Seminar X-Ways Forensics Datenträgeranalyse und Dateisysteme

Inhaltsübersicht

• Forensische Sicherung und Image-Verarbeitung
• Fallanlage, Asservate und Volume Snapshots
• Partitionen, Dateisysteme, Metadaten und gelöschte Dateien
• Dateisystemnavigation mit Sektoren, Offsets und Datenstrukturen
• Wiederherstellung, Validierung und Dokumentation technischer Befunde

Überblick

Dieses Seminar konzentriert sich auf die klassische Stärke von X-Ways Forensics: die präzise Untersuchung von Datenträgern, Images und Dateisystemen. Behandelt wird der gesamte Weg vom Einbinden eines Asservats bis zur belastbaren Auswertung von existierenden, gelöschten und eingebetteten Dateien.

Die technische Arbeit erfolgt direkt an forensischen Beispieldaten. Dadurch entsteht ein solides Verständnis für die Anzeige im Verzeichnis-Browser, die Aussagekraft von Volume Snapshots und die Grenzen automatischer Wiederherstellung.

Zielgruppe

Geeignet für technische Ermittlungsstellen, IT-Forensik-Labore, Incident-Response-Teams und Administratoren, die Datenträgerabbilder nicht nur öffnen, sondern strukturiert prüfen, bewerten und dokumentieren müssen.

Inhalte

• Einordnung von Roh-Images, E01-Images, virtuellen Datenträgerformaten und physischen Medien
• Erstellung, Prüfung und Einbindung forensischer Datenträgerabbilder
• Fallverwaltung, Asservatstruktur und saubere Arbeitsverzeichnisse
• Volume Snapshot: Zweck, Tiefe, Optionen und Wiederholbarkeit
• Partitionstabellen, MBR, GPT, verlorene Partitionen und auffällige Strukturen
• Analyse von FAT, exFAT, NTFS und ausgewählten Linux-Dateisystemen
• Navigation zu FILE Records, Inodes, Verzeichniseinträgen und Datenläufen
• Erkennen von gelöschten, umbenannten, versteckten und falsch deklarierten Dateien
• Wiederherstellen und Kopieren von Dateien mit Pfad- und Metadatenbezug
• Validierung durch Hashwerte, Dateisignaturen und technische Plausibilitätskontrollen

Praktische Übungen

Die Übungen umfassen die Anlage eines Falls, das Hinzufügen von Images, die Erstellung unterschiedlicher Volume Snapshots, die Suche nach gelöschten Dateien, die Prüfung auffälliger Dateitypen und die Dokumentation ausgewählter Funde.

Voraussetzungen

Benötigt werden solide IT-Grundkenntnisse und ein Grundverständnis von Datenträgern, Partitionen, Dateien und Verzeichnisstrukturen. Erste Berührungspunkte mit digitaler Forensik sind sinnvoll, aber nicht zwingend vertieft erforderlich.