Forensische Sicherung und Auswertung flüchtiger Daten im Hauptspeicher

Standard procedures in computer forensics mainly describe the acquisition and analysis of persistent data, e.g., of hard drives or attached devices. However, due to the increasing storage capacity of these media and, correspondingly, significantly larger data volumes, creating forensically-sound duplicates and recovering valuable artifacts in time gets more and more challenging. Moreover, with the wide availability of free and easy-to-use encryption technologies, a growing number of individuals actively try to protect personal information against unauthorized access. If a suspect is unwilling to share the respective decryption key such measures can therefore quickly thwart an investigation. Last but not least, many sophisticated malicious applications entirely run in memory to date and do not leave any traces on hard disks anymore. Solely focusing on traditional sources can thus lead to an incomplete or inaccurate picture of an incident. In order to cope with these issues, researchers have proposed alternative investigative strategies and extracting pieces of evidence from a computer's RAM. For this purpose, a so-called memory snapshot is taken and inspected offline on a trusted workstation. These activities known as memory forensics have gained broad attention among practitioners over the last years, primarily because operations are repeatable and may be safely verified by other experts without polluting the system environment as, for instance, in a live response situation. In this thesis, we give a comprehensive overview of fundamental concepts and approaches for seizing as well as examining volatile information. It consists of two parts: In the first part, we formalize criteria for sound memory imaging and illustrate the characteristics, benefits, and drawbacks of proven acquisition technologies available on the market to date. As we will see, especially for software-based solutions it is difficult to produce reliable memory snapshots, because the system state cannot be effectively frozen during runtime. With the help of an evaluation platform that we have developed in the course of the dissertation period, the performance and quality of software imagers can be thoroughly assessed for the first time. In the second part of this thesis, we explain how common system compromise and manipulation techniques as they are typically employed by rootkits or other types of intelligent malware can be discovered during memory analysis. We also present rkfinder, a new plug-in for the popular, open source forensic suite DFF that facilitates some of these tasks. Rkfinder implements cross-viewing algorithms for checking the integrity of a machine and detecting possible inconsistencies that indicate the presence of a threat. By automatically highlighting suspicious resources that are likely to have been tampered with, even less experienced investigators are able to identify system areas that require particular attention. Thereby, potential sources of an intrusion can be quickly found and addressed.Standardvorgehensweisen im Bereich der Computerforensik beschreiben mehrheitlich die Sicherstellung und Analyse persistenter Daten, zum Beispiel auf Festplatten oder extern angeschlossenen Geräten. Auf Grund der zunehmend größeren Speicherkapazität eingesetzter Medien und den damit verbundenen stetig wachsenden Datenmengen, ist eine zeitgerechte Erstellung forensisch sauberer Duplikate sowie eine anschließende Beweismitteluntersuchung mit immer mehr Schwierigkeiten verbunden. Mit der hohen Verfügbarkeit von kostenlosen und einfach zu bedienenden Verschlüsselungswerkzeugen nimmt die Zahl von Personen, die sensible Informationen bewusst gegen unberechtigten Zugriff zu schützen versuchen, weiterhin zu. Sofern ein Verdächtigter in einem solchem Fall nicht dazu bereit ist, den entsprechenden Dechiffrierungsschlüssel einem Ermittler mitzuteilen, können derartige Maßnahmen maßgeblich den Erfolg einer Untersuchung gefährden. Darüber hinaus wurden in der Vergangenheit zahlreiche Beispiele hochentwickelter Schadprogramme dokumentiert, die ihre Aktivitäten nur noch ausschließlich im Hauptspeicher eines Systems ausführen und keine Spuren auf persistenten Datenträgern mehr hinterlassen. Die Einschränkung von Untersuchungsmethoden auf traditionelle Quellen einer Computerinfektion kann daher zu einem unvollständigen oder ungenauen Bild eines Vorfalles führen. Um den zuvor beschriebenen Missständen entgegen zu wirken, entwickelten Forscher alternative Untersuchungsstrategien und schlugen eine Beweismittelextrahierung aus den Daten des Arbeitsspeichers vor. Zu diesem Zweck muss zunächst ein so genannter Schnappschuss des Hauptsspeichers angelegt werden, der im nächsten Schritt zur weiteren Analyse auf eine vertrauenswürdige Arbeitsstation transferiert wird. Die im Rahmen dieser Hauptspeicherforensik vorgenommenen Tätigkeiten sind sowohl wiederhol- als auch durch andere Experten nachvollziehbar und sind deshalb als forensisch sauberer zu bewerten als entsprechende Live-Untersuchungen während des laufenden Betriebs. In dieser Arbeit stellen wir die grundlegenden Konzepte und Ansätze zur Sicherstellung und Analyse volatiler (flüchtiger) Daten im Hauptspeicher umfassend dar. Gegenstand des ersten Teils ist eine Formalisierung geeigneter Kriterien für eine zuverlässige Datensicherung. Wir beschreiben ebenfalls die Eigenschaften sowie Vor- und Nachteile häufig verwendeter Akquirierungstechnologien. Wie wir weiter ausführen werden, ist insbesondere eine geeignete Abbilderstellung für softwarebasierte Lösungen schwierig, da der Systemzustand zur Laufzeit nicht effektiv eingefroren werden kann. Die Qualität dieser Werkzeuge kann mit Hilfe einer Evaluationsplattform, die durch den Autor während der Dissertationszeit entwickelt wurde, zum ersten Mal detailliert beurteilt und nachvollzogen werden. Im zweiten Teil dieser Arbeit erläutern wir, wie gängige Systemkompromittierungs- und Manipulationstechniken durch Hauptspeicheranalysemethoden erkannt werden können. Derartige Techniken werden typischerweise von Rootkits und anderen Arten intelligenter Schadprogramme eingesetzt. Wir stellen ebenfalls das neue Erweiterungsmodul rkfinder für die beliebte und frei verfügbare Forensikapplikation DFF vor. Rkfinder nutzt so genannte Cross-Viewing-Algorithmen, mit denen die Integrität des Betriebssystems überprüft sowie mögliche Systeminkonsistenzen festgestellt werden können, die auf eine Schadprogramminfektion hinweisen. Durch die automatische Hervorhebung verdächtig eingestufter Ressourcen sind selbst Ermittler mit nur geringen Erfahrungen in der Lage, kritische Systemteile zu identifizieren, die einer näheren Untersuchung bedürfen. Der Einsatz des Erweiterungsmoduls erleichtert somit die Aufspürung von Computerschädlingen in nur kurzer Zeit