Cyberforensik er den metodiske sikring, undersøgelse og evaluering af digitale spor efter cyberangreb og andre IT-sikkerhedshændelser. Det undersøger ikke kun, om et system er blevet kompromitteret, men forsøger også teknisk at rekonstruere, hvordan en hændelse udfoldede sig, hvilke systemer der blev påvirket, hvilke konti der blev brugt, og hvilke data der kan være blevet ændret, krypteret eller overført.

Typiske årsager til efterforskning omfatter ransomware-angreb, kompromitterede brugerkonti, malware, phishing, uautoriseret adgang, mistænkelig netværksaktivitet og potentiel lækage af fortrolige oplysninger. Cyberforensik kombinerer således traditionel IT-forensik med analyse af moderne sikkerhedshændelser.

Den afgørende forskel i forhold til simpel IT-fejlfinding ligger i undersøgelsens fokus. Det handler ikke kun om at genoprette et systems funktionalitet. Cyberforensik har også til formål at bevare eksisterende digitale spor, rekonstruere angrebsvektorer og dokumentere tekniske fund på en verificerbar måde.

Hvad betyder cyberforensik præcist?

Cyberforensik refererer til retsmedicinsk undersøgelse af computersystemer, netværk, servere, brugerkonti og andre digitale datakilder efter en mistænkt eller bekræftet sikkerhedshændelse.

Eksempler på data, der kan undersøges, omfatter computere, servere, virtuelle systemer, smartphones, cloudtjenester, logfiler, firewalls, VPN-systemer og netværksdata.

Målet er en teknisk verificerbar rekonstruktion af hændelsen.

Hvad er formålet med cyberforensik?

Afhængigt af hændelsen kan forskellige spørgsmål være i fokus.

Hvordan fik en angriber adgang til systemet? Hvilken brugerkonto blev brugt? Hvornår begyndte angrebet? Hvilken malware blev udført? Hvilke systemer blev efterfølgende tilgået? Blev der kopieret eller krypteret data? Er der stadig en aktiv konto?

Ikke alle spørgsmål kan besvares fuldt ud i enhver situation. Svaret afhænger af de datakilder, der rent faktisk er tilgængelige.

Hvad er forskellen mellem cyberforensik og IT-forensik?

IT-forensik er det overordnede felt for undersøgelse af digitale systemer og data.

Cyberforensik fokuserer mere på sikkerhedshændelser, angreb og kompromitterede systemer.

En undersøgelse af slettede virksomhedsfiler falder for eksempel ind under IT-forensik, uden nødvendigvis at udgøre et cyberangreb. I modsætning hertil er analysen af ​​en kompromitteret server efter et eksternt angreb typisk en del af cyberforensik.

Hvad er forskellen mellem cyberforensik og cybersikkerhed?

Cybersikkerhed handler primært om at beskytte IT-systemer mod angreb og sikkerhedsrisici.

Cyberforensik undersøger derimod eksisterende spor af en hændelse, der allerede er sket eller mistænkes for at være sket.

Begge områder er tæt forbundet. Resultater fra en retsmedicinsk undersøgelse kan for eksempel bruges til specifikt at forbedre sikkerhedsforanstaltninger.

Hvad er forskellen mellem cyberforensik og hændelsesrespons?

Hændelsesrespons refererer til den strukturerede reaktion på en igangværende eller nyligt opdaget sikkerhedshændelse.

Det primære fokus er typisk på inddæmning, beskyttelse af andre systemer, genoprettelse af operationer og koordinering af hændelsen.

Cyberforensik tilbyder teknisk analyse af digitale spor.

I mange tilfælde i den virkelige verden kører begge processer parallelt.

Hvorfor er rækkefølgen af ​​begivenhederne efter et cyberangreb vigtig?

Uovervejede handlinger kan ødelægge relevant bevismateriale.

Hvis for eksempel en kompromitteret computer geninstalleres med det samme, kan logfiler, malware, brugerartefakter og andre vigtige oplysninger gå tabt.

På den anden side kan et system, der forbliver aktivt, forårsage yderligere skade.

Derfor skal bevissikring og inddæmning vejes op mod hinanden.

Hvad er typiske årsager til cyberforensics?

De mest almindelige årsager inkluderer ransomware, phishing, kompromitterede e-mailkonti, malware, trojanske heste, mistænkelige brugerlogin, uautoriseret fjernadgang, datalækager og angreb på virksomhedens servere.

Usædvanlige ændringer i filer eller uforklarlig netværkskommunikation kan også være grundlag for en undersøgelse.

Hvad er et kompromitteret system?

Et system betragtes som kompromitteret, når en uautoriseret aktør har opnået kontrol eller adgang, eller når sikkerhedsmekanismer er blevet overvundet.

Dette kan påvirke en enkelt brugerkonto eller et helt serversystem.

Omfanget af en kompromittering skal fastlægges separat gennem retsmedicinsk undersøgelse.

Kan et cyberangreb på en computer bevises?

Ja, under passende forhold.

Angreb kan efterlade spor i hændelseslogfiler, filsystemer, browsere, brugerprofiler, registreringsdatabasedata, netværksforbindelser og andre systemområder.

De tilstedeværende artefakter afhænger i høj grad af angrebsmetoden og systemkonfigurationen.

Hvilke spor efterlader angribere typisk?

Mulige spor omfatter usædvanlige logins, nyoprettede brugerkonti, mistænkelige programmer, planlagte opgaver, nye tjenester, ændrede filer, netværksforbindelser og iøjnefaldende kommandoudførelser.

Slettede logfiler eller deaktiverede sikkerhedsfunktioner kan også være relevante.

Ingen af ​​disse artefakter, isoleret set, udgør automatisk bevis for et angreb.

Hvorfor er logfiler så vigtige?

Logfiler dokumenterer tekniske hændelser.

Dette kan omfatte logins, fejl, netværksforbindelser, programstarter og sikkerhedshændelser.

De kan hjælpe med at rekonstruere en tidslinje.

Logfiler er dog kun meningsfulde, hvis det er kendt, hvilket system der rent faktisk loggede hvilke hændelser.

Kan slettede logfiler undersøges?

Under visse betingelser kan slettede logfiler eller fragmenter stadig være til stede.

Andre systemer kan også indeholde kopier af de samme begivenheder.

For eksempel kan en lokal computer have mistet oplysninger, mens der stadig kan være firewall-, server- eller cloud-logfiler til stede.

Hvad betyder tidslinjeanalyse i forbindelse med cyberangreb?

I en tidslinjeanalyse kombineres tidsinformation fra forskellige kilder.

Dette kan for eksempel afsløre, at der først skete et usædvanligt login, kort efterfulgt af udførelsen af ​​et program og efterfølgende overførsel af store mængder data.

En sådan tidsmæssig korrelation kan forklare en angrebsvej meget bedre end en enkelt artefakt.

Hvad er initial adgang?

Initial Access refererer til den første vellykkede adgang fra en angriber til et system eller netværk.

Dette kan for eksempel ske via stjålne loginoplysninger, en sikkerhedssårbarhed, phishing eller forkert konfigurerede tjenester.

Rekonstruktion af denne indledende adgang er ofte et af de vigtigste spørgsmål inden for cyberforensik.

Kan phishing undersøges retsmedicinsk?

Ja.

E-mails, headeroplysninger, browserdata, downloads og lokale systemartefakter kan give spor om, hvordan et phishing-angreb udfoldede sig.

For eksempel kan det være relevant, om en bruger har åbnet et link eller downloadet en fil.

Er det muligt at afgøre, om en phishing-vedhæftning er blevet åbnet?

Under egnede forhold kan filsystem-, Office-, browser- eller systemartefakter give spor til brugen.

Men blot den blotte eksistens af filen i downloadmappen beviser ikke, at den er blevet udført.

Hvad er malware-forensik?

Malware-forensik beskæftiger sig med undersøgelse af skadelig software og de spor, den efterlader.

For eksempel kan det tydeliggøre, hvilken fil der blev udført, hvilke ændringer der blev foretaget, og hvilke netværksforbindelser der blev etableret.

LB Forensics har en dedikeret afdeling for malware-forensik til dette.

Er det muligt at fastslå, hvornår malware er kommet ind i et system?

Under egnede forhold kan en mulig tidsperiode rekonstrueres.

Relevante data kan omfatte tidsstempler for filer, browserdata, e-mailvedhæftninger, downloads, systemlogfiler og andre artefakter.

Et enkelt tidsstempel bør dog ikke fortolkes som et pålideligt smittetidspunkt uden yderligere undersøgelse.

Er det muligt at afgøre, om malware er blevet udført?

Ja, hvis tilsvarende udførelsesartefakter er til stede.

Dette kan omfatte procesoplysninger, prefetch-data, registreringsdatabasespor, hændelseslogfiler, autostartmekanismer eller andre systemoplysninger.

Hvilke kilder der er tilgængelige afhænger af operativsystemet.

Hvad er en trojansk hest?

En trojansk hest er malware, der typisk forklæder sig som en legitim eller nyttig fil eller applikation.

Når den er udført, kan den for eksempel installere yderligere malware, indsamle data eller aktivere fjernadgang.

Den specifikke funktion skal evalueres baseret på den fil eller det system, der undersøges.

Hvad er ransomware?

Ransomware er skadelig software, der ofte krypterer filer eller systemer og derefter kræver en løsesum.

Moderne ransomware-angreb kan dog være betydeligt mere komplekse.

Angribere får sommetider adgang dage eller uger i forvejen, bevæger sig rundt på netværket og overfører data, før den egentlige kryptering begynder.

Hvorfor er ransomware-forensik mere end blot at undersøge kryptering?

Kryptering er ofte blot den sidste synlige fase af et længere angreb.

Retsmedicinsk kan det derfor være afgørende at vide, hvornår den første adgang fandt sted, hvilke konti der blev brugt, hvilke systemer der blev nået, og om data blev exfiltreret før kryptering.

Er det muligt at afgøre, om data blev stjålet før et ransomware-angreb?

Under visse betingelser kan netværks-, cloud-, fil- og systemartefakter give bevis for et databrud.

Kryptering alene beviser ikke tidligere datatyveri.

Denne del af hændelsen skal undersøges separat.

Hvad betyder dataeksfiltrering?

Dataeksfiltrering refererer til uautoriseret overførsel af data fra et system eller netværk til eksterne enheder.

Dette kan gøres via cloud-tjenester, netværksprotokoller, webtjenester, e-mail eller andre kanaler.

Den tekniske rekonstruktion afhænger af, hvilke log- og systemdata der er tilgængelige.

Kan det fastslås, hvilke data der blev stjålet?

Nogle gange kan dette rekonstrueres meget nøjagtigt, i andre tilfælde kun delvist.

Relevante kilder kan omfatte filadgang, arkivfiler, netværksoverførsler, cloud-logfiler og andre systemspor.

Uden passende protokoller kan det nøjagtige omfang af et databrud muligvis ikke fastslås endeligt.

Hvad er lateral bevægelse?

Lateral bevægelse refererer til en angribers bevægelse fra et allerede kompromitteret system til andre enheder i et netværk.

Dette kan opnås ved hjælp af stjålne loginoplysninger, fjerntjenester eller administrative værktøjer.

Rekonstruktionen af ​​​​sådanne bevægelser er en vigtig del af omfattende cyberforensik.

Kan lateral bevægelse detekteres?

Ja, under passende forhold.

Windows-logins, fjerntjenester, netværkslogfiler, Active Directory-data og andre kilder kan give spor.

Den tidsmæssige forbindelse mellem aktiviteter mellem forskellige systemer er særligt vigtig.

Hvad er vedholdenhed?

Persistens refererer til mekanismer, hvormed en angriber forsøger at opretholde sin adgang til et system på ubestemt tid.

Dette kan f.eks. opnås via automatiske startposter, planlagte opgaver, tjenester eller yderligere brugerkonti.

En retsmedicinsk undersøgelse kan lede efter sådanne ændringer.

Hvad er privilegieeskalering?

Privilegieeskalering refererer til udvidelse af tilladelser.

For eksempel kan en angriber først få adgang til en normal brugerkonto og senere forsøge at opnå administratorrettigheder.

System- og sikkerhedslogfiler kan give vigtige oplysninger i denne henseende.

Hvad betyder legitimationstyveri?

Tyveri af loginoplysninger refererer til tyveri af loginoplysninger.

Dette omfatter adgangskoder, sessionsoplysninger eller andre godkendelsesdata.

Stjålne loginoplysninger kan derefter bruges til andre systemer eller cloud-tjenester.

Kan kompromitterede brugerkonti undersøges?

Ja.

Relevante oplysninger kan omfatte loginoplysninger, IP-adresser, enhedsoplysninger, tidsstempler, ændringer af adgangskoder og anden kontoaktivitet.

Et enkelt usædvanligt login beviser dog ikke automatisk et angreb.

Kan mislykkede loginforsøg bevises?

Hvis der er tilgængelig relevant logføring, kan mislykkede loginforsøg dokumenteres.

Sådanne data kan indikere brute-force-forsøg, fejlagtige brugerlogin eller automatiserede angreb.

Årsagen skal vurderes i sin kontekst.

Kan succesfulde tredjepartsregistreringer spores?

Under passende forhold kan succesfulde logins kategoriseres efter brugerkonto, tidspunkt, kilde og i nogle tilfælde enhed eller IP-adresse.

Den tekniske tildeling til en IP-adresse identificerer dog ikke automatisk den fysiske person bag den.

Hvad er betydningen af ​​en IP-adresse?

En IP-adresse kan beskrive et teknisk netværksslutpunkt eller en forbindelse på et bestemt tidspunkt.

Det beviser dog ikke automatisk, hvilken person der brugte den pågældende forbindelse.

VPN'er, proxytjenester, virksomhedsnetværk, mobilnetværk og delte forbindelser kan yderligere komplicere fortolkningen.

Hvad er indikatorer for kompromis?

Indikatorer for kompromis, eller IOC'er forkortet, er tekniske karakteristika, der kan indikere et muligt kompromis.

Dette kan omfatte kendte filhashes, IP-adresser, domæner, filstier eller andre artefakter.

En IOC (Initial Operation Compromise - kompromis med indledende operation) skal dog altid vurderes i sin kontekst. Ikke alle træf beviser automatisk aktiv kompromis.

Hvad er en filhash i malware?

En kryptografisk hashværdi kan unikt karakterisere en specifik fil.

Hvis hashen for en kendt malware allerede er kendt, kan en identisk fil hurtigt detekteres på et undersøgt system.

Men selv små ændringer i en malware-fil producerer normalt en anden hashværdi.

Hvorfor er en virusscanner utilstrækkelig til cyberforensik?

En virusscanner søger primært efter kendte eller mistænkelige malware-karakteristika.

Cyberforensik derimod betragter hele hændelsen.

Dette omfatter loginhændelser, brugeraktivitet, netværksforbindelser, filændringer, logdata og mulige opfølgningshandlinger fra en angriber.

Kan en virusscanner overse et angreb?

Ja.

Ikke alle angrebsteknikker er baseret på en klassisk malware-fil.

Angribere kan bruge legitime administrationsværktøjer, stjålne legitimationsoplysninger eller native systemfunktioner.

En negativ virusscanning udelukker derfor ikke en sikkerhedshændelse.

Hvad betyder "at leve af jorden"?

I såkaldte "living-off-the-land"-teknikker bruger angriberne eksisterende legitime systemværktøjer til deres aktiviteter.

Dette gør det muligt at omgå traditionelle metoder til at opdage malware.

Retsmedicinske undersøgelser skal derfor også undersøge brugen af ​​legitime programmer og usædvanlige kommandosekvenser.

Kan PowerShell-aktiviteter undersøges?

Under passende forhold kan PowerShell-logfiler, kommandoartefakter og andre systemoplysninger indeholde relevante spor.

Hvor omfattende dette er muligt afhænger af systemkonfigurationen og eksisterende logføring.

Kan fjernskrivebordsforbindelser undersøges?

Ja.

Windows-systemer og netværkskomponenter kan indeholde spor af fjernskrivebordsaktivitet.

Eksempler på relevante oplysninger omfatter brugerkonto, tidsoplysninger og forbindelseskilde.

Kan VPN-forbindelser analyseres?

Afhængigt af VPN-systemet kan klient-, server-, firewall- og godkendelseslogfiler være til stede.

Dette gør det muligt at kategorisere forbindelser og brugeraktiviteter kronologisk.

Resultaternes betydning afhænger af konfigurationen og lagringen af ​​logfilerne.

Kan firewall-logfiler undersøges?

Ja.

Firewalls kan indeholde vigtige oplysninger om netværksforbindelser.

Dette inkluderer kilde- og destinationsadresser, porte, tidsstempler og, hvis relevant, andre forbindelsesoplysninger.

De kan være særligt vigtige i forbindelse med rekonstruktion af angrebs- og datalækagestier.

Kan serverlogfiler analyseres retsmedicinsk?

Ja.

Servere kan logge logins, applikationshændelser, adgange og systemændringer.

Afhængigt af servertypen varierer de relevante datakilder betydeligt.

Hvilken rolle spiller Active Directory?

I mange virksomhedsnetværk administrerer Active Directory brugere, computere og adgangsrettigheder.

I et cyberangreb kan autentificeringsdata, gruppeændringer og administrative aktiviteter derfor være relevante.

En kompromittering af privilegerede Active Directory-konti kan have særligt vidtrækkende konsekvenser.

Kan nye brugerkonti oprettet af en angriber detekteres?

Under passende forhold kan nyoprettede lokale eller centrale brugerkonti spores.

Relevante faktorer omfatter timing, tilladelser og andre aktiviteter på kontoen.

Kan slettede angriberkonti stadig spores?

I nogle tilfælde kan tidligere konti stadig identificeres via logfiler, registreringsdatabasedata eller andre systemartefakter.

Chancerne for succes afhænger af, hvilke data der stadig er tilgængelige.

Hvad er en kommando-og-kontrol-server?

En kommando-og-kontrol-server, ofte kaldet C2, kan bruges til at kontrollere kompromitterede systemer.

Malware eller andre angrebsværktøjer kan bruge det til at modtage kommandoer eller overføre data.

Netværks- og DNS-data kan afsløre sådanne forbindelser under visse omstændigheder.

Kan mistænkelige netværksforbindelser rekonstrueres?

Afhængigt af den tilgængelige datakilde, ja.

Firewall-logfiler, endpoint-data, DNS-logfiler, proxy-logfiler og andre systemer kan dokumentere forbindelser.

En enkelt forbindelse til en ukendt IP-adresse er dog ikke automatisk bevis for et angreb.

Hvilken rolle spiller DNS i cyberforensics?

DNS oversætter domænenavne til IP-adresser.

DNS-forespørgsler kan derfor give spor om, hvilke domæner et system ønskede at kontakte.

Dette kan være særligt værdifuldt i forbindelse med undersøgelser af malware og phishing.

Kan filer slettet af en angriber gendannes?

Under visse omstændigheder kan slettede værktøjer, scripts eller andre filer stadig være til stede.

Gendannelsesmuligheden afhænger af lagringsmediet og den videre anvendelse.

På SSD'er kan TRIM og oprydning af intern hukommelse alvorligt begrænse mulighederne.

Kan angribere fuldstændigt slette deres spor?

Angribere kan forsøge at fjerne logfiler, værktøjer og andre artefakter.

En fuldstændig fjernelse af alle spor er dog ikke garanteret, da data ofte genereres på flere systemer.

For eksempel kan en angriber slette lokale logfiler, mens firewall- eller cloud-logfiler forbliver.

Hvorfor er flere datakilder så vigtige?

Et enkelt system viser ofte kun en del af et angreb.

Arbejdsstationen kan indeholde malware, firewallen netværksforbindelsen og serveren det efterfølgende login.

Kun kombinationen af ​​disse kilder muliggør en mere omfattende rekonstruktion.

Hvad betyder tværsystemskorrelation?

Dette indebærer at sammenligne begivenheder fra forskellige systemer med hensyn til både timing og teknologi.

For eksempel kan login på en server falde sammen med en VPN-forbindelse og tidligere aktivitet på en kompromitteret bærbar computer.

Dette gør det muligt at rekonstruere mulige angrebskæder.

Hvilken rolle spiller RAM-forensik?

Arbejdshukommelsen i et kørende system kan indeholde processer, netværksforbindelser og anden flygtig information.

Visse typer malware kan være særligt synlige i RAM.

Disse oplysninger går generelt tabt, når enheden slukkes.

Skal en kompromitteret computer slukkes med det samme?

En generel anbefaling er ikke tilrådelig.

Et kørende system kan indeholde værdifulde, flygtige data. Samtidig kan det fortsætte med at kommunikere med en angriber eller forårsage skade.

Den passende reaktion afhænger af risikoen og formålet med undersøgelsen.

Skal en kompromitteret computer afbrydes fra netværket?

Isolation kan være nyttig for at forhindre yderligere kommunikation eller spredning.

Det kan dog også afbryde igangværende forbindelser, der ville være af retsmedicinsk interesse.

I tilfælde af en akut hændelse skal skadeskontrol regelmæssigt koordineres med bevisopbevaring.

Hvorfor bør en kompromitteret computer ikke geninstalleres med det samme?

En ny installation kan fjerne malware, men ødelægger samtidig adskillige retsmedicinske spor.

Hvis årsagen til og omfanget af et angreb skal undersøges, bør det derfor først kontrolleres, hvilke data der skal sikkerhedskopieres.

Hvilke data skal sikkerhedskopieres efter et cyberangreb?

Det afhænger af hændelsen.

Typiske kilder kan omfatte berørte enheder, servere, RAM, hændelseslogfiler, firewalls, VPN-systemer, cloudtjenester, e-mailsystemer og netværkslogfiler.

Udvælgelsen bør være baseret på den specifikke angrebshypotese.

Hvad er retsmedicinsk bevisindsamling efter et cyberangreb?

Relevante databærere eller andre datasæt sikkerhedskopieres på en kontrolleret måde, når det er muligt, så analysen kan udføres på et reproducerbart grundlag.

I kørende systemer kan yderligere flygtige oplysninger indfanges.

Hvilken rolle spiller hashværdier?

Hashværdier kan bruges til at kontrollere integriteten af ​​sikkerhedskopierede filer eller billeder.

De hjælper med at afgøre, om et bestemt datasæt har ændret sig, efter at det er blevet sikkerhedskopieret.

En hashværdi beviser dog ikke, at de oprindelige data ikke allerede blev manipuleret, før de blev sikkerhedskopieret.

Hvilken rolle spiller forældremyndigheden?

I tilfælde af bevisrelevante sikkerhedshændelser bør det dokumenteres tydeligt, hvilke systemer og data der blev overtaget, sikret og undersøgt.

Denne beviskæde forbinder den efterfølgende analyse med de oprindelige systemer.

Kan cyberforensics være relevant i retten?

Ja.

Retsmedicinske fund kan være relevante i strafferetlige, civile, forsikringsmæssige eller interne virksomhedstvister.

Den specifikke bevisretlige virkning afhænger dog af den enkelte sag.

Hvilken rolle spiller en ekspertudtalelse?

I tilfælde af omstridte tekniske problemer kan der kræves sagkyndig dokumentation.

Rapporten skal tydeligt vise, hvilke data der blev undersøgt, hvilke metoder der blev anvendt, og hvilke tekniske konklusioner der kan drages ud fra den.

LB Forensik driver et ekspertkontor inden for IT- og mobilforensik.

Kan cyberforensics definitivt identificere en angriber?

Ikke automatisk.

Tekniske spor kan vise IP-adresser, konti, enheder eller infrastruktur.

Det er ofte betydeligt vanskeligere at tildele et datapunkt til en fysisk person.

VPN'er, kompromitterede tredjepartssystemer og stjålne loginoplysninger kan gøre det vanskeligt at identificere dem.

Hvad betyder attribution?

Attribution refererer til tildelingen af ​​et angreb til en specifik aktør.

Teknisk retsmedicin kan give spor i denne henseende, såsom infrastruktur, værktøjer eller procedurer.

En pålidelig tildeling af personlig identitet kræver dog ofte yderligere efterforskningsoplysninger.

Kan en IP-adresse bevise gerningsmanden?

Nej.

En IP-adresse kan dokumentere en teknisk forbindelse eller kilde.

Det beviser ikke automatisk, hvilken person der rent faktisk initierede denne forbindelse.

Kan cyberforensik identificere en insider?

Under visse betingelser kan digitale spor også pege på interne brugeraktiviteter.

Et angreb behøver ikke nødvendigvis at komme udefra.

Interne konti, privilegeret adgang og datalækager kan også være genstand for cyberforensics.

Hvad betyder et negativt retsmedicinsk fund?

Et negativt fund betyder, at der ikke blev fundet tilsvarende pålidelig evidens i den undersøgte database.

Det beviser ikke automatisk, at et angreb aldrig har fundet sted.

Spor kan være blevet slettet, overskrevet eller gemt i utilgængelige systemer.

Hvorfor skal omfanget af undersøgelsen dokumenteres?

Betydningen af ​​et resultat afhænger af, hvilke systemer der rent faktisk blev undersøgt.

Hvis kun én arbejdsstation er blevet testet, kan der ikke drages en fuldstændig konklusion om et helt virksomhedsnetværk.

Derfor bør grænserne for undersøgelsens omfang fremgå tydeligt.

Hvad er den typiske procedure for cyberforensisk efterforskning?

Først registreres de kendte fakta, og den mulige tidsperiode for hændelsen indsnævres.

Bagefter identificeres og sikres relevante systemer og datakilder på en prioriteret måde.

Analysen undersøger derefter blandt andet logins, processer, filer, malware, netværksaktiviteter og andre relevante artefakter.

Disse oplysninger placeres i en tidsmæssig og teknisk kontekst. Ud fra dette kan en angrebskæde eller tidslinje opstå.

Hvad er en angrebskæde?

En angrebskæde beskriver flere på hinanden følgende tekniske trin i et angreb.

Det kan f.eks. variere fra den første phishing-kontakt, via download af en fil, kompromittering af en brugerkonto og flytning til andre systemer, og op til dataeksfiltrering.

En sådan rekonstruktion er ofte det centrale resultat af cyberforensics.

Hvorfor er tidsmæssig rekonstruktion så vigtig?

Først når rækkefølgen af ​​begivenheder er kendt, kan man ofte forstå, hvilken aktivitet der var årsagen, og hvilken der var virkningen.

For eksempel kan en malware-fil forblive på et system i flere måneder uden at blive udført.

Kun yderligere udførelses- og netværksspor viser, hvornår det rent faktisk blev relevant.

Kan et angreb stadig efterforskes måneder senere?

Ja, grundlæggende.

Chancerne for succes falder dog, hvis logfiler er blevet overskrevet, enheder er blevet geninstalleret, eller data er blevet slettet.

Cloud-, firewall- eller serverlogfiler, der gemmes i lange perioder, kan så være særligt værdifulde.

Hvor længe forbliver cyberspor?

Der er ingen universelt gældende frist.

Nogle logfiler gemmes kun i et par dage, andre i måneder eller år.

Filsystem- og brugerartefakter kan også vare ved i meget forskellige perioder.

Hvorfor skal logopbevaring planlægges før et angreb?

Hvis en virksomhed kun opbevarer sikkerhedsrelevante logfiler i et par dage, kan vigtige oplysninger allerede være væk, før et angreb opdages.

Derfor forbedrer en passende lagringsstrategi ikke kun overvågningen, men også senere retsmedicinske muligheder.

Kan cyberforensics hjælpe med at lukke sikkerhedshuller?

Ja.

Analysen kan vise, hvilken angrebsmetode der rent faktisk virkede.

Dette gør det muligt at målrette sikkerhedsforanstaltninger specifikt mod den egentlige årsag i stedet for blot at styrke generelle beskyttelsesforanstaltninger.

Kan cyberforensik forhindre angrebet i at ske igen?

Det kan danne det tekniske grundlag for forbedringer, men kan ikke garantere absolut sikkerhed.

Hvis for eksempel stjålne loginoplysninger var årsagen, kan godkendelses- og adgangskoncepter justeres.

En softwaresårbarhed kan kræve programrettelser og sårbarhedsstyring.

Hvad kan cyberforensik ikke gøre?

Cyberforensik kan ikke rekonstruere data, der ikke længere eksisterer eller aldrig er blevet logget.

Den kan ikke tildele hver IP-adresse til en bestemt person, og den kan heller ikke definitivt tilskrive hvert angreb til en bestemt gerningsmand.

Det er heller ikke altid muligt at komme med en fuldstændig opgørelse over, hvilke data en angriber har set.

Praktisk eksempel: Phishing og kompromitteret brugerkonto

En medarbejder modtager en e-mail, der tilsyneladende ser autentisk ud, og klikker på et link. Kort efter registreres der usædvanlige logins til virksomhedskontoen.

Cyberforensik kan sammenligne e-maildata, browserartefakter og kontologfiler.

Hvis det kan spores tilbage til en tidslinje, der viser, at et login fra en usædvanlig kilde fandt sted umiddelbart efter phishing-hændelsen, kan der muligvis etableres en teknisk forbindelse.

Derudover er det nødvendigt at kontrollere, hvilke andre aktiviteter der blev udført med den kompromitterede konto.

Praktisk eksempel: Ransomware i virksomhedens netværk

Flere servere og arbejdsstationer krypteres inden for kort tid.

Den synlige kryptering er kun udgangspunktet for efterforskningen.

Retsmedicinske undersøgelser vil fastslå, hvilken computer der blev påvirket først, hvilke konti der blev brugt, og hvordan angriberen bevægede sig inden for netværket.

Firewall, VPN, Windows og serverlogfiler kan tilsammen give en tidslinje for angreb.

Praktisk eksempel: Mistænkelig fjernadgang

En virksomhed opdager et ukendt administrativt login på en server.

Undersøgelsen undersøger først brugerkontoen, tidspunktet og den tekniske kilde.

Systemet undersøger derefter, hvilke processer der blev startet, hvilke filer der blev ændret, og hvilke netværksforbindelser der blev etableret.

Dette giver mulighed for en mere omfattende vurdering af den faktiske hændelse ud fra en enkelt login-hændelse.

Praktisk eksempel: Potentiel datalækage

Efter et angreb er der mistanke om, at ikke blot systemer blev kompromitteret, men at også fortrolige data blev overført.

Analysen kan sammenligne filaktivitet, arkivfiler, netværkslogfiler og cloud- eller proxydata.

Konkrete beviser afhænger af, hvilke oplysninger om transmissionsstien der blev lagret.

Ofte stillede spørgsmål om cyberforensik

Hvad er cyberforensik forklaret på en enkel måde?

Cyberforensik undersøger digitale spor efter cyberangreb og IT-sikkerhedshændelser for at rekonstruere den tekniske proces så transparent som muligt.

Hvad undersøger cyberforensik?

Afhængigt af hændelsen kan computere, servere, brugerkonti, logfiler, netværk, firewalls, VPN-systemer, cloudtjenester og malware blive undersøgt.

Er cyberforensics det samme som IT-forensics?

Cyberforensik er et specialiseret underfelt inden for IT-forensik med fokus på cyberangreb og sikkerhedshændelser.

Er cyberforensik det samme som cybersikkerhed?

Nej. Cybersikkerhed fokuserer primært på forebyggelse og beskyttelse, mens cyberforensik fokuserer på at undersøge hændelser, der allerede er indtruffet eller mistænkes.

Hvad er hændelsesrespons?

Hændelsesrespons er den strukturerede reaktion på en sikkerhedshændelse med det formål at inddæmme skader og genoprette kontrol over systemer.

Kan et hackingangreb bevises?

Under passende forhold kan flere digitale spor teknisk set understøtte uautoriseret adgang og dens udførelse.

Kan mislykkede loginforsøg bevises?

Ja, hvis tilsvarende godkendelses- eller sikkerhedslogfiler er tilgængelige.

Kan succesfulde tredjepartsregistreringer spores?

Under passende forhold kan brugerkontoen, tidspunktet og den tekniske kilde undersøges.

Kan en IP-adresse identificere angriberen?

Ikke automatisk. En IP-adresse beskriver i første omgang en teknisk kilde eller forbindelse, ikke nødvendigvis den fysiske person bag den.

Kan malware detekteres?

Ja. Filer, processer, autostartmekanismer, netværksspor og andre artefakter kan indikere malware.

Er det muligt at fastslå, hvornår malware blev installeret?

Under visse betingelser kan en mulig tidsperiode indsnævres baseret på flere tekniske spor.

Er det muligt at afgøre, om malware er blevet udført?

Ja, hvis tilsvarende udførelsesartefakter er til stede.

Hvad er malware-forensik?

Malware-forensik undersøger selve malwaren og de ændringer og aktiviteter, den forårsager.

Hvad er ransomware-forensik?

Den undersøger den tekniske proces i en ransomware-hændelse, herunder mulig initial adgang, spredning, datalækage og kryptering.

Er det muligt at afgøre, om data blev stjålet før et ransomware-angreb?

Under passende forhold kan netværks-, fil- og andre logdata understøtte en mulig datalækage.

Hvad er dataeksfiltrering?

Dette refererer til uautoriseret overførsel af data fra et system eller netværk til omverdenen.

Kan det fastslås, hvilke data der blev stjålet?

Delvist. Svaret afhænger af tilgængelige fil-, netværks-, cloud- og logdata.

Kan firewall-logfiler analyseres?

Ja. Firewall-logfiler kan indeholde vigtige oplysninger om netværksforbindelser og potentielle angrebsvektorer.

Kan VPN-logfiler analyseres?

Ja, forudsat at de relevante forbindelses- og godkendelsesoplysninger er blevet gemt.

Kan serverlogfiler analyseres?

Ja. Serverlogfiler er blandt de vigtigste datakilder i mange cyberhændelser.

Kan slettede logfiler gendannes?

Under visse betingelser kan der findes lokale rester eller kopier på andre systemer.

Hvad betyder Lateral bevægelse?

Dette refererer til en angribers bevægelse fra et kompromitteret system til andre systemer inden for et netværk.

Kan lateral bevægelse detekteres?

Under passende forhold kan login-, netværks- og serverdata gøre tilsvarende bevægelser sporbare.

Hvad betyder vedholdenhed?

Persistens beskriver mekanismer, hvormed en angriber forsøger at opretholde adgang permanent.

Hvad betyder legitimationstyveri?

Legitimationstyveri er tyveri af loginoplysninger, der derefter kan bruges til yderligere adgang.

Kan en kompromitteret brugerkonto undersøges?

Ja. Loginoplysninger, enheder, IP-adresser, tidsstempler og kontoaktivitet kan være relevante.

Kan phishing undersøges?

Ja. E-mails, browseraktivitet, downloads og systemfejl kan give spor om forløbet af et phishing-angreb.

Er det muligt at afgøre, om en phishing-vedhæftning er blevet åbnet?

Under egnede forhold kan udførelses- og brugsartefakter give relevante spor.

Kan en virusscanner udelukke et angreb?

Nej. Ikke alle angreb bruger klassisk malware, og ikke al malware registreres af alle scannere.

Skal en kompromitteret pc geninstalleres med det samme?

Ikke før potentiel bevisindsamling, hvis angrebet skal undersøges. Geninstallation af softwaren kan ødelægge vigtige beviser.

Skal en kompromitteret pc slukkes med det samme?

Ikke generelt. Flygtige data kan være vigtige, men samtidig kan et aktivt system forårsage yderligere skade.

Hvilke data skal sikkerhedskopieres efter et cyberangreb?

Afhængigt af hændelsen kan berørte computere, servere, RAM, logfiler, firewalls, VPN-systemer, clouddata og e-mailsystemer være relevante.

Kan et cyberangreb stadig efterforskes måneder senere?

Ja, forudsat at tilstrækkelige relevante datakilder er tilgængelige. Overskrevne logfiler eller nyinstallerede systemer kan dog begrænse mulighederne.

Kan cyberforensics endeligt identificere gerningsmanden?

Ikke automatisk. Teknisk set er det ofte betydeligt vanskeligere at tilskrive et angreb til en fysisk person end at rekonstruere selve angrebet.

Hvad betyder attribution?

Attribution er tildelingen af ​​et angreb til en specifik aktør eller gruppe.

Kunne en intern medarbejder stå bag en cyberhændelse?

Ja. Interne konti og brugeraktiviteter kan også være genstand for cyberforensik.

Hvad betyder et negativt fund i cyberforensics?

Det betyder, at der ikke blev fundet tilsvarende pålidelige beviser i de undersøgte data. Det beviser ikke automatisk, at et angreb aldrig har fundet sted.

Kan cyberforensics bruges i retten?

Retsmedicinske fund kan være relevante i retssager. Deres specifikke bevisværdi afhænger af datagrundlaget, metoden, dokumentationen og den juridiske vurdering.

Hvad er grænserne for cyberforensik?

Begrænsninger opstår især som følge af manglende logfiler, slettede eller overskrevne data, kryptering, ufuldstændig systemadgang og vanskeligheden ved at forbinde tekniske spor til fysiske personer.

Cyberforensik rekonstruerer angrebet i stedet for blot at se på skaden.

Efter et cyberangreb er den synlige skade ofte kun den sidste del af en meget længere teknisk proces.

Ransomware-kryptering kan f.eks. forekomme dage efter den første indtrængen. En kompromitteret brugerkonto kan allerede være blevet brugt til anden adgang. Malware kan have indsamlet data eller givet angribere adgang til yderligere systemer.

Cyberforensikkens opgave er derfor at forbinde disse individuelle begivenheder.

Et login alene er ikke endegyldigt bevis på et angreb. En malware-fil beviser ikke automatisk dens udførelse. En mistænkelig IP-adresse identificerer ikke en person. Kun korrelationen af ​​bruger-, fil-, proces-, netværks- og logdata kan give en robust teknisk angrebskæde.

Samtidig skal en professionel undersøgelse tydeligt angive sine begrænsninger. Manglende logfiler kan ikke genereres med tilbagevirkende kraft. Slettede data kan ikke altid gendannes. Og selv en detaljeret rekonstruktion af et angreb fører ikke automatisk til en klar identifikation af gerningsmanden.

Værdien af ​​professionel cyberforensik ligger derfor i en præcis, åben rekonstruktion: Hvilke systemer blev berørt, hvornår begyndte de relevante aktiviteter, hvilke tekniske trin kan bevises, og hvilke udsagn forbliver usikre på grund af de tilgængelige data.

Tilbage til vidensoversigten