mirror of
https://gitlab.cs.fau.de/ik15ydit/latexandmore.git
synced 2024-11-22 11:49:32 +01:00
383 lines
20 KiB
TeX
383 lines
20 KiB
TeX
\documentclass{article}
|
|
\usepackage{amsmath}
|
|
\usepackage{nccmath}
|
|
\usepackage{graphicx}
|
|
\usepackage{hyperref}
|
|
\usepackage[missing=no-git-metadata-found]{gitinfo}
|
|
\DeclareMathSizes{10}{10}{10}{10}
|
|
\newcommand{\xhspace}[0]{\noindent\hspace*{5mm}}
|
|
\setlength{\parindent}{0pt}
|
|
\title{Konfl\"unz}
|
|
\date{ }
|
|
\begin{document}
|
|
\section*{Anmerkungen}
|
|
Dieses Dokument wird auf $\;$\href{https://gitlab.cs.fau.de/ik15ydit/latexandmore}{https://gitlab.cs.fau.de/ik15ydit/latexandmore}$\;$ maintain't. Au\ss erdem Vorsicht: Die Vorlesungen k\"onnen sich von Jahr zu Jahr deutlich unterscheiden. \\ \\
|
|
\textbf{Generated by texlive on: \today}
|
|
\section{Begriffserkl\"arungen}
|
|
\subsubsection*{Kriminalistik}
|
|
Verhinderung, Aufdeckung und Aufkl\"arung von Kriminalit\"at (Naturwissenschaften/
|
|
Ingenieurwesen)
|
|
\begin{itemize}
|
|
\item Verbrechenstechnik (Wie wird das Verbrechen ausgef\"uhert?)
|
|
\item Kriminaltechnik (Einbringung von Sachbeweisen)
|
|
\item Kriminaltaktik (Planm\"a\ss iges und fallorientiertes Vorgehen, z.B.
|
|
Fahndung, Vernehmung, etc.)
|
|
\item Organisation der Verbrechensbek\"ampfung
|
|
\item Kriminalpsychologie (Schuldf\"ahigkeit, Motivforschung)
|
|
\end{itemize}
|
|
\subsubsection*{Kriminologie}
|
|
Erforschung von Ursachen und Erscheinungsformen von Kriminalit\"at (Sozialwissenschaft/Psychologie)
|
|
\section{Qualivative Probability}
|
|
\subsubsection*{Vorbedingungen:}
|
|
\begin{itemize}
|
|
\item $H_1$ Person A war am Tatort
|
|
\item $H_2$ Person A war \textbf{nicht} am Tatort
|
|
\end{itemize}
|
|
\subsubsection*{M\"ogliche Fahndungs-Ergebnisse:}
|
|
\begin{itemize}
|
|
\item $E_1$ es gibt Beweise, dass Person A am Tatort war
|
|
\item $E_2$ es gibt \textbf{keine} Beweise, dass Person A am Tatort war
|
|
\end{itemize}
|
|
\textbf{Wahrscheinlichkeit, dass die Vorbedingungen $H_{1,2}$ im Angesicht bestimmter Ergebnisse korrekt sind.}
|
|
\[ Prob_1( E_1 | H_1 ) \hspace{2cm} Prob_2( E_1 | H_2 ) \]
|
|
\[ Prob_3( E_2 | H_1 ) \hspace{2cm} Prob_4( E_2 | H_2 ) \]\\
|
|
\textit{Also wie wahrscheinlich sind also die Kombinationen:}\\\\
|
|
\begin{tabular}{|c|c|c|}
|
|
Person A am Tatort & Beweise & Wahrscheinlichkeit \\\hline
|
|
Ja & Ja & $Prob_1$ \\
|
|
Ja & Nein & $Prob_2$ \\
|
|
Nein & Ja & $Prob_3$ \\
|
|
Nein & Nein & $Prob_4$ \\
|
|
\end{tabular}
|
|
\subsubsection*{St\"arke/Aussagekraft von Beweisen}
|
|
\[ Staerke\;des\;Beweises = \frac{Prob_1( E_1 | H_1 )}{Prob_2( E_1 | H_2 )} \]\\
|
|
Also z.B. wenn die Wahrscheinlichkeit von $Prob_1$ (war am Tatort und Beweise vorhanden) gleich
|
|
$0.4$ und $Prob_2$ (war am Tatort und keine Beweise vorhanden) gleich $0.6$ w\"are die St\"arke
|
|
des Beweises $0.66$. Offensichtlicherweise, wenn nun $Prob_1 >> Prob_2$ ist der Beweis sehr
|
|
stark. Mit der gleichen Logik gilt f\"ur das Nichtvorhandensein von Beweisen das Gegenteil, also
|
|
das wenn $Prob_3 >> Prob_4$ der Beweis sehr schwach ist.
|
|
\section{Live-Analyse}
|
|
\subsubsection*{Fl\"uchtige Daten}
|
|
Informationen/Spuren die selbst bei dauerhafter Stromzufuhr nicht erhalten bleiben (im
|
|
engen Sinne) und solche die mit unterbrochener Stromzufuhr verloren gehen. Alle anderen
|
|
werden als \textit{persistent} bezeichnet.
|
|
\begin{itemize}
|
|
\item Inhalte Cache, Hauptspeicher, CPU-Register
|
|
\item Netzwerkverkehr, Puffer in Netwerkhardware, offene Netzwerk Verbinndungen
|
|
\item laufende Prozesse, angemeldete Benutzer, offene Dateien
|
|
\end{itemize}
|
|
\textit{Spuren m\"ussen:}
|
|
\begin{itemize}
|
|
\item identifiziert
|
|
\item gesichert
|
|
\item falls eine Sicherung nicht m\"oglich ist, dokumentiert werden
|
|
\end{itemize}
|
|
\subsubsection*{Gr\"unde f\"ur Live-Analyse}
|
|
\begin{itemize}
|
|
\item Beschleunigung der Tot-Analyse
|
|
\item Sicherung von sonst verlorenen Spuren
|
|
\item Umgehung von Festplattenverschl\"usselung
|
|
\end{itemize}
|
|
\subsubsection*{M\"oglichkeiten}
|
|
\begin{itemize}
|
|
\item Nutzung der Hardware des zu untersuchenden Systems (Live-CD)
|
|
\item Nutzung von Hardware \textbf{UND} Software
|
|
\end{itemize}
|
|
\subsubsection*{Probleme}
|
|
\begin{itemize}
|
|
\item System wird ver\"andert
|
|
\item Aktivit\"aten m\"ussen dokumentiert werden (z.B. Videoaufzeichnungen)
|
|
\item System kann sich wehren (bei Nutzung des Betriebssystemes sowieso, aber im
|
|
schlimmesten Fall auch die Hardware)
|
|
\item einige, z.B. Rootkits, k\"onnen im laufenden Betrieb nicht zuverl\"assig erkannt werden
|
|
|
|
\end{itemize}
|
|
\subsubsection*{Sniffing}
|
|
Mitlesen des Netzwerkverkehrs, nur schwer bis gar nicht durch Maleware manipulierbar, allerdings Verschl\"usselung m\"oglich, was wiederum bedeutet, dass nur Metadaten gesammelt werden k\"onnen.
|
|
\subsection{Hauptspeichersicherung}
|
|
\begin{itemize}
|
|
\item eingesetzte Werkzeuge sollen System nicht ver\"andern (Integrit\"at)
|
|
\item gesicherte Information sollen den RAM korrekt repr\"asentierten (Korrektheit)
|
|
\item Sicherung soll nicht durch durch laufende Aktivit\"aten beeinflusst (Atomarit\"at)
|
|
\end{itemize}
|
|
Man muss bedenken, dass sich der Hauptspeicher im laufenden System st\"andig \"andert und
|
|
eigentlich nie Atomar gedumpt werden kann. Deshalb dumpt man in der Regel Teile, die zusammen
|
|
mit einem Zeitstempel gespeichert werden.\\\\
|
|
\textit{Ein Hauptspeicherabbild ist korrekt, wenn alle Werte, die das Abbild enth\"alt, die
|
|
Werte sind, die zum Speicherzeitpunkt an der entsprechenden Stelle im Hauptspeicher standen.}\\\\
|
|
Damit ist ein Abbild konsistent, wenn das Hauptspeicherabbild, das oft als \textit{Schnitt}
|
|
bezeicht korrekt ist.
|
|
\subsubsection*{Technische M\"oglichkeiten}
|
|
\noindent \includegraphics{pics/RAM-Sicherung.png}
|
|
\begin{itemize}
|
|
\item Crashdumps unter Windows
|
|
\item Modul Hijacking unter Linux
|
|
\item Linux-sysfs (/dev/mem)
|
|
\item Fireware/DMA/Hardware allgemein
|
|
\item Snapshot bei VM
|
|
\item Linux /dev/mem ist etwas broken kriegt man aber mit kernel-modules gebacken
|
|
\end{itemize}
|
|
Aus dem Hauptspeicher-Abbild kann der Systemzustand nachvollziehbar rekonstruiert werden oder
|
|
einfach nach \textit{strings} oder \textit{magic-bytes} gesucht werden.
|
|
\subsubsection*{Hauptspeicherdumps auf MAC}
|
|
Relevantes Paper: \textit{Visualization in Testing a Volatile Memory Forensic Tool}
|
|
\begin{itemize}
|
|
\item kein /dev/mem mehr auf neueren Mac's, funktioniert nicht (richtig) ohne bestimmte \
|
|
Boot-Flags und funktioniert nicht auf einigen Intel-iMacs
|
|
\item auf \"alteren MACs produziert ein \textit{dd} auf /dev/mem ein korrektes und
|
|
konsistentes Haupspeicherabbild, allerdings auf Kosten von verloren (nicht mehr genutzten,
|
|
aber vielleicht trotzdem noch interessanten) Speicherseiten
|
|
\end{itemize}
|
|
\subsubsection*{Dotplot}
|
|
Die meisten Fehler in forensischen Tools sind systematischer Natur, die Leute die dieses Paper
|
|
oben geschrieben haben, haben effektiv jede Speicherseite gehasht und dann, die Hashes der
|
|
Speicherseiten an X/Y-Achse aufgetragen und alle identischen \textit{('\"ahnlichen')} Felder
|
|
schwarz markiert.\\\\
|
|
Dass zwei Seiten im Speicher die gleiche SHA-Sum haben, kann eigentlich (0er und 1er-Seiten
|
|
weggefiltert) nicht sein/ist sehr
|
|
unwahrscheinlich. Das bedeutet, wenn zwei Seiten den gleichen Hash haben aka, schwarz sind,
|
|
muss das Tool in irgendeiner Weise daf\"ur verantwortlich sein - z.B. weil das \textit{dd}, die
|
|
Daten die es aus /dev/mem liest, cached, und dann gleich nochmal aus dem Hauptspeicher liest.
|
|
\textbf{Long story short: Nutzlose, aber ganz lustige Spielerrei um Probleme mit forensischen
|
|
Tools die das System beeinflussen zu zeigen. Pr\"adikat 'nicht lesenswert'.}
|
|
\subsubsection*{Evalution von Live-Analyse Techniken}
|
|
\begin{itemize}
|
|
\item zwei identische VMs aufsetzen und Speicher in festen Abschnitten dumpen
|
|
\item m\"ogliche Unterschiede beider VMs ohne Interaktion \"uberpr\"ufen (vorhanden aber
|
|
gering)
|
|
\item auf der einen Live-Analyse starten auf der anderen nicht -> Unterschied = Impact der
|
|
Untersuchung
|
|
\item suprise, Unterschiedliche Tools, unterschiedlich viel Impact
|
|
\end{itemize}
|
|
\begin{itemize}
|
|
\item das gleiche geht auch mit Xen aka dem Ersetzen aller relevanten Aufrufe durch
|
|
Hypervisor-Calls die man dann einzeln analysieren kann, am Ende auch nichts anderes als
|
|
eine VM, nur dass man jeden einzelnen Speicher-/Systemaufruf sieht (bzw. generell jeden
|
|
Aufruf den man sehen will).
|
|
\end{itemize}
|
|
\noindent \includegraphics{pics/Integritybymemsize.png}\\
|
|
Ziehmlich dumme Grafik, denn was man hier wirklich sieht, ist dass der Memory-Footprint des
|
|
Tools gleich bliebt, was nat\"urlich bedeutet, dass er relativ zum Gesamtspeicher einen
|
|
kleineren Impact hat, mit gr\"osserem der Speicher also der Anteil des Unver\"anderten
|
|
Speichers steigt. \textit{(Bild aus Folien S.99)}
|
|
\subsubsection*{Messung von Atomarit\"at}
|
|
\begin{itemize}
|
|
\item ein Programm schreibt f\"ur gewisse Zeitscheiben bestimmte Werte in den Speicher,
|
|
umso weniger verschiedene dieser Werte wir sehen umso Atomarer ist der Vorgang.
|
|
\end{itemize}
|
|
\section{Versteckte Daten in Dokumenten}
|
|
\begin{itemize}
|
|
\item \"Anderungshistorie von (Word-)Dukumenten
|
|
\item Versteckte Felder (Druckerinformationen, Benutzernamen, Versionsnummer etc..)
|
|
\item "geschw\"arzter" Text in PDF-Dokumenten (bekommt man potentiell noch aus dem
|
|
Postscript raus)
|
|
\item Thumbnails/unbekannte EXIF-Daten (nach Zuschneiden eines Bildes kann eine Version
|
|
des urspr\"unglichen Bildes noch in den EXIF-Daten vorhanden sein, weil das
|
|
Bildbearbeitungsprogramm diese, z.B. nicht parsen konnte)
|
|
\item Informationen \"uber Kamera und verwendete Software
|
|
\item thumbd.db/Windows.edb (Tumbnails/Desktop-Search-Savefile)
|
|
\end{itemize}
|
|
\section{Spuren in Multimediadaten}
|
|
\subsection{Authentizitätsprüfung und Ursprungsger\"aterkennung bei Bildern}
|
|
\subsubsection*{Ansatzpunkte}
|
|
\begin{itemize}
|
|
\item Geometrie der Szene
|
|
\item Licht/Schatten
|
|
\item Brechfehler in der Linse
|
|
\item spezifisches Rauschen eines Sensors
|
|
\item Interpolationsart unvollst\"andiger Sensordaten in einer Kamera (die Daten von
|
|
Kamerasensoren werden oft interpoliert um hohere Aufl\"osungen zu faken)
|
|
\item Doppelkompression, Resampling/Splicing (Zusammenf\"ugen zweier Bilder)
|
|
\end{itemize}
|
|
\subsubsection*{Copy-Move}
|
|
Es ist oft unwahrscheinlich, dass gleiche Bereiche von Pixeln (also Teilbilder)
|
|
mehrmals im Bild vorkommen, findet man so etwas doch, ist das ein Hinweis auf eine
|
|
F\"alschung. (bei der Automatisierung kann man das durch Beschr\"ankung auf Intensit\"aten
|
|
oder Farben vereinfachen)\\
|
|
Sonstige Erkennenung durch:\\
|
|
\begin{itemize}
|
|
\item DCT-Transformation
|
|
\item Zernike-Momente
|
|
\end{itemize}
|
|
\subsubsection*{Fertigungsunterschiede bei Sensoren}
|
|
\textbf{In der Theorie}
|
|
\[ Pic = SensoreVariance( Motive + Diskretisierungsrauschen ) + Dunkelstrom + SonstigesRauschen \]
|
|
\textit{Als Dunkelstrom bezeichnet man den Strom in einer Photodiode der auch ohne das
|
|
Auftreffen von Photonen entsteht.}\\
|
|
Das eigentlich interessante ist die Sensore Variance die in den Folien Photo Response
|
|
Non-Uniformity genannt wird. Sie ist charakteristisch f\"ur einen Sensore und stellt
|
|
einen Fingerprint der Kamera da. Stichwort zum Herrausrechnen der Faktoren die uns
|
|
nicht interessieren ist \textit{Flat field correction} (Aufnahme in ausgeleuchteten
|
|
Raum und dunklem Raum).
|
|
\textbf{But How...}
|
|
\begin{itemize}
|
|
\item alle Bilder Tiefpass filtern, denn die Frequenz des Rauschens ist h\"oher als
|
|
die Freq\"unz des Bildinhaltes
|
|
\item alle getiefpassten Bilder Mitteln
|
|
\item ????
|
|
\item Profit.
|
|
\end{itemize}
|
|
Bildrotation- oder Skalierung f\"uhrt zu anderem Fingerabdruck.
|
|
('Desynchronisationsangriff')
|
|
\subsubsection*{Resampling Artefakte}
|
|
Wir gehen davon aus, dass ein Bild welches in ein anderes eingef\"ugt wird vorher oft
|
|
gedreht oder skaliert werden muss.
|
|
\begin{itemize}
|
|
\item Skalierung oder Rotation ist effektiv eine Interpolation
|
|
\item Interpolation f\"uhrt zu einer linearen Abh\"angigkeit in Pixelintensit\"aten
|
|
\item Berechnung einer Wahrscheinlichkeit f\"ur jeden Pixel, dass er aus den
|
|
Nachbarpixeln interpoliert wurde \textit{(p-map)} und Fourier-Transformation auf
|
|
die relevante Region
|
|
\item JPEG-Kompression kann \textit{p-map} dominieren
|
|
\item Spurenverschleierung duch Pixel-Distortion m\"oglich (z.B. Pixel in
|
|
Einzelfarben aufteilen und nochmal dr\"uber Interpolieren)
|
|
\end{itemize}
|
|
\subsubsection*{Lichteinfall}
|
|
Kann man v\"ollig vergessen es aus den Folien zu verstehen, das Paper lohnt hier:
|
|
\textit{'Exposing Digital Forgeries in Complex Lighting Environments'}. In a Nutshell:
|
|
Sie approximieren Lichq\"ullen und scha\"un dann ob der Licheinfall auf allen
|
|
Oberfl\"achen konsistent ist.
|
|
\section{Jura-Teil}
|
|
\subsection{Erm\"achtigungsgrundlagen f\"ur Onlinedurchsuchung}
|
|
\begin{itemize}
|
|
\item Strafverfolgung $->$ Repression, konkrete Straftat als Anlass
|
|
\item Gefahrenabwehr $->$ Pr\"avention, konkrete Gefahr als Anlass
|
|
\item \"ublicherweise Landesrecht, au\ss er BKA-Gesetz (Bundesrecht)
|
|
\end{itemize}
|
|
\subsection{Paragraphen}
|
|
\subsubsection*{\S 100a Strafprozessordnung (Telekommunikationsüberwachung)}
|
|
\begin{itemize}
|
|
\item Auch ohne Wissen der Betroffenen darf die Telekommunikation überwacht und
|
|
aufgezeichnet werden, wenn:
|
|
\begin{itemize}
|
|
\item bestimmte Tatsachen den Verdacht begr\"unden, dass jemand als T\"ater oder
|
|
Teilnehmer eine in Absatz 2 bezeichnete schwere Straftat begangen, in F\"allen, in
|
|
denen der Versuch strafbar ist, zu begehen versucht, oder durch eine Straftat
|
|
vorbereitet hat,
|
|
\item die Tat auch im Einzelfall schwer wiegt und
|
|
\item die Erforschung des Sachverhalts oder die Ermittlung des Aufenthaltsortes des
|
|
Beschuldigten auf andere Weise wesentlich erschwert oder aussichtslos wäre.
|
|
\end{itemize}
|
|
\end{itemize}
|
|
\subsubsection*{\S 100b Verfahren bei der Telekommunikationsüberwachung}
|
|
Das Vorgehen bei einer \"uberwachung, in a Nutshell, immer erstmal auf drei Monate
|
|
befristet, Statsanwalt kann bei Gefahr im Verzug anordnen, Gericht muss best\"atigen.
|
|
Telekomunikationsunternehmen m\"ussen kooperieren.
|
|
\subsubsection*{\S \S 102-110 Ebenfalls Strafprozessordnung}
|
|
\url{https://dejure.org/gesetze/StPO/102.html} \\
|
|
\begin{itemize}
|
|
\item \S 102 Durchsuchung bei Beschuldigten
|
|
\item \S 103 Durchsuchung bei anderen Personen
|
|
\item \S 104 Durchsuchung von R\"aumen zur Nachtzeit
|
|
\item \S 105 Verfahren bei der Durchsuchung
|
|
\item \S 106 Hinzuziehung des Inhabers eines Durchsuchungsobjekts
|
|
\item \S 107 Durchsuchungsbescheinigung und Beschlagnahmeverzeichnis
|
|
\item \S 108 Beschlagnahme anderer Gegenst\"ande
|
|
\item \S 109 Kenntlichmachung beschlagnahmter Gegenst\"ande
|
|
\item \S 110 Durchsicht von Papieren und elektronischen Speichermedien
|
|
\end{itemize}
|
|
Interessant hier: Daten d\"urfen gesichert/durchgesehen werden, wenn sonst ein Verlust
|
|
selbiger zu bef\"urchten ist.
|
|
\subsubsection*{\S \S 100c, 100d StPO - Gro\ss er Lauschangriff}
|
|
Betrifft die \"uberwachung eines gesamten Wohnraum und ist an \"ahnliche Vorraussetzungen wie
|
|
die Telekommunikations\"uberwachung gebunden. Es gelten strenge Vorschrifte, welche R\"aume
|
|
abgeh\"ort werden d\"urfen und private Informationen m\"ussen gel\"oscht werden.
|
|
\subsection{Nachrichtendienste}
|
|
\begin{itemize}
|
|
\item \S 2a BND-Gesetze $->$ Wann darf der BND Informationen sammeln:
|
|
\begin{itemize}
|
|
\item Sicherheitspolitische Dinge im Ausland
|
|
\item \"Uberpr\"ufung von (zuk\"unftigen) Mitarbeitern
|
|
\item Schutz und Abschirmung von Mitarbeitern
|
|
\end{itemize}
|
|
\item \S 8b Bundes-Verfassungs-Schutz-Gesetz (sagt prim\"ar etwas \"uber die
|
|
Zusammenarbeit der L\"ander mit dem BND aus)
|
|
\item \S 3,5,10 G10 \textit{(Regelt allgemein die Beschr\"ankung des
|
|
Fernmeldegeheimnisses)}
|
|
\begin{itemize}
|
|
\item \S 3 listet Vorraussetzungen f\"ur \"Uberwachung $->$ \"ahnliche
|
|
Vorraussetzung wie f\"ur Polizei \textit{(z.B. Angriffe auf Bundesrepublik,
|
|
V\"olkerrechtsverbrechen, Terrorismus)}
|
|
\item \S 5 regelt internationale Verbinndungen
|
|
\item \S 10 regelt wie die \"Uberwachung angeordnet wird
|
|
\end{itemize}
|
|
|
|
\end{itemize}
|
|
\subsubsection*{Sonstiges}
|
|
\begin{itemize}
|
|
\item minimale \"Anderungen am angegriffenen System muss gew\"ahrleisten
|
|
\item es muss gew\"ahrleistet werden, dass durch den Eingriff keine anderen
|
|
(unbefugten) Angriffe erm\"oglicht werden
|
|
\item ganz generell muss immer sichergestellt werden, dass so wenig wie m\"oglich in
|
|
die Grundrechte des Betroffenen eingegriffen wird
|
|
\end{itemize}
|
|
\subsection{Technische M\"oglichkeiten - Hihihi wir sind der Staat}
|
|
\begin{itemize}
|
|
\item Herstellerkooperation (Backdoor etc.)
|
|
\item (Hardware) Keylogger
|
|
\item Cold-Boot
|
|
\item Live-Durchsuchung (z.B. Staatstrojaner)
|
|
\item Seitenkan\"ale/Metadaten
|
|
\item Schw\"achen in (Kryptographie-)Protokollen
|
|
\end{itemize}
|
|
\section{Ermittlungen im Internetz}
|
|
\subsection{Lokalisierungstechniken}
|
|
\subsubsection*{Teilprobleme}
|
|
\begin{itemize}
|
|
\item User Geolocation (Position des Nutzers)
|
|
\item IP Geolocation (Position einer IP-Adresse)
|
|
\item IP Adress Extraction (welche IP hat der Ursprungsrechner)
|
|
\end{itemize}
|
|
\subsubsection*{IP Geolocation}
|
|
Geht relativ einfach, IP-Ranges werden von der \textit{Internet Assigned Numbers Authority}
|
|
an Regionale Verteiler verteilt. Die verteilen es dann auf kleinere Regionen, es gibt diese
|
|
Daten sind \"offentlich zug\"anglich.
|
|
\subsubsection*{Domain Name System}
|
|
Eine verteilte Datenbank die Domain-Names auf IP Adressen zuordnet (oder andersrum). Zum
|
|
Beispiel kann man so auch zusammengeh\"orige Seiten erkennen wenn mehre Domain-Names auf
|
|
die gleiche IP abgebildet werden. \textbf{Tools:} \textit{whois, dig, traceroute}.
|
|
\subsubsection*{Passive DNS-Replikation}
|
|
Aufzeichnen aller Zuordnung von Domain zu IP-Adressen. Selber Spass wie nachzuscha\"un ob
|
|
mehrere Domain-Names auf die selbe IP-Adresse abbilden, nur mit \"uber die Zeit
|
|
aufgezeichneten Daten.
|
|
\subsubsection*{IP-Verschleierungstechniken}
|
|
\begin{itemize}
|
|
\item VPN/Proxy bzw. Ketten selbiger (z.B. Tor)
|
|
\item Remote Session (z.B. xpra in den CIP)
|
|
\item Long Distance Dialup (Technologie "Gap" die R\"uckverfolgung erschwert)
|
|
\end{itemize}
|
|
\subsubsection*{Counter the Countermeasures}
|
|
\begin{itemize}
|
|
\item Ping-Triangulierung, innerhalb von Europa angeblich auf 100km genau (f\"ur
|
|
Websiten durch ein \textit{HTTP-REFRESH} m\"oglich)
|
|
\item JavaScript Exploit $->$ Client dazu bringen seine IP-Adresse zu \"ubermitteln
|
|
\end{itemize}
|
|
\subsection{Cloud \& Websitesicherung}
|
|
\begin{itemize}
|
|
\item Internet Archive
|
|
\item Cache beim Client
|
|
\item Zugriff als Benutzer, wenn Server au\ss er Reichweite ist
|
|
\item Snapshot einer VM auf einem Server
|
|
\item Snapshot eines ganzen Servers (evt. doppelte Fragmentierung von VM-Filesystem
|
|
und Hypervisor Filesystem, ausserdem vielleicht rechtlich fraglich, bei shared-Server
|
|
mit mehreren VMs mit Daten Unbeteiligter)
|
|
\item VM-Carving (Wiederherstellung von gel\"oschten VM, vielleicht aus Backups)
|
|
\end{itemize}
|
|
\section{Date-Loss though Abstraction}
|
|
Ehrlich gesagt wei\ss{} ich nicht was ich hier genau mitnehmen soll. Mehr Abstraktion
|
|
bedeutet logischerweise mehr abstrakte Informationen, w\"ahrend Low-Level
|
|
Informationen verloren gehen (k\"onnen).
|
|
\section{Carrier Dissertation Theorie}
|
|
\begin{itemize}
|
|
\item Observation (Was hat der Ermittler gesehen)
|
|
\item Capabilities (Welche Zust\"ande sind m\"oglich)
|
|
\item Sample (Welche Zust\"ande existieren auf \"ahnlichen Systemen/haben fr\"uher auf
|
|
diesem System existiert)
|
|
\item Reconstruction (R\"uck\"ubersetzung einer Zustands\"ubergangsfunktion)
|
|
\item Construction (Ausfuehrung einer Zustands\"ubergangsfunktion)
|
|
\end{itemize}
|
|
\vspace{1cm}
|
|
\subsection*{Source}
|
|
Dieses Dokument wird auf{ } \url{https://gitlab.cs.fau.de/ik15ydit/latexandmore} maintaint.
|
|
\end{document}
|