Foremost Beispiele: Unterschied zwischen den Versionen
Zur Navigation springen
Zur Suche springen
(Die Seite wurde neu angelegt: „=Forensisches Demo-Szenario: Foremost (File Carving)= ==Ziel des Szenarios== *Aufzeigen, dass gelöschte Dateien trotz intaktem oder zerstörtem Dateisystem a…“) |
|||
| Zeile 1: | Zeile 1: | ||
| − | =Forensisches Demo-Szenario: Foremost | + | =Forensisches Demo-Szenario: Foremost= |
| − | ==Ziel | + | ==Ziel== |
| − | * | + | *Demonstration von File Carving |
| − | *Aha-Effekt: | + | *Aha-Effekt: Gelöschte Dateien sind noch rekonstruierbar |
| + | *Trennung von Dateisystem-Sicht und Rohdaten-Sicht | ||
==Ausgangslage== | ==Ausgangslage== | ||
| − | *Linux-System | + | *Linux-System |
| − | * | + | *Loop-Device als Testmedium |
| − | * | + | *Zwei reale Dateien: |
| − | * | + | **tux.png |
| + | **daemon.pdf | ||
| − | == | + | ==Testmedium vorbereiten== |
*dd if=/dev/zero of=stick.img bs=1M count=100 | *dd if=/dev/zero of=stick.img bs=1M count=100 | ||
*mkfs.ext4 stick.img | *mkfs.ext4 stick.img | ||
| Zeile 17: | Zeile 19: | ||
*mount -o loop stick.img /mnt/forensic | *mount -o loop stick.img /mnt/forensic | ||
| − | == | + | ==Dateien beschaffen== |
| − | *cp | + | *wget https://xinux.de/downloads/forensic/tux.png |
| − | *cp | + | *wget https://xinux.de/downloads/forensic/daemon.pdf |
| + | |||
| + | ==Dateien auf das Medium kopieren== | ||
| + | *cp tux.png /mnt/forensic/ | ||
| + | *cp daemon.pdf /mnt/forensic/ | ||
*sync | *sync | ||
| − | == | + | ==Dateien löschen== |
| − | *rm /mnt/forensic/ | + | *rm /mnt/forensic/tux.png |
| − | *rm /mnt/forensic/ | + | *rm /mnt/forensic/daemon.pdf |
*sync | *sync | ||
*umount /mnt/forensic | *umount /mnt/forensic | ||
;Beobachtung | ;Beobachtung | ||
| − | *Dateien sind | + | *Dateien sind für das Betriebssystem verschwunden |
| − | *Kein Zugriff | + | *Kein Zugriff über ls oder Dateimanager möglich |
| − | == | + | ==Forensische Analyse== |
*foremost -i stick.img -o foremost-output | *foremost -i stick.img -o foremost-output | ||
| − | == | + | ==Ergebnis prüfen== |
*cd foremost-output | *cd foremost-output | ||
*ls | *ls | ||
;Typisches Ergebnis | ;Typisches Ergebnis | ||
| − | *Ordner | + | *Ordner png/ und pdf/ |
| − | *Dateien mit generischen Namen | + | *Dateien mit generischen Namen |
| − | *audit.txt mit | + | *audit.txt mit Analyseinformationen |
| − | == | + | ==Didaktische Erklärung== |
| + | *rm löscht nur Dateisystem-Referenzen | ||
| + | *Die Datenblöcke bleiben unverändert | ||
*Foremost ignoriert das Dateisystem vollständig | *Foremost ignoriert das Dateisystem vollständig | ||
| − | *Es | + | *Es arbeitet ausschließlich auf dem Datenstrom |
| − | |||
| − | |||
| − | |||
| − | |||
| − | |||
| − | |||
| − | |||
| − | |||
| − | |||
| − | |||
| − | == | + | ==Forensische Aussagekraft== |
| − | + | *Beweisbar: | |
| − | * | + | **Diese Dateien waren physisch auf dem Medium vorhanden |
| − | * | + | *Nicht beweisbar: |
| + | **Dateiname | ||
| + | **Pfad | ||
| + | **Zeitstempel | ||
| + | **Benutzer | ||
==Abgrenzung== | ==Abgrenzung== | ||
| − | + | *Foremost arbeitet roh (Header/Footer) | |
| − | *Foremost arbeitet roh | ||
*Sleuth Kit arbeitet metadatenbasiert | *Sleuth Kit arbeitet metadatenbasiert | ||
| − | * | + | *Beide Werkzeuge ergänzen sich |
==Merksatz== | ==Merksatz== | ||
*Foremost beweist Existenz von Daten – nicht deren Geschichte. | *Foremost beweist Existenz von Daten – nicht deren Geschichte. | ||
Version vom 9. Februar 2026, 18:31 Uhr
Forensisches Demo-Szenario: Foremost
Ziel
- Demonstration von File Carving
- Aha-Effekt: Gelöschte Dateien sind noch rekonstruierbar
- Trennung von Dateisystem-Sicht und Rohdaten-Sicht
Ausgangslage
- Linux-System
- Loop-Device als Testmedium
- Zwei reale Dateien:
- tux.png
- daemon.pdf
Testmedium vorbereiten
- dd if=/dev/zero of=stick.img bs=1M count=100
- mkfs.ext4 stick.img
- mkdir /mnt/forensic
- mount -o loop stick.img /mnt/forensic
Dateien beschaffen
- wget https://xinux.de/downloads/forensic/tux.png
- wget https://xinux.de/downloads/forensic/daemon.pdf
Dateien auf das Medium kopieren
- cp tux.png /mnt/forensic/
- cp daemon.pdf /mnt/forensic/
- sync
Dateien löschen
- rm /mnt/forensic/tux.png
- rm /mnt/forensic/daemon.pdf
- sync
- umount /mnt/forensic
- Beobachtung
- Dateien sind für das Betriebssystem verschwunden
- Kein Zugriff über ls oder Dateimanager möglich
Forensische Analyse
- foremost -i stick.img -o foremost-output
Ergebnis prüfen
- cd foremost-output
- ls
- Typisches Ergebnis
- Ordner png/ und pdf/
- Dateien mit generischen Namen
- audit.txt mit Analyseinformationen
Didaktische Erklärung
- rm löscht nur Dateisystem-Referenzen
- Die Datenblöcke bleiben unverändert
- Foremost ignoriert das Dateisystem vollständig
- Es arbeitet ausschließlich auf dem Datenstrom
Forensische Aussagekraft
- Beweisbar:
- Diese Dateien waren physisch auf dem Medium vorhanden
- Nicht beweisbar:
- Dateiname
- Pfad
- Zeitstempel
- Benutzer
Abgrenzung
- Foremost arbeitet roh (Header/Footer)
- Sleuth Kit arbeitet metadatenbasiert
- Beide Werkzeuge ergänzen sich
Merksatz
- Foremost beweist Existenz von Daten – nicht deren Geschichte.