Interaktive Lösung zur Probeklausur

Aufgabe 1: Dual-Choice-Quiz

Testen Sie Ihr Wissen mit diesen 10 Dual-Choice-Fragen. Klicken Sie auf "Wahr" oder "Falsch", um Ihre Antwort zu geben und die korrekte Lösung samt Erklärung anzuzeigen. Jede richtige Antwort gibt einen Punkt.

Aufgabe 2: Master Boot Record (MBR)

Diese Aufgabe behandelt den Aufbau und die Funktion des Master Boot Records, einer fundamentalen Struktur für die Organisation von Datenträgern.

i) Aufbau und Funktion des MBR

Der Master Boot Record (MBR) ist der 512 Byte große erste Sektor eines partitionierten Datenträgers. Er ist entscheidend für den Systemstart und die Organisation der Partitionen. Seine Struktur lässt sich visuell wie folgt darstellen:

ii) Begrenzung der primären Partitionen und deren Umgehung

Auf einem MBR-partitionierten Datenträger können maximal vier primäre Partitionen eingerichtet werden. Diese Beschränkung ergibt sich direkt aus der fixen Größe der Partitionstabelle im MBR, die nur Platz für vier 16-Byte-Einträge bietet.

Um diese Einschränkung zu umgehen, wird eine erweiterte Partition verwendet.

• Eine erweiterte Partition ist eine spezielle Art von primärer Partition, die als Container für weitere Partitionen dient.
• Innerhalb der erweiterten Partition können beliebig viele logische Partitionen erstellt werden.
• Diese logischen Partitionen sind über eine verkettete Liste von Extended Boot Records (EBRs) miteinander verbunden, wobei jeder EBR eine logische Partition beschreibt und auf den nächsten EBR verweist.

Aufgabe 3: FAT-Dateisystem

Diese Aufgabe befasst sich mit dem FAT-Dateisystem, seiner Funktionsweise und der Analyse eines Dateisystem-Images.

i) Aufgabe der File Allocation Table (FAT)

Die File Allocation Table (FAT) ist das Herzstück eines FAT-Dateisystems. Sie ist eine Tabelle, die den gesamten Datenbereich des Volumes in Cluster (die kleinste logische Speichereinheit) einteilt. Ihre Hauptaufgabe ist es, den Belegungsstatus jedes Clusters zu verwalten. Für jeden Cluster gibt es einen Eintrag in der FAT, der angibt, ob der Cluster frei, belegt, defekt oder der letzte Cluster einer Datei ist. Sie fungiert als eine "Karte" des Dateisystems.

ii) Funktionsweise einer FAT-Chain

Wenn eine Datei gespeichert wird, deren Größe mehr als einen Cluster beansprucht, werden die Cluster in einer sogenannten FAT-Chain (Cluster-Kette) miteinander verknüpft. So funktioniert es:

iii) Informationen und Verwendung des FSINFO-Blocks (FAT32)

Der FSINFO-Block existiert nur in FAT32-Dateisystemen und dient der Leistungsoptimierung. Da die FAT bei FAT32 sehr groß sein kann, würde ein Scan nach freien Clustern viel Zeit kosten. Der FSINFO-Block speichert daher zwei wichtige Hinweise:

• Anzahl der freien Cluster: Eine ungefähre Zählung der verfügbaren Cluster.
• Nächster freier Cluster: Ein Hinweis, wo die Suche nach einem freien Cluster beginnen sollte.

Dies beschleunigt das Anlegen neuer Dateien erheblich. Aus forensischer Sicht ist zu beachten, dass diese Informationen nicht immer exakt sein müssen.

iv) Analyse des Images `fat.dd`

Die folgenden Analysen basieren auf diesem `fsstat`-Output:

FILE SYSTEM INFORMATION
File System Type: FAT16
Total Range: 0-61439
* Reserved: 0-0
** Boot Sector: 0
* FAT 0: 1-60
* FAT 1: 61-120
* Data Area: 121-61439
** Root Directory: 121-152
** Cluster Area: 153-61436
** Non-clustered: 61437-61439
METADATA INFORMATION
Range: 2-981110
Root Directory: 2
CONTENT INFORMATION
Sector Size: 512
Cluster Size: 2048
Total Cluster Range: 2-15322
...

(a) Layout und Sektoren des Wurzelverzeichnisses

Das Wurzelverzeichnis (Root Directory) belegt laut Output die Sektoren 121 bis 152.

(b) `dd`-Befehl zum Extrahieren von FAT 1

Um die zweite FAT-Kopie (FAT 1), die bei Sektor 61 beginnt und 60 Sektoren lang ist, zu extrahieren, lautet der `dd`-Befehl:

dd if=fat.dd of=fat1.bin bs=512 skip=61 count=60

(c) Sektoren von Cluster 4 und 104 (Interaktiver Rechner)

Zuerst berechnen wir die Sektoren pro Cluster: 2048 Bytes / 512 Bytes = 4 Sektoren/Cluster. Der Clusterbereich beginnt bei Sektor 153 und die Clusterzählung bei 2. Die Formel lautet: Startsektor = 153 + (Cluster-Nr - 2) * 4.

(d) Fragmentierte Dateien und Anzahl der Dateien/Verzeichnisse

Die Ausgabe von `fsstat` zeigt mehrere mit `EOF` endende Cluster-Ketten. Das bedeutet, es gibt mehrere allozierte Dateien/Verzeichnisse. Ob eine *einzelne* Datei davon fragmentiert ist, lässt sich allein aus diesem Output nicht sicher sagen, da jede Zeile eine komplette, nicht fragmentierte Datei sein könnte. Um die genaue Anzahl der Dateien und Verzeichnisse zu bestimmen, müsste der Inhalt des Wurzelverzeichnisses (Sektoren 121-152) analysiert werden, z.B. mit `fls`. Der gegebene Output reicht dafür nicht aus.

Aufgabe 4: NTFS-Dateisystem

Diese Aufgabe widmet sich spezifischen Aspekten des NTFS-Dateisystems, von Metadateien bis hin zum Löschvorgang.

i) Erläuterung des `fls` Ausschnitts

r/r 8-128-2: $BadClus
r/r 8-128-1: $BadClus:$Bad

Dieser `fls`-Output zeigt Einträge, die sich auf die NTFS-Metadatei $BadClus beziehen.

• $BadClus: Eine Systemdatei, die eine Liste aller als defekt markierten Cluster auf dem Volume enthält. Das Dateisystem meidet diese Cluster, um Datenkorruption zu verhindern.
• 8-128-2: Steht für MFT-Eintrag 8 (Standard für $BadClus), Attributtyp 128 (Attribut für $DATA) und Instanz 2.
• $BadClus:$Bad: Der Teil nach dem Doppelpunkt ($Bad) ist ein benannter Datenstrom (Alternate Data Stream, ADS). In diesem Fall speichert der ADS die eigentlichen Daten über die fehlerhaften Cluster.

Forensisch deutet ein umfangreicher $BadClus-Eintrag auf mögliche physische Schäden des Datenträgers hin.

ii) Organisation von Verzeichnissen in NTFS

Verzeichnisse in NTFS sind intern als Dateien organisiert, die einen Index aller enthaltenen Dateien und Unterverzeichnisse führen. Dieser Index ist als B-Baum strukturiert, um ein schnelles Suchen zu ermöglichen. Zwei Attribute sind hierbei zentral:

iii) Der Löschvorgang aus forensischer Sicht

Wenn eine Datei in NTFS gelöscht wird, werden die Daten nicht sofort physikalisch entfernt. Es handelt sich um eine "logische" Löschung, die Spuren hinterlässt, welche für die Forensik entscheidend sind:

1. MFT-Eintrag wird markiert: Im MFT-Eintrag der Datei wird ein Flag (z.B. "in use") auf "nicht in Gebrauch" gesetzt. Der Eintrag selbst mit allen Metadaten (Dateiname, Zeitstempel, Cluster-Verweise) bleibt aber vorerst erhalten.
2. Cluster werden freigegeben: In der $Bitmap-Metadatei werden die Bits, die den von der Datei genutzten Clustern entsprechen, von '1' (belegt) auf '0' (frei) gesetzt. Die Cluster sind nun für neue Daten verfügbar.
3. Verzeichniseintrag wird entfernt: Der Verweis auf die Datei im Index des übergeordneten Verzeichnisses ($INDEX_ROOT/$INDEX_ALLOCATION) wird als gelöscht markiert.

Forensische Relevanz: Die eigentlichen Dateidaten bleiben in den Clustern erhalten, bis sie überschrieben werden. Solange dies nicht geschehen ist, kann die Datei mithilfe von "File Carving" oder durch Analyse des "gelöschten" MFT-Eintrags wiederhergestellt werden.

Aufgabe 5: Secure Boot

Diese Aufgabe behandelt das Sicherheitskonzept Secure Boot und die damit verbundenen fundamentalen Begriffe der Informationssicherheit.

i) Secure Boot auf mobilen Geräten

Secure Boot ist ein Mechanismus, der sicherstellt, dass beim Start eines Geräts nur vom Hersteller signierte und vertrauenswürdige Software geladen wird. Dies verhindert das Ausführen von manipulierter Firmware oder bösartigen Betriebssystemen (Rootkits). Der Prozess bildet eine "Chain of Trust":

ii) Root of Trust und Chain of Trust

• Root of Trust (RoT): Die absolut vertrauenswürdige Quelle in einem System, die nicht kompromittiert werden kann. Sie ist typischerweise in Hardware implementiert (z.B. ein Schlüssel im Prozessor). Der RoT ist der Anfangs- und Ankerpunkt jeder Sicherheitsüberprüfung.
• Chain of Trust (Vertrauenskette): Eine hierarchische Abfolge von Verifizierungen. Sie beginnt beim RoT. Jedes "Glied" der Kette (jede Softwarekomponente) ist dafür verantwortlich, die Integrität und Authentizität des nächsten Glieds zu überprüfen, bevor es ausgeführt wird. Wenn ein Glied bricht (eine Signatur ungültig ist), wird die gesamte Kette unterbrochen.

iii) Integrität, Authentizität und Nichtabstreitbarkeit

Diese drei Begriffe sind Säulen der Informationssicherheit mit unterschiedlichen Zielen: