Aufrufe
vor 4 Jahren

LinuxUser Fotos bearbeiten (Vorschau)

Netz&System Guymager Mit

Netz&System Guymager Mit Guymager beweissichere Abbilder von Festplatten anlegen Im Ganzen gespiegelt Hat sich ein Schädling im System eingenistet, dann gilt es, Beweise zu sichern. Mit Guymager erstellen Sie verifizierte Abbilder von Daten- trägern. Erik Bärwaldt Programme zur forensischen Datensicherung kommen immer dann zum Einsatz, wenn eine Analyse am originalen Speichermedium nicht ratsam ist, weil diese eventuell Strukturen verändert. Möchten Sie ein Speichermedium als Beweis oder zum Nachweis von Malware duplizieren, um an der Kopie zu arbeiten, gilt es, ein originalgetreues Duplikat anzufertigen. Außerdem muss es möglich sein, dieses Image als solches zu verifizieren. Readme Für das gelegentliche Klonen von Datenträgern oder das Anlegen eines Abbilds lohnt der Einsatz einer Forensik-Distributionen nicht. Dann übernimmt Guymager die Arbeit. © Thoursie, Freeimages.com Software zum Anfertigen eines herkömmlichen Images eignet sich für ein solches Unterfangen in der Regel nicht, weil schlicht die Möglichkeiten zum Verifizieren fehlen. Hier springt das Tool Guymager û in die Bresche, das nicht nur flugs Images anfertigt, sondern gleichzeitig den Nachweis identischer Datenstrukturen erbringt. Auf die Platte Guymager befindet sich bei Debian und Ubuntu sowie deren Derivaten bereits in den Repositories. Für OpenSuse û und Fedora û erhalten Sie Pakete online. Zusätzlich enthalten auch einige Live-Distributionen wie Deft oder Kali das Tool. Für alle anderen Systeme bleibt nur der Griff zum Quellcode. Diesen mitsamt einer detaillierten Anleitung zum Bau der Software finden Sie auf der Webseite des Projekts. Image Nach einem Klick auf den Starter fragt das Programm zunächst das Passwort ab, um sich Administratorrechte zu verschaffen. Dann öffnet sich ein übersichtliches Fenster 1 . Das Programm scannt dabei bereits das System nach Massenspeichern. Es berücksichtigt sowohl interne als auch externe Datenträger, wobei optische Laufwerke nur dann in der Liste auftauchen, wenn sich ein Medium in ihnen befindet. Dass die Software die einzelnen Laufwerke zusätzlich zum Namen der Gerätedatei mit Modellnamen anzeigt, erleichtert die Auswahl. Um ein Image zu erzeugen, klicken Sie in der Liste auf das gewünschte Quellmedium. Dann wählen Sie im Kontextmenü die Option Image-Datei erstellen. Nun öff- 84 www.linux-user.de 09.2014

Guymager Netz&System Guymager 0.7.3 LU/guymager/ 1 Die Oberfläche der Software stellt einige Informationen zu den Datenträgern im System bereit, gibt aber auf den ersten Blick keine Hinweise, wie sich ein Abbild erstellen lässt. net sich ein Eingabefenster mit sehr detaillierten Einstellmöglichkeiten 2 . Im Bereich Dateiformat geben Sie zunächst an, in welchem Format Sie das Image anlegen möchten. Guymager gibt hier EWF vor, wie es professionelle forensische Anwendungen verwenden. Alternativ bietet es an, ein dem Tool dd entsprechendes Image anzulegen. Sofern Sie das Format EWF beibehalten, können Sie zusätzliche Angaben wie Asservatenund Fallnummer, Bearbeiter sowie eine Beschreibung hinterlegen. Bei Einsatz von dd deaktiviert die Software diese Felder, da die Syntax des Kommandozeilentools solche Metadaten nicht unterstützt. Je nach Größe der Quelldaten und des Zieldatenträgers kann es helfen, das Image in einzelne Teile zu splitten. In diesem Fall geben Sie oben rechts im Fenster eine Größe im Feld Image splitten an. Bei Einsatz des Formats EWF stellt die Software an dieser Stelle automatisch einen Wert ein. Beim Sichern mithilfe von dd besteht die Möglichkeit, das Häkchen vor Image splitten zu entfernen und so ein Abbild in einem Rutsch zu erstellen. In der Gruppe Ziel mittig im Fenster geben Sie neben dem Pfad zum Speichern des Images und dessen Namen sowie eine Bezeichnung für die automatisch generierte Infodatei an. Diese enthält in Form von Text eine genaue Dokumentation der Arbeitsschritte, die zum Anlegen des Images nötig waren. Beachten Sie bitte, dass bestimmte Zeichen wie Binde- oder Unterstriche nicht im Namen der Infodatei vorkommen dürfen. Guymager zeigt in solchen Fällen einen Hinweis an, ändert den Dateinamen aber zusätzlich eigenständig ab. Die Datei mit den Infos erhält üblicherweise den gleichen Namen wie das Image, wobei die Software jedoch automatisch das Suffix .info vergibt, um einer möglichen Verwechslung vorzubeugen. Hash mich! Bei forensischen Arbeiten spielt die Integrität der vorhandenen sowie der geklonten Daten eine herausragende Rolle. Die Software arbeitet daher mit Hash- Funktionen, um diese zu dokumentieren. Dabei greift Guymager auf den MD5- Algorithmus sowie den SHA-Algorithmus in den Varianten SHA-1 und SHA-256 (als Bestandteil von SHA-2) zurück, um Prüfsummen zu errechnen. Voreingestellt arbeitet die Software mit MD5, während Sie die beiden anderen Funktionen durch Setzen eines Häkchens vor den entsprechenden Optionen im Bereich Hash-Berechnung und Verifizierung aktivieren. Das empfiehlt sich, denn der MD5-Algorithmus gilt als nicht mehr zeitgemäß. Darunter steuern Sie, ebenfalls per Klick in eine Checkbox, ob das Programm Quelle und Abbild nach getaner Arbeit verifiziert, um zu gewährleisten, dass die Daten nicht voneinander abweichen. Voreingestellt überprüft Guymager nach dem Anfertigen nur das Image. Beachten Sie, dass das Verifizieren bei großen Laufwerken und umfangreichen Images sehr viel Zeit beansprucht. Haben Sie alle Einstellungen vorgenommen, klicken Sie auf die Schaltfläche Start unten rechts im Fenster. Damit legt die Software das Image an. Im Hauptfenster erscheint nun in der Zeile des entsprechenden Datenträgers in der Spalte Status ein blauer Punkt mit der Information Akquisition läuft. In der Spalte Fortschritt informiert zudem ein blauer Balken über den Fortgang der Aktion. Im unteren Bereich des Programmfensters erscheinen außerdem alle wichtigen Einstellungen zur Anlage des Images. Hier lesen Sie die aktuelle Datenrate beim Sichern in MByte ab. Nach dem Fertigstellen des Abbilds zeigt die Anwendung in der Rubrik Status eine entsprechende Information an. Klonen Möchten Sie ein Gerät klonen, bietet Ihnen Guymager ein etwas anderes Prozedere an: Wie bei der Anlage eines Abbilds klicken Sie dazu im Hauptfenster mit der rechten Maustaste auf das zu klonende Gerät und wählen Gerät klonen. Die Software öffnet nun ein Fenster, in dem Sie im oberen Bereich die im Com- 09.2014 www.linux-user.de 85