https://wiki.ixheim.de/index.php?action=history&feed=atom&title=The_Sleuth_Kit_Grundlagen 2026-06-29T03:45:27Z Versionsgeschichte dieser Seite in Xinux Wiki MediaWiki 1.35.1 https://wiki.ixheim.de/index.php?title=The_Sleuth_Kit_Grundlagen&diff=63196&oldid=prev 2025-05-20T18:40:14Z

<p>Die Seite wurde neu angelegt: „ =Grundsätzliches= *The Sleuth Kit ist eine forensische Software-Sammlung für die Kommandozeile von informationstechnischen Systemen. *Mit Hilfe dieser ist e…“</p> <p><b>Neue Seite</b></p><div><br /> =Grundsätzliches=<br /> *The Sleuth Kit ist eine forensische Software-Sammlung für die Kommandozeile von informationstechnischen Systemen.<br /> *Mit Hilfe dieser ist es möglich verschiedenste Informationen über ein Computersystem oder ein Speicherabbild zu erhalten.<br /> *Eine manuell durchgeführte Analyse oder Teilanalyse von Daten bringt meist genaue Informationen über die Verwendung der Systeme und der darauf enthaltenen Informationen.<br /> *Es ist möglich einzelne Untersuchungsschritte miteinander in Skripten zu automatisieren.<br /> *Dadurch ist eine gezielte und beschleunigte Verwendung zur Untersuchung möglich.<br /> *Diese Funktionalität wird auch in der grafischen Benutzeroberfläche, dem sogenannten Autopsy Forensic Browser verwendet.<br /> *Sleuth Kit unterstützt dabei folgende Dateisysteme: NTFS, FAT, UFS 1, UFS 2, Ext2, Ext3, Ext4, HFS, YAFFS2 und ISO 9660.<br /> == Die einzelnen Werkzeuge ==<br /> <br /> In der Sammlung Sleuth Kit sind eine Vielzahl an thematisch unterschiedlichen Einzelprogrammen enthalten.<br /> <br /> === Dateisystem Ebene ===<br /> <br /> * ''fsstat'' zeigt Details zum untersuchten Dateisystem an. Dazu zählen Größenangaben, Layout und Bezeichnungen.<br /> <br /> === Dateinamen Ebene ===<br /> <br /> * ''ffind'' untersucht die Dateistrukturen und findet allozierte und un-allozierte Dateinamen, welche auf Metadatenstrukturen verweisen.<br /> * ''fls'' listet allozierte und gelöschte Dateien innerhalb eines gegebenen Verzeichnisses auf.<br /> <br /> === Metadaten Ebene ===<br /> <br /> * ''icat'' ermöglicht Dateneinheiten einer Datei anhand ihrer Metadatenadressen zu extrahieren.<br /> * ''ifind'' findet zu einem gegebenen Dateinamen die entsprechenden Metadaten oder die Metadaten die zu einer bestimmten Dateneinheit verweisen.<br /> * ''ils'' listet die Metadatenstrukturen und deren Inhalt auf.<br /> * ''istat'' listet Statistiken und Details zu einer gegebenen Metadatenstruktur auf.<br /> <br /> === Dateneinheit Ebene ===<br /> <br /> * ''blkcat'' extrahiert den Inhalt einer bestimmten Dateneinheit.<br /> * ''blkls'' kann Details zu Dateneinheiten auflisten und den un-allozierten Speicherplatz eines Dateisystems extrahieren.<br /> * ''blkstat'' zeigt Statistiken zu einer gegebenen Dateneinheit an.<br /> * ''blkcalc'' berechnet den Ort an dem Daten am Originaldatenträger zu finden sind, die am Image im un-allozierten Speicherbereich gefunden wurden.<br /> <br /> === Dateisystemjournal Ebene ===<br /> <br /> * ''jcat'' zeigt den Inhalt eines gegebenen Journal-Blocks an.<br /> * ''jls'' listet die Einträge im Dateisystemjournal auf.<br /> * ''mmls'' zeigt das Layout eines Dateisystems an. Es listet dabei auch nicht allokierte Speicherbereiche auf und macht Angaben über die Typen, Positionen und Größen der Partitionen.<br /> <br /> === Speicherabbild ===<br /> <br /> * ''img_stat'' zeigt Details über das Dateisystem-Image an.<br /> * ''img_cat'' zeigt die Rohdaten des Dateisystem-Images an.<br /> <br /> === Sonstiges ===<br /> <br /> * ''mactime'' erstellt eine Zeitlinie aus den Ausgaben von ''ils'' und ''fls''.<br /> * ''sorter'' sortiert Dateien anhand ihrer Dateitypen und überprüft ihre Dateierweiterung und führt Hashdatenbankvergleiche durch.<br /> * ''sigfind'' sucht Binärwerte in einer Dateistruktur.<br /> <br /> <br /> =Quelle=<br /> *https://de.wikipedia.org/wiki/The_Sleuth_Kit</div>

Thomas.will