forensics.cyber-kill-chain.ch

Identification / Attribution

Definition und Begriff

Forensische Untersuchungen stellen die Basis zur Identifikation der Täterschaft dar. Nicht immer ist eine Identifikation als solche möglich und es muss auf Indizien abgestellt werden, die die Täterschaft nahe legen (Attribution).

[…]

Logdateien sind fortlaufende Protokolle von Ereignissen. Die Ereignisse werden mit unterschiedlicher Detailtiefe dokumentiert. Häufig referenzieren Log Files auf Prozesse, die das Ereignis ausgelöst oder selbst in die Protokolldatei geschrieben haben. Ebenso wird regelmässig ein Zeitstempel hinzugefügt. Dieser Zeitstempel basiert häufig auf der sog. “Unix epoch”, wobei es sich um die Anzahl Sekunden seit Mitternacht des 01.01.1970 (UTC/GMT) handelt.

einpflegen:

https://medium.com/mii-cybersec/log-analysis-for-digital-forensic-investigation-e4a00f5a5c09


Vorlesung CRS SW14-Mathias fuchs, Mathias fuchs auch noch auf befragungsliste nehmen

video erstellen von einem linux syslog

bilder erstellen von einem windows eventlogger

Aufbau wie im sans cheatsheet:
https://www.sans.org/brochure/course/log-management-in-depth/6

Synonyme Begriffe: Protokolldatei, Ereignisprotokoll, Eventlog, log file, log.

Overview: Identification / Attribution

Praktische Relevanz

[…]

Logdateien sind ein zentrales Beweismittel. Nahezu jedes Gerät führt irgendeine Art von Logdatei. Logging-Facilities müssen mit besonderer Sorgfalt konfiguriert, verwaltet, gesichert und die von ihnen generierten Logfiles sicher verwahrt werden.

Logdateien sind fortlaufende Protokolle von Ereignissen. Die Ereignisse werden mit unterschiedlicher Detailtiefe dokumentiert. Häufig referenzieren Log Files auf Prozesse, die das Ereignis ausgelöst oder selbst in die Protokolldatei geschrieben haben. Ebenso wird regelmässig ein Zeitstempel hinzugefügt. Dieser Zeitstempel basiert häufig auf der sog. “Unix epoch”, wobei es sich um die Anzahl Sekunden seit Mitternacht des 01.01.1970 (UTC/GMT) handelt.