalitäten), Berichterstattung (strukturierte Dokumentation, Validierung der Befunde). Qualitätssicherung: unabhängige Überprüfung (Review durch zweiten Analysten), Tool-Validierung (nur zugelassene Forensik-Software), Qualifikation des Experten (Zertifizierungen: GCFE, CFE, ECCE). Rechtliche Zulässigkeit: Daubert-Standard (US-Gerichte) oder Äquivalent (EU/TR-Gerichte verlangen peer-reviewte Methodik, bekannte Fehlerquoten, allgemeine Akzeptanz im Fachbereich).

Meine Frage ist geklärt, vielen Dank. Wenn wir ohne Messung entscheiden, landen wir immer wieder am selben Punkt.

Wenn es jemand anders macht, würde mich das auch interessieren.

Letztes Jahr haben wir fast genau dasselbe erlebt. Die Zeit, die ihr braucht, um ein Problem zu erkennen, bestimmt direkt dessen Kosten.

Nur als Notiz, könnte nützlich sein.

So klar geschriebene Texte sind selten. Überstürzte Entscheidungen sind oft solche, die man sechs Monate später korrigieren muss.

vielen Dank ich werde es heute testen. schreibe bei Entscheidungen auch das Worst-Case-Szenario auf, nicht nur das Beste.

maßnahmen ohne vorherige Bestandsaufnahme lassen die Türen offen, die man nicht sieht.

so klar geschriebene Texet sind selten.

Dem kann ich nicht ganz zustimmen. Schreibe bei Entscheidungen auch das Worst-Case-Szenario auf, nicht nur das Beste.

Maßnahmen ohne vorherige Bestandsaufnahme lassen die Türen offen, die man nicht sieht. Schreibt mir, wenn ihr Fragen habt, ich antworte so gut ich kann.

Da stimme ich zu. Wenn ihr es zum ersten Mal macht, fangt klein an, die Skalierung kommt später.

An deiner Stelle würde ich so vorgehen.

Im Großen und Ganzen richtig, aber ein Punkt fehlt. Bei uns war der größte Zeitfresser die Unklarheit darüber, wer entscheidet.

Ich hoffe, das hilft dir weiter.

Der billige Weg stellt sich oft im Nachhinein als teuer heraus. Lösungen, die im kleinen Maßstab funktionieren brechen bei Wachstum zusammen, das habe ich spät gelernt.

Kein Prozess ohne Dokumentation verbessert sich, weil man nicht weiß, was man verbessern soll. Wenn deine Situation anders ist, ändert sich das natürlich.

ich stimme zu möchte das sogar besonders betonen aber wenn man versucht, allles gleichzeitig zu ändern etabliert sich nichts richtig.

wenn es jemand anders mact würde mich das auch interessieren.

Der am häufigsten übersehene Punkt bei IT-Forensik ist dieser: Verlasst euch nicht auf eine einzige Maßnahme; geht schichtweise vor.

Schaut zuerst welche Daten ihr bei der Entscheidungsfindung zur Hand habt. Wenn es jemand anders macht würde mich das auch interessieren.

Nichts vergessen: Wenn Genehmigung und Umfang nicht schriftlich vorliegen, darf der Test nicht starten.

Ein nicht getestetes Backup ist kein Backup.

Gut, dass du diesen Thread eröffnet hast. Wenn du zu einem Thema drei verschiedene Antworten bekommst, war die Frage falsch gestellt.

Das war's, entschuldige, wenn ich zu lang war.

Ja, die Situation bei IT-Forensik ist genau so. Der meiste Zeitverlust entsteht durch Arbeiten, die auf Freigaben warten.

Dass das Backup im gleichen Netzwerk und mit derselben Identität erreichbar ist, macht es zum Teil des Ziels. Das war's, entschuldige, wenn ich zu lang war.