61
}
2.11
Forensik in Cloud-Umgebungen
Computer-Forensik
Die Computer-Forensik beschäftigt sich mit der Identifikation, Erfassung,
Analyse und Präsentation von digitalen Daten, um Tatbestände aufzuklären.
Im Rahmen der Identifikation werden mögliche Beweismittel, abhängig vom
tatsächlichen Tatbestand, gemeinsam mit dem Auftraggeber identifiziert.
Bei der Erfassung gilt es, den Tatort und Untersuchungsbereich
entsprechend abzusichern, Beweisspuren sorgfältig zu sichern, die Integrität
der gesicherten Daten zu bewahren und nachzuweisen. Im Analyseschritt
werden daraufhin die Spuren sorgfältig ausgewertet, die Ergebnisse objektiv
bewertet und die daraus gezogenen Schlüsse immer wieder kritisch
hinterfragt. Die Erkenntnisse werden im Zuge der Präsentation schlüssig und
nachhaltig dokumentiert.
16
Herausforderung Cloud
Gerade die Phase Erfassung stellt den Forensiker in der Cloud vor eine
große Herausforderung. Dienen bei konventioneller Computer-Forensik oft
die physischen Datenträger als Einstiegspunkt, um im besten Falle Bit-weise
Kopien dieser zu erstellen, ist genau das in der Cloud fast unmöglich. Auf
welchen Datenträgern die Daten gespeichert sind bzw. wo sich diese
Datenträger physisch befinden, ist für den Cloud-Anwender, aber auch für
den Forensiker in den meisten Fällen nicht feststellbar. Für die forensische
Datenerfassung in der Cloud müssen alternative − aber ebenso qualitative −
Verfahren angewendet werden. Der Forensiker muss die Daten über
logische Schnittstellen (z. B. virtuelle Verzeichnisse, Datenbanken) sichern.
Einige Cloud-Provider speichern bereits heute zu jedem Datensatz
entsprechende Hashes (digitale Fingerabdrücke), die im Falle einer
forensischen Analyse bereits verwendet werden könnten. Wichtig ist hier
aber, dass bereits vorab entsprechende Verfahren zwischen Cloud-
Anwender und Cloud-Provider in SLAs vereinbart werden. Des Weiteren
sollte auch eine entsprechende technische Dokumentation existieren, um
die Glaubwürdigkeit der Daten sicherzustellen.
Ein wesentlicher Erfolgsfaktor für computerforensische Untersuchungen ist
das Vorhandensein von ausreichenden Log-Daten. So sollten für Netzwerke,
Systeme und Applikationen die entsprechenden Aufzeichnungen vorhanden
sein. Auch die Verfügbarkeit der Log-Daten für den Forensiker und die
16
Vgl. Computer Forensik: Systemeinbrüche erkennen, ermitteln, aufklären; Alexander
Geschonneck
