An Ontology for Digital Forensics in IT Security Incidents - OPUS

4 CONTENTS
5.1.4 Storage . . . . . . . . . . . . . . . . . . . . . . . . . . 36
5.1.5 SPARQL . . . . . . . . . . . . . . . . . . . . . . . . . 37
5.2 Ontology Tools . . . . . . . . . . . . . . . . . . . . . . . . . . 38
5.2.1 Altova Semantic Works . . . . . . . . . . . . . . . . . 38
5.2.2 Protégé . . . . . . . . . . . . . . . . . . . . . . . . . . 39
5.2.3 Gephi . . . . . . . . . . . . . . . . . . . . . . . . . . . 39
5.2.4 RDF Gravity . . . . . . . . . . . . . . . . . . . . . . . 39
5.2.5 Cytoscape . . . . . . . . . . . . . . . . . . . . . . . . . 39
5.2.6 Conclusion . . . . . . . . . . . . . . . . . . . . . . . . 39
5.2.7 Raptor RDF and GraphViz . . . . . . . . . . . . . . . 40
5.3 Storage . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 40
5.3.1 Neo4J . . . . . . . . . . . . . . . . . . . . . . . . . . . 40
5.3.2 Sesame . . . . . . . . . . . . . . . . . . . . . . . . . . 40
6 Forensic Ontology 43
6.1 Forensic Object . . . . . . . . . . . . . . . . . . . . . . . . . . 43
6.2 Hardware . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 43
6.3 Software . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 44
6.4 User . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 45
6.5 Process . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 45
6.6 Network . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 45
6.7 Registry . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 46
6.8 File System . . . . . . . . . . . . . . . . . . . . . . . . . . . . 46
6.9 Memory . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 50
6.10 Example . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 51
6.10.1 Hard Disk . . . . . . . . . . . . . . . . . . . . . . . . . 51
6.10.2 Random Access Memory . . . . . . . . . . . . . . . . . 52
6.10.3 Registry . . . . . . . . . . . . . . . . . . . . . . . . . . 53
7 Implementation 55
7.1 Overview . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 55
7.2 RDFS . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 55
7.3 RDF . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 56
7.4 Volatility plugin: hivedump2 . . . . . . . . . . . . . . . . . . 56
7.5 Database . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 58
7.6 SPARQL . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 58
7.6.1 Find File . . . . . . . . . . . . . . . . . . . . . . . . . 58
7.6.2 Autorun . . . . . . . . . . . . . . . . . . . . . . . . . . 60
7.6.3 Parent Process . . . . . . . . . . . . . . . . . . . . . . 60
7.7 Adding additional data: Log les . . . . . . . . . . . . . . . . 63
7.8 Statistics . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 64