Seminar Dissect – Container, Volumes und Dateisysteme

Dieses Seminar behandelt die technischen Schichten zwischen Beweismitteldatei und analysierbarem Betriebssystem. Im Mittelpunkt stehen Containerformate, Partitionstabellen, logische Volume-Systeme, Verschachtelungen und Dateisysteme sowie deren automatische und manuelle Diagnose in Dissect.

Inhaltsverzeichnis

1. Schichtenmodell und forensische Datenpfade
2. Containerformate und virtuelle Datenträger
3. Partitionstabellen und mehrere Datenträger
4. Logische Volume-Systeme und Speicherverbünde
5. Dateisystemerkennung und Zugriff
6. Unvollständige und beschädigte Quellen
7. Extraktion und Übergabe an die Artefaktanalyse

Lernziele

• Container-, Volume- und Dateisystemschichten sicher voneinander unterscheiden
• Komplexe Datenträgeraufbauten und mehrere Disks korrekt als Target laden
• Partitionen, logische Volumes und Dateisysteme inventarisieren und plausibilisieren
• Fehlerhafte oder unvollständige Speicherstrukturen gezielt diagnostizieren
• Geeignete Werkzeuge und API-Ebenen für Extraktion und Analyse auswählen

Seminarinhalte

1. Schichtenmodell und forensische Datenpfade

1. Schritt 1: Physische Quelle, Container, Disk, Partition, logisches Volume, Dateisystem und Betriebssystem als getrennte Ebenen modellieren.
2. Schritt 2: Automatische Erkennungsschritte von Dissect entlang des Datenpfads nachvollziehen.
3. Schritt 3: Mehrdeutige Begriffe wie Image, Volume und Target im Fallteam einheitlich definieren.
4. Schritt 4: Für jedes Beweismittel eine Schichtenübersicht als technische Kontrollliste erstellen.

2. Containerformate und virtuelle Datenträger

1. Schritt 1: Raw-, EWF-, VMDK-, VHDX-, VDI- und QCOW2-Quellen anhand von Metadaten und Kontext unterscheiden.
2. Schritt 2: Geteilte Images und zusammengehörige Segmentdateien vollständig zuordnen.
3. Schritt 3: Deskriptor- und Diskdateien bei virtuellen Maschinen korrekt auswählen.
4. Schritt 4: Container mit target-info, target-inspect oder der Python API auf Größe und innere Struktur prüfen.

3. Partitionstabellen und mehrere Datenträger

1. Schritt 1: MBR-, GPT-, APM- und BSD-Schemata erkennen und Partitionsgrenzen plausibilisieren.
2. Schritt 2: Mehrere Disks als ein Target verbinden, wenn das Quellsystem diese gemeinsam verwendet.
3. Schritt 3: Überlappende, versteckte oder nicht zugeordnete Bereiche für weitere Untersuchung markieren.
4. Schritt 4: Partitionstabellen mit Containergröße und erwarteter Systemarchitektur abgleichen.

4. Logische Volume-Systeme und Speicherverbünde

1. Schritt 1: LVM, Software-RAID, Dynamic Disks, VMFS und weitere unterstützte Volume-Schichten identifizieren.
2. Schritt 2: Physische und logische Komponenten eines Verbunds in der richtigen Reihenfolge zuordnen.
3. Schritt 3: Fehlende Mitglieder und degradierte Verbünde erkennen und deren Auswirkungen dokumentieren.
4. Schritt 4: Verschachtelte Volume-Schichten ohne unnötige Zwischenkopien lesbar machen.

5. Dateisystemerkennung und Zugriff

1. Schritt 1: NTFS, FAT, EXT, XFS, BTRFS, APFS und weitere unterstützte Dateisysteme automatisch erkennen.
2. Schritt 2: Root-Dateisystem, Mountpunkte, Laufwerksbuchstaben und zusätzliche Volumes kontrollieren.
3. Schritt 3: Verzeichnisse und Dateien über target-shell, target-fs oder TargetPath lesen.
4. Schritt 4: Dateisystemmetadaten und Timestamps vor einer inhaltlichen Interpretation validieren.

6. Unvollständige und beschädigte Quellen

1. Schritt 1: Ladefehler nach Container-, Volume- oder Dateisystemebene trennen.
2. Schritt 2: Fehlende Segmente, beschädigte Metadaten und falsche Offsets anhand von Kontrollwerten eingrenzen.
3. Schritt 3: Alternative Loader oder manuelle API-Zugriffe nur mit dokumentierter Begründung einsetzen.
4. Schritt 4: Teilzugriffe und Unsicherheiten sichtbar kennzeichnen, ohne die Quelle zu verändern.

7. Extraktion und Übergabe an die Artefaktanalyse

1. Schritt 1: Geeignete Ebene für Datei-, Volume- oder Diskextraktion bestimmen.
2. Schritt 2: target-dump, target-dd oder dateibezogene Werkzeuge entsprechend dem Untersuchungsziel auswählen.
3. Schritt 3: Extrahierte Daten mit Quellpfad, Offset oder Dateisystembezug dokumentieren.
4. Schritt 4: Technische Schichtenübersicht an die nachfolgende Betriebssystem- und Artefaktanalyse übergeben.

Praxisübungen

• Inventarisierung eines komplexen Images mit mehreren Partitionen und Dateisystemen
• Analyse einer virtuellen Maschine mit Deskriptor, mehreren Disks und Snapshot-Bezug
• Diagnose eines unvollständigen Volume-Verbunds und Dokumentation der verbleibenden Zugriffswege
• Gezielte Extraktion einer Datei, eines Volumes und eines Rohdatenbereichs mit Herkunftsnachweis

Zielgruppe

DFIR-Analysten, Forensiker, Incident Responder und Administratoren mit Verantwortung für komplexe Images oder virtuelle Datenträger

Voraussetzungen

Grundlagen von Datenträgern, Partitionen und Dateisystemen sowie praktische Erfahrung mit Dissect-Grundbefehlen