mirror of
https://gitlab.cs.fau.de/ik15ydit/latexandmore.git
synced 2024-12-23 16:46:06 +01:00
Fixed lots of typos and grammer in FFI
This commit is contained in:
Sheppy
parent
2755399ddd
commit
4c051f85b6
@ -16,7 +16,7 @@
|
||||
\begin{itemize}
|
||||
\item Verbrechenstechnik (Wie wird das Verbrechen ausgef\"uhert?)
|
||||
\item Kriminaltechnik (Einbringung von Sachbeweisen)
|
||||
\item Kriminaltaktik (Planm\"aßiges und Fallorientiertes Vorgehen, z.B.
|
||||
\item Kriminaltaktik (Planm\"a\ss iges und fallorientiertes Vorgehen, z.B.
|
||||
Fahndung, Vernehmung, etc.)
|
||||
\item Organisation der Verbrechensbek\"ampfung
|
||||
\item Kriminalpsychologie (Schuldf\"ahigkeit, Motivforschung)
|
||||
@ -37,7 +37,7 @@
|
||||
\textbf{Wahrscheinlichkeit, dass die Vorbedingungen $H_{1,2}$ im Angesicht bestimmter Ergebnisse korrekt sind.}
|
||||
\[ Prob_1( E_1 | H_1 ) \hspace{2cm} Prob_2( E_1 | H_2 ) \]
|
||||
\[ Prob_3( E_2 | H_1 ) \hspace{2cm} Prob_4( E_2 | H_2 ) \]\\
|
||||
\textit{Also wie wahrscheinlich sind die Kombinationen:}\\\\
|
||||
\textit{Also wie wahrscheinlich sind also die Kombinationen:}\\\\
|
||||
\begin{tabular}{|c|c|c|}
|
||||
Person A am Tatort & Beweise & Wahrscheinlichkeit \\\hline
|
||||
Ja & Ja & $Prob_1$ \\
|
||||
@ -54,17 +54,19 @@
|
||||
das wenn $Prob_3 >> Prob_4$ der Beweis sehr schwach ist.
|
||||
\section{Live-Analyse}
|
||||
\subsubsection*{Fl\"uchtige Daten}
|
||||
Informationen/Spuren die selbst bei da\"urhafter Stromzufuhr erhalten bleiben (im engen Sinne) und solche die mit unterbrochener Stromzufuhr verloren gehen. Alle anderen werden als persistent bezeichnet.
|
||||
Informationen/Spuren die selbst bei dauerhafter Stromzufuhr nicht erhalten bleiben (im
|
||||
engen Sinne) und solche die mit unterbrochener Stromzufuhr verloren gehen. Alle anderen
|
||||
werden als \textit{persistent} bezeichnet.
|
||||
\begin{itemize}
|
||||
\item Inhalte Cache, Hauptspeicher, CPU-Register
|
||||
\item Netzwerkverkehr, Puffer in Netwerkhardware, offene Netzwerk Verbinndungen
|
||||
\item laufende Prozesse, angemeldete Benutzer, offene Dateien
|
||||
\end{itemize}
|
||||
Spuren m\"ussen:
|
||||
\textit{Spuren m\"ussen:}
|
||||
\begin{itemize}
|
||||
\item identifiziert
|
||||
\item gesichert
|
||||
\item falls eine Sicherung nicht m\"oglich ist dokumentiert werden
|
||||
\item falls eine Sicherung nicht m\"oglich ist, dokumentiert werden
|
||||
\end{itemize}
|
||||
\subsubsection*{Gr\"unde f\"ur Live-Analyse}
|
||||
\begin{itemize}
|
||||
@ -79,26 +81,25 @@
|
||||
\end{itemize}
|
||||
\subsubsection*{Probleme}
|
||||
\begin{itemize}
|
||||
\item System wird Ver\"andert
|
||||
\item System wird ver\"andert
|
||||
\item Aktivit\"aten m\"ussen dokumentiert werden (z.B. Videoaufzeichnungen)
|
||||
\item System kann sich wehren (bei Nutzung des Betriebssystemes sowieso, aber im
|
||||
schlimmesten Fall auch die Hardware)
|
||||
\item einige, z.B. Rootkits k\"onnen im laufenden Betrieb nicht zuverl\"assig erkannt werden
|
||||
\item einige, z.B. Rootkits, k\"onnen im laufenden Betrieb nicht zuverl\"assig erkannt werden
|
||||
|
||||
\end{itemize}
|
||||
\subsubsection*{Sniffing}
|
||||
Mitlesen des Netzwerkverkehrs, nur schwer bis gar nicht durch Maleware manipulierbar, allerdings Verschl\"usselung m\"oglich, was wiederum bedeutet, dass nur Metadaten gesammelt werden k\"onnen.
|
||||
\subsection{Hauptspeichersicherung}
|
||||
\begin{itemize}
|
||||
\item eingesetzte Werkzeuge soll System nicht ver\"andern (Integirt\"at)
|
||||
\item eingesetzte Werkzeuge sollen System nicht ver\"andern (Integrit\"at)
|
||||
\item gesicherte Information sollen den RAM korrekt repr\"asentierten (Korrektheit)
|
||||
\item wie wird die Sicherung durch laufden Aktivit\"aten beeinflusst (Atomarit\"at)
|
||||
\item Sicherung soll nicht durch durch laufende Aktivit\"aten beeinflusst (Atomarit\"at)
|
||||
\end{itemize}
|
||||
Man muss bedenken, dass sich der Hauptspeicher im laufenden System st\"andig \"andert und in der
|
||||
Regel nicht Atomar gedumpt werden kann. Deshalb dumpt man in der Regel Teile, die zusammen mit
|
||||
einem
|
||||
Zeitstempel gespeichert werden.\\\\
|
||||
\textit{Ein Hauptspeicherabbild ist korrekt, falls alle Werte, die das Abbild enth\"alt, die
|
||||
Man muss bedenken, dass sich der Hauptspeicher im laufenden System st\"andig \"andert und
|
||||
eigentlich nie Atomar gedumpt werden kann. Deshalb dumpt man in der Regel Teile, die zusammen
|
||||
mit einem Zeitstempel gespeichert werden.\\\\
|
||||
\textit{Ein Hauptspeicherabbild ist korrekt, wenn alle Werte, die das Abbild enth\"alt, die
|
||||
Werte sind, die zum Speicherzeitpunkt an der entsprechenden Stelle im Hauptspeicher standen.}\\\\
|
||||
Damit ist ein Abbild konsistent, wenn das Hauptspeicherabbild, das oft als \textit{Schnitt}
|
||||
bezeicht korrekt ist.
|
||||
@ -117,11 +118,11 @@
|
||||
\subsubsection*{Hauptspeicherdumps auf MAC}
|
||||
Relevantes Paper: \textit{Visualization in Testing a Volatile Memory Forensic Tool}
|
||||
\begin{itemize}
|
||||
\item kein /dev/mem mehr auf ne\"uren Mac's, funktioniert nicht (richtig) ohne bestimmte \
|
||||
\item kein /dev/mem mehr auf neueren Mac's, funktioniert nicht (richtig) ohne bestimmte \
|
||||
Boot-Flags und funktioniert nicht auf einigen Intel-iMacs
|
||||
\item auf \"alteren MACs produziert ein \textit{dd} auf /dev/mem ein korrektes und
|
||||
konsistentes Haupspeicherabbild, allerdings auf Kosten von verloren (nicht mehr genutzten,
|
||||
aber vielleicht trotzdem noch interessanten Speicherseiten)
|
||||
aber vielleicht trotzdem noch interessanten) Speicherseiten
|
||||
\end{itemize}
|
||||
\subsubsection*{Dotplot}
|
||||
Die meisten Fehler in forensischen Tools sind systematischer Natur, die Leute die dieses Paper
|
||||
@ -132,9 +133,9 @@
|
||||
weggefiltert) nicht sein/ist sehr
|
||||
unwahrscheinlich. Das bedeutet, wenn zwei Seiten den gleichen Hash haben aka, schwarz sind,
|
||||
muss das Tool in irgendeiner Weise daf\"ur verantwortlich sein - z.B. weil das \textit{dd}, die
|
||||
Daten die es aus /dev/mem liest, cached, und dann gleich nochmal aus dem Hauptspeicher liest.\\
|
||||
\textbf{Long story short: Nutzlose aber ganz lustige Spielerrei um Probleme mit forensischen
|
||||
Tools die das System beeinflussen zu zeigen, Pr\"adikat 'nicht lesenswert'}
|
||||
Daten die es aus /dev/mem liest, cached, und dann gleich nochmal aus dem Hauptspeicher liest.
|
||||
\textbf{Long story short: Nutzlose, aber ganz lustige Spielerrei um Probleme mit forensischen
|
||||
Tools die das System beeinflussen zu zeigen. Pr\"adikat 'nicht lesenswert'.}
|
||||
\subsubsection*{Evalution von Live-Analyse Techniken}
|
||||
\begin{itemize}
|
||||
\item zwei identische VMs aufsetzen und Speicher in festen Abschnitten dumpen
|
||||
@ -145,15 +146,15 @@
|
||||
\item suprise, Unterschiedliche Tools, unterschiedlich viel Impact
|
||||
\end{itemize}
|
||||
\begin{itemize}
|
||||
\item das gleiche geht auch mit Xen aka dem ersetzen aller relevanten aufrufe durch
|
||||
Hypercalls die man dann einzeln analysieren kann, am Ende auch nichts anderes als eine VM,
|
||||
nur dass man jeden einzelnen Speicher-/Systemaufruf sieht (bzw. generell jeden Aufruf den
|
||||
man sehen will).
|
||||
\item das gleiche geht auch mit Xen aka dem Ersetzen aller relevanten Aufrufe durch
|
||||
Hypervisor-Calls die man dann einzeln analysieren kann, am Ende auch nichts anderes als
|
||||
eine VM, nur dass man jeden einzelnen Speicher-/Systemaufruf sieht (bzw. generell jeden
|
||||
Aufruf den man sehen will).
|
||||
\end{itemize}
|
||||
\noindent \includegraphics{pics/Integritybymemsize.png}\\
|
||||
Ziehmlich dumme Grafik, denn was man hier wirklich sieht, ist dass der Memory-Footprint des
|
||||
Tools gleich bliebt, was nat\"urlich bedeutet, dass er relativ zum Gesamtspeicher einen
|
||||
kleineren Impact hat umso gr\"osser der Speicher ist, also der Anteil des Unver\"anderten
|
||||
kleineren Impact hat, mit gr\"osserem der Speicher also der Anteil des Unver\"anderten
|
||||
Speichers steigt. \textit{(Bild aus Folien S.99)}
|
||||
\subsubsection*{Messung von Atomarit\"at}
|
||||
\begin{itemize}
|
||||
@ -164,7 +165,7 @@
|
||||
\begin{itemize}
|
||||
\item \"Anderungshistorie von (Word-)Dukumenten
|
||||
\item Versteckte Felder (Druckerinformationen, Benutzernamen, Versionsnummer etc..)
|
||||
\item "gesch\"arzter" Text in PDF-Dokumenten (bekommt man potentiell noch aus dem
|
||||
\item "geschw\"arzter" Text in PDF-Dokumenten (bekommt man potentiell noch aus dem
|
||||
Postscript raus)
|
||||
\item Thumbnails/unbekannte EXIF-Daten (nach Zuschneiden eines Bildes kann eine Version
|
||||
des urspr\"unglichen Bildes noch in den EXIF-Daten vorhanden sein, weil das
|
||||
@ -202,11 +203,11 @@
|
||||
Das eigentlich interessante ist die Sensore Variance die in den Folien Photo Response
|
||||
Non-Uniformit genannt wird. Sie ist charakteristisch f\"ur einen Sensore und stellt
|
||||
einen Fingerprint der Kamera da. Stichwort zum Herrausrechnen der Faktoren die uns
|
||||
nicht interessieren ist \textit{Flat field correction} (Aufnahme in Ausgeleuchteten
|
||||
nicht interessieren ist \textit{Flat field correction} (Aufnahme in ausgeleuchteten
|
||||
Raum und dunklem Raum).
|
||||
\textbf{But How...}
|
||||
\begin{itemize}
|
||||
\item alle Bilder Tiefpass filtern, denn die Freq\"unz des Rauschens ist h\"oher als
|
||||
\item alle Bilder Tiefpass filtern, denn die Frequenz des Rauschens ist h\"oher als
|
||||
die Freq\"unz des Bildinhaltes
|
||||
\item alle getiefpassten Bilder Mitteln
|
||||
\item ????
|
||||
@ -215,11 +216,11 @@
|
||||
Bildrotation- oder Skalierung f\"uhrt zu anderem Fingerabdruck.
|
||||
('Desynchronisationsangriff')
|
||||
\subsubsection*{Resampling Artefakte}
|
||||
Wir gehen davon aus, dass ein Bild welches in ein anderes eingef\"uhgt wird vorher oft
|
||||
Wir gehen davon aus, dass ein Bild welches in ein anderes eingef\"ugt wird vorher oft
|
||||
gedreht oder skaliert werden muss.
|
||||
\begin{itemize}
|
||||
\item Skalierung oder Rotation ist effektiv eine Interpolation
|
||||
\item Interpolation f\"uhrt zu einer Linearen Abh\"angigkeit in Pixelintensit\"aten
|
||||
\item Interpolation f\"uhrt zu einer linearen Abh\"angigkeit in Pixelintensit\"aten
|
||||
\item Berechnung einer Wahrscheinlichkeit f\"ur jeden Pixel, dass er aus den
|
||||
Nachbarpixeln interpoliert wurde \textit{(p-map)} und Fourier-Transformation auf
|
||||
die relevante Region
|
||||
@ -237,7 +238,7 @@
|
||||
\begin{itemize}
|
||||
\item Strafverfolgung $->$ Repression, konkrete Straftat als Anlass
|
||||
\item Gefahrenabwehr $->$ Pr\"avention, konkrete Gefahr als Anlass
|
||||
\item BKA-Gesetz $->$ Bundesrecht
|
||||
\item BKA-Gesetz $->$ Bundesrecht %TODO
|
||||
\end{itemize}
|
||||
\subsection{Paragraphen}
|
||||
\subsubsection*{\S 100a Strafprozessordnung (Telekommunikationsüberwachung)}
|
||||
@ -245,8 +246,8 @@
|
||||
\item Auch ohne Wissen der Betroffenen darf die Telekommunikation überwacht und
|
||||
aufgezeichnet werden, wenn:
|
||||
\begin{itemize}
|
||||
\item bestimmte Tatsachen den Verdacht begründen, dass jemand als Täter oder
|
||||
Teilnehmer eine in Absatz 2 bezeichnete schwere Straftat begangen, in Fällen, in
|
||||
\item bestimmte Tatsachen den Verdacht begr\"unden, dass jemand als T\"ater oder
|
||||
Teilnehmer eine in Absatz 2 bezeichnete schwere Straftat begangen, in F\"allen, in
|
||||
denen der Versuch strafbar ist, zu begehen versucht, oder durch eine Straftat
|
||||
vorbereitet hat,
|
||||
\item die Tat auch im Einzelfall schwer wiegt und
|
||||
@ -261,34 +262,39 @@
|
||||
\subsubsection*{\S \S 102-110 Ebenfalls Strafprozessordnung}
|
||||
\url{https://dejure.org/gesetze/StPO/102.html} \\
|
||||
Interessant hier: Daten d\"urfen gesichert/durchgesehen werden, wenn sonst ein Verlust
|
||||
selbiger zu bef\"urchten ist.
|
||||
\subsubsection*{\S \S 100c, 100d StPO - Grosser Lauschangriff}
|
||||
selbiger zu bef\"urchten ist. %TODO
|
||||
\subsubsection*{\S \S 100c, 100d StPO - Gro\ss er Lauschangriff}
|
||||
Betrifft die \"uberwachung eines gesamten Wohnraum und ist an \"ahnliche Vorraussetzungen wie
|
||||
die Telekommunikations\"uberwachung gebunden. Es gelten strenge Vorschrifte, welche R\"aume
|
||||
abgeh\"ort werden d\"urfen und private Informationen m\"ussen gel\"oscht werden.
|
||||
\subsection{Nachrichtendienste}
|
||||
\begin{itemize}
|
||||
\item \S 2a BND-Gesetze $->$ Wann darf der BND Informationen sammeln:
|
||||
\textbf{Sicherheitspolitische Dinge im ausland, \"uberpr\"ufung von (zuk\"unftigen)
|
||||
Mitarbeitern, Counter-Intelligence}
|
||||
\begin{itemize}
|
||||
\item Sicherheitspolitische Dinge im Ausland
|
||||
\item \"Uberpr\"ufung von (zuk\"unftigen) Mitarbeitern
|
||||
\item Schutz und Abschirmung von Mitarbeitern
|
||||
\end{itemize}
|
||||
\item \S 8b Bundes-Verfassungs-Schutz-Gesetz (sagt prim\"ar etwas \"uber die
|
||||
Zusammenarbeit der L\"ander mit dem BND aus)
|
||||
\item §3,5,10 G10 \textit{(Regelt allgemein die Beschr\"ankung des Fernmeldegeheimnisses)}
|
||||
\item §3,5,10 G10 \textit{(Regelt allgemein die Beschr\"ankung des
|
||||
Fernmeldegeheimnisses)}
|
||||
\begin{itemize}
|
||||
\item \S 3 listet Vorraussetzungen f\"ur \"ubrwachung $->$ \"ahnliche Vorraussetzung
|
||||
wie f\"ur Polizei Angriffe auf Bundesrepublik, V\"olkerrechtsverbrechen, Terrorismus
|
||||
\item \S 3 listet Vorraussetzungen f\"ur \"Uberwachung $->$ \"ahnliche
|
||||
Vorraussetzung wie f\"ur Polizei \textit{(z.B. Angriffe auf Bundesrepublik,
|
||||
V\"olkerrechtsverbrechen, Terrorismus)}
|
||||
\item \S 5 regelt internationale Verbinndungen
|
||||
\item \S 10 regelt wie die \"uberwachung angeordnet wird
|
||||
\item \S 10 regelt wie die \"Uberwachung angeordnet wird
|
||||
\end{itemize}
|
||||
|
||||
\end{itemize}
|
||||
\subsubsection*{Sonstiges}
|
||||
\begin{itemize}
|
||||
\item minimale \"anderungen am angegriffenen System muss gew\"ahrleistet werden
|
||||
\item es muss gew\"ahrleistet werden, dass durch den Eingriff keine anderen Angriffe
|
||||
(unbefugten) erm\"oglicht werden
|
||||
\item ganz generell muss immer sichergestellt werden, dass so wenig wie m\"oglich in die
|
||||
Grundrechte des Betroffenen eingegriffen wird
|
||||
\item minimale \"Anderungen am angegriffenen System muss gew\"ahrleisten
|
||||
\item es muss gew\"ahrleistet werden, dass durch den Eingriff keine anderen
|
||||
(unbefugten) Angriffe erm\"oglicht werden
|
||||
\item ganz generell muss immer sichergestellt werden, dass so wenig wie m\"oglich in
|
||||
die Grundrechte des Betroffenen eingegriffen wird
|
||||
\end{itemize}
|
||||
\subsection{Technische M\"oglichkeiten - Hihihi wir sind der Staat}
|
||||
\begin{itemize}
|
||||
@ -297,7 +303,7 @@
|
||||
\item Cold-Boot
|
||||
\item Live-Durchsuchung (z.B. Staatstrojaner)
|
||||
\item Seitenkan\"ale/Metadaten
|
||||
\item schw\"achen in (Kryptographie-)Protokollen
|
||||
\item Schw\"achen in (Kryptographie-)Protokollen
|
||||
\end{itemize}
|
||||
\section{Ermittlungen im Internetz}
|
||||
\subsection{Lokalisierungstechniken}
|
||||
@ -309,10 +315,11 @@
|
||||
\end{itemize}
|
||||
\subsubsection*{IP Geolocation}
|
||||
Geht relativ einfach, IP-Ranges werden von der \textit{Internet Assigned Numbers Authority}
|
||||
an Regionale Verteiler verteilt usw.
|
||||
an Regionale Verteiler verteilt. Die verteilen es dann auf kleinere Regionen, es gibt diese
|
||||
Daten sind \"offentlich zug\"anglich.
|
||||
\subsubsection*{Domain Name System}
|
||||
Eine verteilte Datenbank die Domain-Names auf IP Adressen zuordnet (oder andersrum). Zum
|
||||
beispiel kann man so auch zusammengeh\"orige Seiten erkennen wenn mehre Domain-Names auf
|
||||
Beispiel kann man so auch zusammengeh\"orige Seiten erkennen wenn mehre Domain-Names auf
|
||||
die gleiche IP abgebildet werden. \textbf{Tools:} \textit{whois, dig, traceroute}.
|
||||
\subsubsection*{Passive DNS-Replikation}
|
||||
Aufzeichnen aller Zuordnung von Domain zu IP-Adressen. Selber Spass wie nachzuscha\"un ob
|
||||
@ -326,31 +333,32 @@
|
||||
\end{itemize}
|
||||
\subsubsection*{Counter the Countermeasures}
|
||||
\begin{itemize}
|
||||
\item Pingtriangulierung, innerhalb von Europa angeblich auf 100km genau (f\"ur Websiten
|
||||
durch ein HTTP refresh m\"oglich)
|
||||
\item JavaScript Exploit $->$ Client seine IP-Adresse mitschicken lassen
|
||||
\item Ping-Triangulierung, innerhalb von Europa angeblich auf 100km genau (f\"ur
|
||||
Websiten durch ein \textit{HTTP-REFRESH} m\"oglich)
|
||||
\item JavaScript Exploit $->$ Client dazu bringen seine IP-Adresse zu \"ubermitteln
|
||||
\end{itemize}
|
||||
\subsection{Cloud \& Websitesicherung}
|
||||
\begin{itemize}
|
||||
\item Internet Archive
|
||||
\item Chache beim Client
|
||||
\item Zugriff als Benutzer wenn Server ausser Reichweite
|
||||
\item VM auf Server Snapshotten
|
||||
\item ganzen Server Snapshotten ist kacke, doppelte Fragmentierung von VM-Filesystem
|
||||
und Hypervisor Filesystem, ausserdem wahrscheinlich rechtlich fraglich, weil viele
|
||||
Daten von unbeteiligten
|
||||
\item Cache beim Client
|
||||
\item Zugriff als Benutzer, wenn Server au\ss er Reichweite ist
|
||||
\item Snapshot einer VM auf einem Server
|
||||
\item Snapshot eines ganzen Servers (evt. doppelte Fragmentierung von VM-Filesystem
|
||||
und Hypervisor Filesystem, ausserdem vielleicht rechtlich fraglich, bei shared-Server
|
||||
mit mehreren VMs mit Daten Unbeteiligter)
|
||||
\item VM-Carving (Wiederherstellung von gel\"oschten VM, vielleicht aus Backups)
|
||||
\end{itemize}
|
||||
\section{Date-Loss though Abstraction}
|
||||
Ehrlich gesagt weiss ich nicht was ich hier genau mitnehmen soll, mehr Abstraktion = mehr
|
||||
Abstrakte Informationen w\"ahrend potentiell Low-Level Informationen verloren gehen.
|
||||
Ehrlich gesagt wei\ss{} ich nicht was ich hier genau mitnehmen soll. Mehr Abstraktion
|
||||
bedeutet logischerweise mehr abstrakte Informationen, w\"ahrend Low-Level
|
||||
Informationen verloren gehen (k\"onnen).
|
||||
\section{Carrier Dissertation Theorie}
|
||||
\begin{itemize}
|
||||
\item Observation (Was hat der Ermittler gesehen)
|
||||
\item Capabilities (Welche Zust\"ande sind m\"oglich)
|
||||
\item Sample (Welche Zust\"ande existieren auf \"ahnlichen Systemen/fr\"uher auf diesem
|
||||
System)
|
||||
\item Reconstruction (R\"uck\"ubersetzung einer Zustandsuebergangsfunktion)
|
||||
\item Construction (Ausfuehrung einer Zustandsuebergangsfunktion)
|
||||
\item Sample (Welche Zust\"ande existieren auf \"ahnlichen Systemen/haben fr\"uher auf
|
||||
diesem System existiert)
|
||||
\item Reconstruction (R\"uck\"ubersetzung einer Zustands\"ubergangsfunktion)
|
||||
\item Construction (Ausfuehrung einer Zustands\"ubergangsfunktion)
|
||||
\end{itemize}
|
||||
\end{document}
|
||||
|
||||
Loading…
Reference in New Issue
Block a user