Hat sich ein Schädling im System eingenistet, dann gilt es, Beweise zu sichern. Mit Guymager erstellen Sie verifizierte Abbilder von Datenträgern.

Programme zur forensischen Datensicherung kommen überall dort zum Einsatz, wo eine Analyse am originalen Speichermedium nicht ratsam ist, weil diese eventuell Strukturen verändert. Möchten Sie ein Speichermedium als Beweis oder zum Nachweis von Schadsoftware duplizieren, um an der Kopie zu arbeiten, gilt es, ein originalgetreues Duplikat anzufertigen. Außerdem muss es möglich sein, dieses als solches zu verifizieren.

Software zum Anfertigen eines herkömmlichen Images eignet sich für ein solches Unterfangen in der Regel nicht, weil schlicht die Möglichkeiten zum Verifizieren fehlen. Hier springt das Tool Guymager [1] in die Bresche, das nicht nur flugs Images anfertigt, sondern gleichzeitig den Nachweis identischer Datenstrukturen erbringt.

Auf die Platte

Guymager befindet sich bei Debian und Ubuntu sowie deren Derivaten bereits in den Repositories. Für OpenSuse [2] und Fedora [3] erhalten Sie Pakete online. Zusätzlich enthalten auch einige Live-Distributionen wie Deft- oder Kali-Linux das Tool. Für alle anderen Systeme bleibt nur der Griff zum Quellcode. Diesen mitsamt einer detaillierten Anleitung zum Bau der Software finden Sie auf der Webseite des Projekts.

Image

Nach einem Klick auf den Starter fragt das Programm zunächst das Passwort ab, um sich Administratorrechte zu verschaffen. Anschließend öffnet sich ein übersichtliches Fenster (Abbildung 1).

Abbildung 1: Die Oberfläche der Software stellt einige Informationen zu den Datenträgern im System bereit, gibt aber auf den ersten Blick keine Hinweise, wie sich ein Abbild erstellen lässt.

Das Programm scannt dabei bereits das System nach Massenspeichern. Es berücksichtigt sowohl interne als auch externe Datenträger, wobei optische Laufwerke nur dann in der Liste auftauchen, wenn sich ein Medium in ihnen befindet. Dass die Software die einzelnen Laufwerke zusätzlich zum Namen der Gerätedatei mit Modellnamen anzeigt, erleichtert die Auswahl.

Um ein Image zu erzeugen, klicken Sie zunächst auf das gewünschte Quellmedium in der Liste. Anschließend wählen Sie im Kontextmenü die Option Image-Datei erstellen. Nun öffnet sich ein Eingabefenster mit sehr detaillierten Einstellmöglichkeiten (Abbildung 2).

Abbildung 2: Der Dialog zum Erstellen des Abbilds bietet zahlreiche Parameter, über die Sie das Anlegen des Images und eventueller Prüfsummen detailliert steuern.

Im Bereich Dateiformat geben Sie zunächst an, in welchem Format Sie das Image anlegen möchten. Die Applikation gibt hier EWF vor, wie es professionelle forensische Anwendungen verwenden. Alternativ bietet Guymager an, ein dem Tool dd entsprechendes Image anzulegen.

Sofern Sie das Format EWF beibehalten, können Sie zusätzliche Angaben wie Asservatennummer, Fallnummer, Bearbeiter und eine Beschreibung hinterlegen. Bei Einsatz von dd deaktiviert die Software diese Felder, da die Syntax des Kommandozeilentools solche Metadaten nicht unterstützt.

Je nach Größe der Quelldaten und des Zieldatenträgers kann es helfen, das Image in einzelne Teile zu splitten. In diesem Fall geben Sie oben rechts im Fenster eine Größe im Feld Image splitten an. Bei Einsatz des Formats EWF stellt die Software an dieser Stelle automatisch einen Wert ein. Beim Sichern mithilfe von dd besteht die Möglichkeit, das Häkchen vor Image splitten zu entfernen und so ein Abbild in einem Rutsch zu erstellen.

In der Gruppe Ziel mittig im Fenster geben Sie neben dem Pfad zum Speichern des Images und dessen Namen eine Bezeichnung für die automatisch generierte Infodatei an. Diese enthält in Form von Text eine genaue Dokumentation der Arbeitsschritte, die zum Anlegen des Images nötig waren.

Beachten Sie bitte, dass bestimmte Zeichen wie Binde- oder Unterstriche nicht im Namen der Infodatei vorkommen dürfen. Guymager zeigt in solchen Fällen einen Hinweis an, ändert den Dateinamen aber zusätzlich eigenständig ab. Die Datei mit den Infos erhält üblicherweise den gleichen Namen wie das Image, wobei die Software jedoch automatisch das Suffix .info vergibt, um einer möglichen Verwechslung vorzubeugen.

Hash mich!

Bei forensischen Arbeiten spielt die Integrität der vorhandenen sowie der geklonten Daten eine herausragende Rolle. Die Software arbeitet daher mit Hash-Funktionen, um diese zu dokumentieren. Dabei greift Guymager auf den MD5-Algorithmus sowie den SHA-Algorithmus in den Varianten SHA-1 und SHA-256 (als Bestandteil von SHA-2) zurück, um Prüfsummen zu errechnen.

Voreingestellt arbeitet die Software mit MD5, während Sie die beiden anderen Funktionen durch Setzen eines Häkchens vor den entsprechenden Optionen im Bereich Hash-Berechnung und Verifizierung aktivieren. Das empfiehlt sich, denn der MD5-Algorithmus gilt als nicht mehr zeitgemäß.

Darunter steuern Sie, ebenfalls per Klick in eine Checkbox, ob das Programm Quelle und Abbild nach getaner Arbeit verifiziert, um zu gewährleisten, dass die Daten nicht voneinander abweichen. Voreingestellt überprüft Guymager nach dem Anfertigen nur das Image. Beachten Sie, dass das Verifizieren bei großen Laufwerken und umfangreichen Images sehr viel Zeit beansprucht.

Haben Sie alle Einstellungen vorgenommen, klicken Sie auf die Schaltfläche Start unten rechts im Fenster. Damit legt die Software das Image an. Im Hauptfenster erscheint nun in der Zeile des entsprechenden Datenträgers in der Spalte Status ein blauer Punkt mit der Information Akquisition läuft. In der Spalte Fortschritt informiert zudem ein blauer horizontaler Balken über den Fortgang der Aktion.

Im unteren Bereich des Programmfensters erscheinen außerdem alle wichtigen Einstellungen zur Anlage des Images. Hier lesen Sie die aktuelle Datenrate beim Sichern in MByte ab. Nach dem Fertigstellen des Abbilds zeigt die Anwendung in der Rubrik Status eine entsprechende Information an.

Klonen

Möchten Sie ein Gerät klonen, bietet Ihnen Guymager ein etwas anderes Prozedere an: Wie bei der Anlage eines Abbilds klicken Sie dazu im Hauptfenster mit der rechten Maustaste auf das zu klonende Gerät und wählen Gerät klonen. Die Software öffnet nun ein Fenster, in dem Sie im oberen Bereich die im Computersystem befindlichen Massenspeicher sehen.

Das als Quellgerät ausgewählte Speichermedium ist jedoch bereits in der Spalte Bemerkung als Zu klonendes Gerät angegeben und komplett grau hinterlegt. Das schließt ein Verwechseln von Quelle und Ziel aus. Alle anderen Massenspeicher tragen den Hinweis Bereit zum Klonen, was bedeutet, dass sie als Zielmedium infrage kommen. Mit einem Mausklick wählen Sie einen passenden Massenspeicher aus, die Software hinterlegt das entsprechende Gerät in blauer Farbe (Abbildung 3).

Ist eines der potenziellen Zielmedien zu klein für die Datenmenge der Quelle, informiert die Software ebenfalls darüber, und hinterlegt das zu kleine Medium in grauer Farbe. Dieses Gerät steht ebenfalls nicht mehr als Ziel zum Klonen bereit.

Abbildung 3: Beim Klonen sind weniger Optionen einzustellen als bei der Anlage eines Images.

Anschließend geben Sie einen Pfad für das Info-Verzeichnis und den Dateinamen für die dazugehörige Datei an. Im Abschnitt Hash-Berechnung und Verifizierung wählen Sie analog zur Anlage eines Images einen Algorithmus zum Nachweis der Integrität der duplizierten Datenträger. Bei Bedarf aktivieren Sie das Verifizieren von Quelle und Ziel. Nach Abschluss der Einstellungen starten Sie mit einem Klick auf die Schaltfläche unten rechts das Erstellen.

Guymager legt nun den Klon des Originals an. Handelt es sich beim Ziel um einen Datenträger mit höherer Kapazität als die Quellen, dann legt die Software unabhängig von bestehenden Partitionen auf dem Medium eine Partition mit der gleichen Größe und dem gleichen Dateisystem an, wie sie der Quelle besitzt. So greifen Sie auf den Klon genauso zu wie auf das Original.

Rekonstruktion

Unter Linux existieren mehrere Tools, um das beim Anlegen von Abbildern bevorzugte Format EWF zu lesen. So ermöglicht es das Programm Testdisk [4], entsprechende Images zu rekonstruieren. Auf ein mit dd angelegtes Image greifen Sie unter Linux problemlos zu, indem Sie ein Loop-Device anlegen und dieses anschließend mit dem Mount-Befehl ins System einbinden.

Fazit

Guymager erleichtert das Anlegen von verifizierten Abbildern und geklonten Datenträgern beträchtlich. Mit ihm sichern Sie wichtige Daten, vor allem auf Wechseldatenträgern, in kurzer Zeit als identische Kopie. Die Software arbeitet stabil und zügig, dank der professionellen Funktionen eignet sie sich auch für den Einsatz im forensischen Umfeld.

Das an sich einfache Interface lässt allerdings noch Raum für Optimierungen: So wäre es sinnvoller, die Applikation böte in Abhängigkeit zur Auswahl in der Liste Schaltflächen für die Aktionen an. Dass diese sich im Kontextmenü verbergen, erschließt sich nicht direkt.