Startseite > Office & Kommunikation > Dem Hacker auf der Spur

IT-Forensik

Dem Hacker auf der Spur

29. August 2016, 9:32 Uhr | Autor: Lars Kroll / Redaktion: Axel Pomper

Fortsetzung des Artikels von Teil 1

Digitale Spurensuche und Beweissicherung im Netz

Verschafft sich ein Angreifer unberechtigten Zugriff auf ein IT-System, ist ein IT-Sicherheitsvorfall (Security Incident) eingetreten – und damit der Ernstfall. Allgemein unterscheidet man bei IT-Forensik – abhängig vom Zeitpunkt der Untersuchung – zwei verschiedene Varianten. So spricht man von einer Post-mortem-Analyse, wenn der Vorfall nachträglich aufgeklärt wird, und von einer Online- oder Live-Forensik, wenn die Datenanalyse bereits während des Vorfalls startet.

Grundsätzlich wird die IT-Forensik als eine streng methodische, jederzeit nachweisbare und begründbare Datenanalyse zur Aufklärung von Vorfällen betrachtet. Sie gibt wichtige Hinweise für notwendige Prozesse und Handlungsspielräume (Incident Response) für das Eingrenzen und Eindämmen einer Attacke – auch, um den Geschäftsbetrieb des attackierten Unternehmens aufrecht zu erhalten. Dabei ist es wichtig zu verstehen, wie der identifizierte Cyberangriff funktionierte, welches Ziel er verfolgte und welche (Kollateral-)Schäden die IT-Infrastruktur als Ergebnis eines Angriffs davongetragen hat. Häufig gibt es bei der Aufarbeitung eines Vorfalls unterschiedliche Ziele, wie etwa eine Zuordnung wer und was betroffen ist oder die Bezifferung des möglichen Schadens. Verdächtige Vorfälle im Zusammenhang mit IT-Systemen werden mit Hilfe verschiedener Ermittlungs- und Analyseverfahren wie Arbeitsspeicher- oder Netzwerkanalysen untersucht. Anschließend lässt sich der Tatbestand feststellen und im Idealfall der oder die Täter fassen. Von großer Bedeutung ist es, die gesammelten Beweise und Indizien für eine Attacke zu erfassen, lückenlos zu dokumentieren und vor allem manipulationssicher zu speichern. Bevor es dazu kommt, muss ein Angriff aufgespürt werden – und das kann durchaus dauern. Laut einer Studie benötigt ein Unternehmen durchschnittlich 256 Tage, um einen Angriff auf ein System zu erkennen. Schnelle Antworten sind daher in der Regel zumindest zu Beginn eines Sicherheitsvorfalles von der IT-Forensik nicht zu erwarten. Stattdessen geht es um eine detaillierte Analyse des Vorfalls, auch zum Zweck einer späteren Strafverfolgung, deren Methoden sie sich bedient. Um identifizierte Sicherheitslücken schnell zu schließen, sind zusätzlich andere Mittel zur Erstbewertung wie Cyber Intelligence notwendig. Erst später wird das Bild mit den über einen längeren Zeitraum gesammelten Erkenntnissen der forensischen Untersuchung vervollständigt.