SECURITY: Computer Forensics - Die digitale Autopsie

Die wesentliche praktische Frage bei der Computer-Forensik lautet hierbei: Wie stellt man sicher, dass soviel gerichtsverwertbare Informationen wie möglich von einem kompromittierten System gesammelt werden können, wobei der aktuelle Zustand dieses Systems so wenig wie möglich verändert wird? Zur Beantwortung dieser scheinbar einfachen, aber in der Umsetzung recht komplexen Frage muss bei der Computer-Forensik bereits im Vorfeld geklärt werden:
o Wie wird der Angriff verifiziert?
o Wie sollen der kompromittierte Rechner und die zugehörige Umgebung gesichert werden?
o Welche Methoden können für die Sammlung von Beweisspuren verwendet werden?
o Wo sucht man nach Anhaltspunkten und wie können sie gefunden werden?
o Wie kann das Unbekannte analysiert werden?
Dies bedeutet allerdings auch, dass sich das Security-Management des Unternehmens im Vorfeld auf einen möglichen Security Incident vorbereiten muss. Hierzu zählen die Erstellung von Security-Incident-Response- beziehungsweise Notfallplänen und ein angemessenes Training der Sicherheitsspezialisten im Umgang mit Security-Tools und den Methoden zur Behandlung von Sicherheitsvorfällen. Firmen sind auch gut beraten, wenn sie mit einer auf Computer-Forensik spezialisierten Unternehmung, die auch international tätig ist bereits im Vorfeld einen Zusammenarbeitsvertrag vereinbart haben.