frankwxu/digital-forensics-labKostenlose praktische Labore für digitale Forensik für Studierende und Lehrkräfte
Bei Rückmeldungen oder um Ihre Nutzung der Kursmaterialien mitzuteilen, senden Sie bitte eine E-Mail an wxu at ubalt dot edu. Ihre Zusammenarbeit wird sehr geschätzt
Die PowerPoint-Folien sind in den ersten beiden Abschnitten des Inhaltsverzeichnisses verfügbar.
Fakultätsmitglieder haben Anspruch auf ein kostenloses Prüfexemplar. Um das PDF anzufordern, kontaktieren Sie mich bitte von Ihrer institutionellen E-Mail-Adresse aus und fügen Sie einen Link zu Ihrem Fakultätsprofil oder Ihrer Universitätswebseite bei.
Grundlegende Computerkenntnisse für die digitale Forensik
Computer- und digitale Forensik (aktualisiert im Okt. 2021)
Grundlegende Netzwerkfähigkeiten für die digitale Forensik (hinzugefügt am 17.03.2023. Nutzung der Paython Scapy- und netfilterqueue-Bibliotheken)
Computer-Forensik-Fallstudie
Mobile/IoT-Forensik-Fallstudie
Forensic Intelligence Repository
KI für Forensik
Gruppenverbrechen mit dem Capture-the-Flag (CTF)-Wettbewerbsdatensatz von Cellebrite 2022. Sie können eine PDF-Anleitung anfordern, wenn Sie Fakultätsmitglied sind.
Bitte zitieren Sie unsere Arbeit:
W. Xu, L. Deng, and D. Xu, „Towards Designing Shared Digital Forensics Instructional Materials,“ in Proceeding of the 46st Annual International Computer Software and Applications Conference (COMPSAC 2022), S. 117-122, Juli 2022. (Video-Präsentation)
oder in BibTeX
@inproceedings{xu2022forensics,
title={Towards Designing Shared Digital Forensics Instructional Materials},
author={Xu, Weifeng and Deng, Lin, and Xu, Dianxiang},
booktitle={46st Annual International Computer Software and Applications Conference (COMPSAC 2022)},
volume={1},
pages={117--122},
year={2022},
organization={IEEE}
}
Das angepasste Kali-VM = Kali (2021.4) + Tools, die für die Durchführung der meisten oben aufgeführten Labore verwendet werden (außer dem P2P-Datenleck-Fall)
Das folgende Skript installiert die Tools, die für die Durchführung der meisten oben aufgeführten Labore benötigt werden (außer dem P2P-Datenleck-Fall, der ein eigenes, in den PPTs beschriebenes Skript hat). Bitte teilen Sie uns mit, wenn Sie weitere Tools zum Skript hinzugefügt haben möchten.
Installieren Sie Virtualbox
Installieren Sie Kali 2021.4. Hinweis: Es wird empfohlen, die Festplattengröße der Kali-VM auf 80 GB einzustellen, da die Größe jedes Datenleck-Fall-Images 30 GB+ beträgt
Führen Sie ein Tool-Installationsskript aus Anleitung, oder Sie können einfach den folgenden Befehlen folgen``` wget https://raw.githubusercontent.com/frankwxu/digital-forensics-lab/main/Help/tool-install-zsh.sh chmod +x tool-install-zsh.sh ./tool-install-zsh.sh
- Installierte [Tools](#Tools). Beachten Sie, dass die meisten Befehle für Tools global ausgeführt werden können. Jetzt können Sie die meisten Tools-Installationsschritte in PPTs überspringen.
### Methode 3: Verwenden eines Docker-Containers basierend auf Ubuntu 22.04 LTS (hinzugefügt im 09/23, benötigt möglicherweise weitere Tests, bitte melden Sie Probleme)
- Der Host-Computer des Docker-Containers ist Ubuntu 22.04 LTS.
- Der Container wird ebenfalls auf Basis von Ubuntu 22.04 LTS erstellt.
- Alle Tools sind auf dem Ubuntu-Container vorinstalliert.
- Sie können dem Tutorial [Docker für digitale Forensik-Untersuchungen](https://raw.githubusercontent.com/frankwxu/digital-forensics-lab/main/Help/Docker_4_Digital_Forensics.pptx) folgen.
---
### Untersuchung des NIST-Datenlecks
Die [Fallstudie](https://github.com/frankwxu/digital-forensics-lab/tree/main/NIST_Data_Leakage_Case) untersucht ein Image, das Diebstahl geistigen Eigentums betrifft. Die Studie umfasst:
- Eine große und komplexe Fallstudie, die von NIST erstellt wurde. Sie können auf das [Szenario, DD/Encase-Images](https://cfreds-archive.nist.gov/data_leakage_case/data-leakage-case.html) zugreifen. Die [Lösungen](https://cfreds-archive.nist.gov/data_leakage_case/leakage-answers.pdf) finden Sie ebenfalls auf deren Website.
- 14 praktische Labs/Themen in der digitalen Forensik
**Behandelte Themen**
| Labs | Behandelte Themen (Kommandozeile) | Python-Version |
| ------ | ------------------------------------------------------------------------------------------------------------------------- | ----------------------------------------------------------------------------------------- |
| Lab 0 | [Einrichtung der Umgebung](https://github.com/frankwxu/digital-forensics-lab/blob/main/NIST_Data_Leakage_Case/NIST_Data_Leakage_00_Env_Setting.pptx) | |
| Lab 1 | [Windows-Registrierung](https://github.com/frankwxu/digital-forensics-lab/blob/main/NIST_Data_Leakage_Case/NIST_Data_Leakage_01_Registry.pptx) | |
| Lab 2 | [Windows-Ereignisse und XML](https://github.com/frankwxu/digital-forensics-lab/blob/main/NIST_Data_Leakage_Case/NIST_Data_Leakage_02._WinEvt_XML.pptx) | [Python-Version](https://github.com/frankwxu/digital-forensics-lab/blob/main/NIST_Data_Leakage_Case/NIST_Data_Leakage_02._WinEvt_XML_Python.pptx) |
| Lab 3 | [Webverlauf und SQL](https://github.com/frankwxu/digital-forensics-lab/blob/main/NIST_Data_Leakage_Case/NIST_Data_Leakage_03_WebHistory_SQL.pptx) | [Python-Version](https://github.com/frankwxu/digital-forensics-lab/blob/main/NIST_Data_Leakage_Case/NIST_Data_Leakage_03_WebHistory_SQL_Python.pptx) |
| Lab 4 | [E-Mail-Untersuchung](https://github.com/frankwxu/digital-forensics-lab/blob/main/NIST_Data_Leakage_Case/NIST_Data_Leakage_04_Email_USB.pptx) | [Python-Version](https://github.com/frankwxu/digital-forensics-lab/blob/main/NIST_Data_Leakage_Case/NIST_Data_Leakage_04_Email_USB_Python.pptx) |
| Lab 5 | [Dateiänderungsverlauf und USN-Journal](https://github.com/frankwxu/digital-forensics-lab/blob/main/NIST_Data_Leakage_Case/NIST_Data_Leakage_05_USNJournaling.pptx) | |
| Lab 6 | [Netzwerkbeweise und Shellbag](https://github.com/frankwxu/digital-forensics-lab/blob/main/NIST_Data_Leakage_Case/NIST_Data_Leakage_06_Network_Shellbag_Jumplist.pptx) | |
| Lab 7 | [Netzwerklaufwerk und Cloud](https://github.com/frankwxu/digital-forensics-lab/blob/main/NIST_Data_Leakage_Case/NIST_Data_Leakage_07_NetworkDrive_Cloud.pptx) | |
| Lab 8 | [Master File Table ($MFT) und Log-Datei ($logFile)-Analyse](https://github.com/frankwxu/digital-forensics-lab/blob/main/NIST_Data_Leakage_Case/NIST_Data_Leakage_08_CD_%24MFT.pptx) | |
| Lab 9 | [Windows-Suchverlauf](https://github.com/frankwxu/digital-forensics-lab/blob/main/NIST_Data_Leakage_Case/NIST_Data_Leakage_08_CD_%24MFT.pptx) | |
| Lab 10 | [Windows-Volumenschattenkopie-Analyse/SQL-Datenbank-Carving](https://github.com/frankwxu/digital-forensics-lab/blob/main/NIST_Data_Leakage_Case/NIST_Data_Leakage_10_Vol_Shadow_Copy.pptx) | |
| Lab 11 | [Papierkorb und Anti-Forensik](https://github.com/frankwxu/digital-forensics-lab/blob/main/NIST_Data_Leakage_Case/NIST_Data_Leakage_11_RecycleBin_AntiForensics.pptx) | |
| Lab 12 | [Daten-Carving](https://github.com/frankwxu/digital-forensics-lab/blob/main/NIST_Data_Leakage_Case/NIST_Data_Leakage_12_CD-R_Data_Carving.pptx) | |
| Lab 13 | [Windows-Passwörter knacken](https://github.com/frankwxu/digital-forensics-lab/blob/main/NIST_Data_Leakage_Case/NIST_Data_Leakage_13_Crack_Win10_Login_Password.pptx) | |
---
### Untersuchung von P2P-Datenlecks
Die [P2P-Datenleck-Fallstudie](https://github.com/frankwxu/digital-forensics-lab/tree/main/NIST_Data_Leakage_Case) hilft Studierenden, verschiedene forensische Techniken anzuwenden, um Diebstahl geistigen Eigentums über P2P zu untersuchen. Die Studie umfasst:
- Einen großen und komplexen Fall mit einem uTorrent-Client. Der Fall ist ähnlich wie das NIST-Datenleck-Labor, liefert jedoch einen klareren und detaillierteren Zeitplan.
- Solide Beweise mit Erklärungen. Jeder Beweis, der mit einer Aktivität verbunden ist, wird zusammen mit dem Zeitplan erläutert.
- 10 praktische Labs/Themen in der digitalen Forensik
**Behandelte Themen**
| Labs | Behandelte Themen | Größe der PPTs |
| ------ | --------------------------------------------------------------------------------------------------- | -------------- |
| Lab 0 | [Einrichtung der Laborumgebung](https://github.com/frankwxu/digital-forensics-lab/blob/main/P2P_Leakage/Presentation/ID00_Lab_Setup.pptx) | 4M |
| Lab 1 | [Datenträgerabbild und Partitionen](https://github.com/frankwxu/digital-forensics-lab/blob/main/P2P_Leakage/Presentation/ID01_Disk_Image_and_Partitions.pptx) | 5M |
| Lab 2 | [Windows-Registrierung und Dateiverzeichnis](https://github.com/frankwxu/digital-forensics-lab/blob/main/P2P_Leakage/Presentation/ID02_Registry_and_File_Directory.pptx) | 15M |
| Lab 3 | [MFT-Zeitachse](https://github.com/frankwxu/digital-forensics-lab/blob/main/P2P_Leakage/Presentation/ID03_MFT_Timeline.pptx) | 6M |
| Lab 4 | [USN-Journal-Zeitachse](https://github.com/frankwxu/digital-forensics-lab/blob/main/P2P_Leakage/Presentation/ID03_MFT_Timeline.pptx) | 3M |
| Lab 5 | [uTorrent-Protokolldatei](https://github.com/frankwxu/digital-forensics-lab/blob/main/P2P_Leakage/Presentation/ID05_uTorrent_Log_File.pptx) | 9M |
| Lab 6 | [Dateisignatur](https://github.com/frankwxu/digital-forensics-lab/blob/main/P2P_Leakage/Presentation/ID06_File_Signature.pptx) | 8M |
| Lab 7 | [E-Mails](https://github.com/frankwxu/digital-forensics-lab/blob/main/P2P_Leakage/Presentation/ID07_Emails.pptx) | 9M |
| Lab 8 | [Webverlauf](https://github.com/frankwxu/digital-forensics-lab/blob/main/P2P_Leakage/Presentation/ID08_Web_History.pptx) | 11M |
| Lab 9 | [Website-Analyse](https://github.com/frankwxu/digital-forensics-lab/blob/main/P2P_Leakage/Presentation/ID09_Website_Analysis.pptx) | 2M |
| Lab 10 | [Zeitplan (Zusammenfassung)](https://github.com/frankwxu/digital-forensics-lab/blob/main/P2P_Leakage/Presentation/Questions.docx) | 13K |
---
### Untersuchung des illegalen Besitzes von Bildern
Die [Fallstudie](https://github.com/frankwxu/digital-forensics-lab/tree/main/Illegal_Possession_Images) untersucht den illegalen Besitz von Nashorn-Bildern. Dieses Image wurde von Dr. Golden G. Richard III beigesteuert und ursprünglich in der DFRWS 2005 RODEO CHALLENGE verwendet. NIST hostet das [USB-DD-Image](https://cfreds-archive.nist.gov/dfrws/Rhino_Hunt.html). Eine Kopie des Images ist ebenfalls im Repository verfügbar.
**Behandelte Themen**
| Labs | Behandelte Themen | Größe der PPTs |
| ----- | ----------------------------------------------------------------------------------------------------------------------------------------------- | -------------- |
| Lab 1 | [HTTP-Analyse mit Wireshark (Text)](https://github.com/frankwxu/digital-forensics-lab/blob/main/Illegal_Possession_Images/HTTP_Wireshark_Forensics_1_text.pptx) | 3M |
| Lab 2 | [Nashorn-Besitz-Untersuchung 1: Dateiwiederherstellung](https://github.com/frankwxu/digital-forensics-lab/blob/main/Illegal_Possession_Images/Rhion_Possession_1_File_Recovering.pptx) | 9M |
| Lab 3 | [Nashorn-Besitz-Untersuchung 2: Steganographie](https://github.com/frankwxu/digital-forensics-lab/blob/main/Illegal_Possession_Images/Rhion_Possession_2_Steganography.pptx) | 4M |
| Lab 4 | [Nashorn-Besitz-Untersuchung 3: Beweise aus FTP-Verkehr extrahieren](https://github.com/frankwxu/digital-forensics-lab/blob/main/Illegal_Possession_Images/Rhion_Possession_3_FTP_Traffic_crackzip.pptx) | 3M |
| Lab 5 | [Nashorn-Besitz-Untersuchung 4: Beweise aus HTTP-Verkehr extrahieren](https://github.com/frankwxu/digital-forensics-lab/blob/main/Illegal_Possession_Images/Rhion_Possession_4_HTTP_Traffic.pptx) | 5M |
---
### Untersuchung von E-Mail-Belästigung
Die [Fallstudie](https://github.com/frankwxu/digital-forensics-lab/tree/main/Email_Harassment) untersucht die belästigende E-Mail, die ein Student an einen Dozenten gesendet hat. Der Fall wird von digitalcorpora.org gehostet. Sie können die [Szenariobeschreibung](https://digitalcorpora.org/corpora/scenarios/nitroba-university-harassment-scenario) und den [Netzwerkverkehr](http://downloads.digitalcorpora.org/corpora/scenarios/2008-nitroba/nitroba.pcap) von deren Website abrufen. Das Repository enthält nur Laboranweisungen.
**Behandelte Themen**
| Labs | Behandelte Themen | Größe der PPTs |
| ----- | ------------------------------------------------------------------------------------------------------------------------ | -------------- |
| Lab 0 | [Untersuchung einer belästigenden E-Mail mit Wireshark](https://github.com/frankwxu/digital-forensics-lab/blob/main/Email_Harassment/0_Investigate_Harassment_Email_Wireshark.pptx) | 3M |
| Lab 1 | [Einführung in die t-shark-Forensik](https://github.com/frankwxu/digital-forensics-lab/blob/main/Email_Harassment/1_tshark_forensics_Introduction.pptx) | 7M |
| Lab 2 | [Untersuchung einer belästigenden E-Mail mit t-shark](https://github.com/frankwxu/digital-forensics-lab/blob/main/2_Investigate_Harassment_Email_TShark.pptx) | 2M |
---
### Untersuchung illegaler Dateiübertragungen
Die [Fallstudie](https://github.com/frankwxu/digital-forensics-lab/tree/main/Illegal_File_Transferring_Memory_Forensics) zielt darauf ab, den Arbeitsspeicher eines Computers zu untersuchen, um einen Zeitplan für unbefugte Datenübertragungen zu rekonstruieren. Das Szenario umfasst die illegale Übertragung sensibler Dateien von einem Server auf ein USB-Gerät.
**Behandelte Themen**
| Labs | Behandelte Themen | Größe der PPTs |
| ------ | -------------------------------------------------------------------- | -------------- |
| Lab 0 | [Speicherforensik](https://github.com/frankwxu/digital-forensics-lab/blob/main/Illegal_File_Transferring_Memory_Forensics) | 11M |
| Teil 1 | Verstehen des Verdächtigen und seiner Konten | |
| Teil 2 | Verstehen des PCs des Verdächtigen | |
| Teil 3 | Netzwerkforensik | |
| Teil 4 | Befehlsverlauf untersuchen | |
| Teil 5 | USB des Verdächtigen untersuchen | |
| Teil 6 | Internet Explorer-Verlauf untersuchen | |
| Teil 7 | Datei-Explorer-Verlauf untersuchen | |
| Teil 8 | Zeitanalyse | |
---
### Untersuchung eines Hackerangriffs
Die [Fallstudie](https://github.com/frankwxu/digital-forensics-lab/tree/main/NIST_Hacking_Case), die ein von [NIST](https://cfreds-archive.nist.gov/Hacking_Case.html) bereitgestelltes Datenträgerabbild umfasst, untersucht einen Hacker, der Internetverkehr im Bereich von drahtlosen Zugangspunkten abfängt.
**Behandelte Themen**
| Labs | Behandelte Themen | Größe der PPTs |
| ----- | --------------------------------------------------------- | -------------- |
| Lab 0 | [Hacking-Fall](https://github.com/frankwxu/digital-forensics-lab/blob/main/NIST_Hacking_Case/NIST_Hacking_Case.pptx) | 8M |
---
### Untersuchung des Morris-Wurm-Angriffs
Die Fallstudie ist eine Untersuchung des [Morris-Wurm-Angriffs](https://seedsecuritylabs.org/Labs_20.04/Networking/Morris_Worm/). Wir verwenden die von [SeedLab](https://seedsecuritylabs.org/labsetup.html) bereitgestellte VM. Ziel des Labors ist es, alle Beweise im Zusammenhang mit dem Morris-Wurm-Angriff zu finden.
**Behandelte Themen**
| Labs | Behandelte Themen | Größe der PPTs |
| ----- | --------------------------------------------------------------- | -------------- |
| Lab 0 | [Morris-Wurm-Angriff](https://github.com/frankwxu/digital-forensics-lab/blob/main/Morris_Worm/Morris_Attack.pptx) | 7M |
| Lab 1 | [Untersuchung des Morris-Wurm-Angriffs](https://github.com/frankwxu/digital-forensics-lab/blob/main/Morris_Worm/Morris_Forensics.pptx) | 2M |
---
### Untersuchung der Eufy-Türklingel
Diese Fallstudie untersucht die forensische Analyse einer Eufy-Türklingel und eines HomeBase-Systems unter Verwendung fortschrittlicher Extraktionstechniken, einschließlich der Chip-Off-Methode. Der Prozess beginnt mit der Demontage, dem Chip-Off, der Bildakquisition und endet mit der Analyse. Wichtige Verzeichnisse, wie solche, die Kameraaufnahmen, SQLite-Datenbanken und verschiedene Protokolle enthalten, werden analysiert, um Beweise zu extrahieren. Dieser Ansatz hilft, Zeitpläne zu rekonstruieren, Beweise für Benutzerinteraktionen und Systemaktivitäten zu identifizieren und wertvolle Erkenntnisse für Sicherheitsuntersuchungen zu liefern. Beachten Sie, dass diese Studie sich auf HomeBase 2 konzentriert, die neueste Version jedoch HomeBase 3 ist.
**eMMC-Images**
- [Türklingel-eMMC-Image](https://drive.google.com/file/d/1H2pHr2IsgaJrRvuJSIa5Cujz5orWR4dy/view?usp=sharing)
**Behandelte Themen**
| Labs | Behandelte Themen |
| ----- | ------------------------------------------------------------------------------------------------------------------------- |
| Lab 0 | [Einführung in die Türklingel](https://github.com/frankwxu/digital-forensics-lab/blob/main/Eufy_Doorbell/PPTs/0_Eufy_Doorbell_Introduction.pptx) |
| Lab 1 | [Simulation des Türklingel-Szenarios](https://github.com/frankwxu/digital-forensics-lab/blob/main/Eufy_Doorbell/PPTs/0_Eufy_Doorbell_Introduction.pptx) |
| Lab 2 | [Demontage der Türklingel, Chip-Off und Bildakquisition](https://github.com/frankwxu/digital-forensics-lab/blob/main/Eufy_Doorbell/PPTs/0_Eufy_Doorbell_Introduction.pptx) |
| Lab 3 | [Bildanalyse und Einhängen der Türklingel](https://github.com/frankwxu/digital-forensics-lab/blob/main/Eufy_Doorbell/PPTs/0_Eufy_Doorbell_Introduction.pptx) |
| Lab 4 | [Beweisextraktion der Türklingel](https://github.com/frankwxu/digital-forensics-lab/blob/main/Eufy_Doorbell/PPTs/0_Eufy_Doorbell_Introduction.pptx) |
| Lab 5 | [p2p-Kommunikationsprotokoll der Türklingel](https://github.com/frankwxu/digital-forensics-lab/blob/main/Eufy_Doorbell/PPTs/0_Eufy_Doorbell_Introduction.pptx) |
| Lab 6 | [Tägliches (Sek.) Logo der Türklingel](https://github.com/frankwxu/digital-forensics-lab/blob/main/Eufy_Doorbell/PPTs/0_Eufy_Doorbell_Introduction.pptxx) |
| Lab 7 | [Analyse des Kamerayverzeichnisses der Türklingel](https://github.com/frankwxu/digital-forensics-lab/blob/main/Eufy_Doorbell/PPTs/0_Eufy_Doorbell_Introduction.pptx) |
| Lab 8 | [Analyse des sqlite-Verzeichnisses der Türklingel](https://github.com/frankwxu/digital-forensics-lab/blob/main/Eufy_Doorbell/PPTs/0_Eufy_Doorbell_Introduction.pptx) |
---
### Untersuchung des Echo Show 8
Die Fallstudie beschreibt die Verwendung der Chip-Off-Technik zur Beweisextraktion aus einem Amazon Echo Show-Gerät. Verschiedene Beweisarten werden erstellt und in den Echo Show 8 (2. Generation) eingespielt. Der Untersuchungsprozess umfasst die Nutzung eines Reverse-Engineering-Ansatzes, um die eingespielten Beweise aus dem eingebetteten MultiMediaCard (eMMC) des Echo Show-Geräts abzurufen.
**eMMC-Images**
- [Echo Show eMMC-Image](https://miya.teracloud.jp/share/11d1e631cf6f8456)
- [Echo Show Userdata-Partitions-Image](https://miya.teracloud.jp/share/11d15342aae11912)
**Behandelte Themen**
| Labs | Behandelte Themen | Labdaten |
| --------- | ------------------------------------------------------------------------------------------------------------------------------------ | -------------------------------------- |
| Lab 0 | [Einführung in den Echo Show](https://github.com/frankwxu/digital-forensics-lab/blob/main/Echo_Device/ppts/0_Echo_Show_Introduction.pptx) | |
| Lab 1 | [Einspielen von Beweisen in den Echo Show](https://github.com/frankwxu/digital-forensics-lab/blob/main/Echo_Device/ppts/1_Echo_Show_Evidence_Planting.pptx) | |
| Lab 2 | [Gerätedemontage und eMMC-Chip-Off](https://github.com/frankwxu/digital-forensics-lab/blob/main/Echo_Device/ppts/2_Device_Teardown_and_eMMC_Chip-off.pptx) | |
| Lab 3 | [Bildakquisition und Einhängen](https://github.com/frankwxu/digital-forensics-lab/blob/main/Echo_Device/ppts/3_Image_Acquisition_and_Mounting.pptx) | |
| Lab 4.1.1 | [Spezifikationen: Geräte- und OS-Informationen](https://github.com/frankwxu/digital-forensics-lab/blob/main/Echo_Device/ppts/4_1_1_Specifications%20_Device_and_OS_Info.pptx) | [Link](https://github.com/frankwxu/digital-forensics-lab/blob/main/Echo_Device/lab_data/Lab_4_1_1) |
| Lab 4.1.2 | [Spezifikationen: Benutzerinformationen](https://github.com/frankwxu/digital-forensics-lab/blob/main/Echo_Device/ppts/4_1_2_Specifications%20User_info.pptx) | [Link](https://github.com/frankwxu/digital-forensics-lab/blob/main/Echo_Device/lab_data/Lab_4_1_2) |
| Lab 4.1.3 | [Spezifikationen: Netzwerkkonnektivitätsinformationen](https://github.com/frankwxu/digital-forensics-lab/blob/main/Echo_Device/ppts/4_1_3_Specifications_Network_Connectivity_Info.pptx) | [Link](https://github.com/frankwxu/digital-forensics-lab/blob/main/Echo_Device/lab_data/Lab_4_1_3) |
| Lab 4.2.1 | [Webaktivität](https://github.com/frankwxu/digital-forensics-lab/blob/main/Echo_Device/ppts/4_2_1_Web_Activity.pptx) | [Link](https://github.com/frankwxu/digital-forensics-lab/blob/main/Echo_Device/lab_data/Lab_4_2_1) |
| Lab 4.2.2 | [Telefonkommunikation](https://github.com/frankwxu/digital-forensics-lab/blob/main/Echo_Device/ppts/4_2_2_Phone_Communication.pptx) | [Link](https://github.com/frankwxu/digital-forensics-lab/blob/main/Echo_Device/lab_data/Lab_4_2_2) |
| Lab 4.3.1 | [Multimedia: Fotos und zugehörige Daten](https://github.com/frankwxu/digital-forensics-lab/blob/main/Echo_Device/ppts/4_3_1_Multimedia_Photos_and_Related_Data.pptx) | [Link](https://github.com/frankwxu/digital-forensics-lab/blob/main/Echo_Device/lab_data/Lab_4_3_1) |
| Lab 4.3.2 | [Multimedia: Videos und zugehörige Daten](https://github.com/frankwxu/digital-forensics-lab/blob/main/Echo_Device/ppts/4_3_2_Multimedia_Videos_and_Related_Data.pptx) | [Link](https://github.com/frankwxu/digital-forensics-lab/blob/main/Echo_Device/lab_data/Lab_4_3_3) |
| Lab 4.3.3 | [Multimedia: Audio und zugehörige Daten](https://github.com/frankwxu/digital-forensics-lab/blob/main/Echo_Device/ppts/4_3_3_Multimedia_Audio_and_Related_Data.pptx) | [Link](https://github.com/frankwxu/digital-forensics-lab/blob/main/Echo_Device/lab_data/Lab_4_3_3) |
---
### Untersuchung von Android 10
Das Image wurde von Joshua Hickman erstellt und von [digitalcorpora](https://digitalcorpora.org/corpora/cell-phones/android-10) gehostet.| Labs | Topics Covered | Size of PPTs |
| --------- | ------------------------------------------------------------------------------------------------------ | ------------ |
| Lab 0 | [Einführung Pixel 3](https://github.com/frankwxu/digital-forensics-lab/blob/main/Android10/0_Intro_Pixel3_Android10.pptx) | 3M |
| Lab 1 | [Pixel 3 Abbild](https://github.com/frankwxu/digital-forensics-lab/blob/main/Android10/1_Pixel3_Image.pptx) | 2M |
| Lab 2 | [Pixel 3 Gerät](https://github.com/frankwxu/digital-forensics-lab/blob/main/Android10/2_Pixel3_Device_Investigation.pptx) | 4M |
| Lab 3 | [Pixel 3 Systemeinstellungen](https://github.com/frankwxu/digital-forensics-lab/blob/main/Android10/3_Pixel3_System_settings.pptx) | 5M |
| Lab 4 | [Übersicht: App-Lebenszyklus](https://github.com/frankwxu/digital-forensics-lab/blob/main/Android10/4_Overivew_App_Life_Cycle.pptx) | 11M |
| Lab 5.1.1 | [AOSP App-Untersuchungen: Messaging](https://github.com/frankwxu/digital-forensics-lab/blob/main/Android10/5_1_1_AOSP_App_Investigations_Messaging.pptx) | 4M |
| Lab 5.1.2 | [AOSP App-Untersuchungen: Kontakte](https://github.com/frankwxu/digital-forensics-lab/blob/main/Android10/5_1_2_AOSP_App_Investigations_Contacts.pptx) | 3M |
| Lab 5.1.3 | [AOSP App-Untersuchungen: Kalender](https://github.com/frankwxu/digital-forensics-lab/blob/main/Android10/5_2_1_GMS_App_Investigations_Messaging.pptx) | 1M |
| Lab 5.2.1 | [GMS App-Untersuchungen: Messaging](https://github.com/frankwxu/digital-forensics-lab/blob/main/Android10/5_2_2_GMS_App_Investigations_Dialer.pptx) | 6M |
| Lab 5.2.2 | [GMS App-Untersuchungen: Dialer](https://github.com/frankwxu/digital-forensics-lab/blob/main/Android10/5_2_2_GMS_App_Investigations_Dialer.pptx) | 2M |
| Lab 5.2.3 | [GMS App-Untersuchungen: Karten](https://github.com/frankwxu/digital-forensics-lab/blob/main/Android10/5_2_3_GMS_App_Investigations_Maps.pptx) | 8M |
| Lab 5.2.4 | [GMS App-Untersuchungen: Fotos](https://github.com/frankwxu/digital-forensics-lab/blob/main/Android10/5_2_4_GMS_App_Investigations_Photos.pptx) | 6M |
| Lab 5.3.1 | [Drittanbieter-App-Untersuchungen: Kik](https://github.com/frankwxu/digital-forensics-lab/blob/main/Android10/5_3_1_Third_Party_App_Investigation_kik.pptx) | 4M |
| Lab 5.3.2 | [Drittanbieter-App-Untersuchungen: textnow](https://github.com/frankwxu/digital-forensics-lab/blob/main/5_3_2_Third_Party_App_Investigation%20_textnow.pptx) | 1M |
| Lab 5.3.3 | [Drittanbieter-App-Untersuchungen: whatapp](https://github.com/frankwxu/digital-forensics-lab/blob/main/Android10/5_3_3_Third_Party_App_Investigation_whatsapp.pptx) | 3M |
| Lab 6 | [Pixel 3 Rooting](https://github.com/frankwxu/digital-forensics-lab/blob/main/Android10/6_Pixel3_rooting.pptx) | 5M |
---
### Untersuchung von iPhone iOS 13.4.1
Das Abbild wurde von Joshua Hickman erstellt und wird von [digitalcorpora](https://digitalcorpora.org/corpora/cell-phones/ios-13) gehostet.
| Labs | Topics Covered | Size of PPTs |
| ------ | --------------------------------------------------------------------- | ------------ |
| Lab 0 | [Einführung Einführung iPhone iOS 13](https://github.com/frankwxu/digital-forensics-lab/blob/main/iOS/0_Intro_iPhone_iOS13.pptx) | 5M |
| Lab 1 | [iOS 13.4.1 Abbild](https://github.com/frankwxu/digital-forensics-lab/blob/main/iOS/1_iOS_13.4.1_Image.pptx) | 5M |
| Lab 2 | [iPhone Geräteuntersuchung](https://github.com/frankwxu/digital-forensics-lab/blob/main/iOS/2_iPhone_Device_Investigation.pptx) | 3M |
| Lab 3 | [iOS Systemeinstellungen](https://github.com/frankwxu/digital-forensics-lab/blob/main/iOS/3_iOS_System_settings.pptx) | 3M |
| Lab 4 | [Übersicht des App-Lebenszyklus](https://github.com/frankwxu/digital-forensics-lab/blob/main/iOS/4_Overivew_App_Life_Cycle.pptx) | 2M |
| Lab 5 | [Nachrichten-Untersuchungen](https://github.com/frankwxu/digital-forensics-lab/blob/main/iOS/5_Messages_Investigations.pptx) | 3M |
| Lab 6 | [Kontakte-Untersuchungen](https://github.com/frankwxu/digital-forensics-lab/blob/main/iOS/6_Contacts_Investigation.pptx) | 3M |
| Lab 7 | [Calender-Untersuchungen](https://github.com/frankwxu/digital-forensics-lab/blob/main/iOS/7_Calender_Investigation.pptx) | 2M |
| Lab 8 | [Safari-Untersuchungen](https://github.com/frankwxu/digital-forensics-lab/blob/main/iOS/8_Safari_Investigation.pptx) | 3M |
| Lab 9 | [Foto-Untersuchungen](https://github.com/frankwxu/digital-forensics-lab/blob/main/iOS/9_Photos_Investigation.pptx) | 7M |
| Lab 10 | [KnowledgeC-Untersuchungen](https://github.com/frankwxu/digital-forensics-lab/blob/main/iOS/10_KnowledgeC_Investigation.pptx) | 5M |
| Lab 11 | [Health_-Untersuchungen](https://github.com/frankwxu/digital-forensics-lab/blob/main/iOS/11_Health_Investigation.pptx) | 5M |
| Lab 12 | [Standort-Untersuchungen](https://github.com/frankwxu/digital-forensics-lab/blob/main/iOS/12_iOS_Location_Investigation.pptx) | 8M |
| Lab 13 | [Cellebrite-Untersuchungen](https://github.com/frankwxu/digital-forensics-lab/blob/main/iOS/13_Cellebrite_Investigation.pptx) | 12M |
| Lab 14 | [Magnet Axiom-Untersuchungen](https://github.com/frankwxu/digital-forensics-lab/blob/main/iOS/14_Magnet_Axiom_Investigation.pptx) | 13M |
| Lab 14 | [Jailbreak-Untersuchungen](https://github.com/frankwxu/digital-forensics-lab/blob/main/iOS/15_iOS_Jailbreak.pptx) | 6M |
---
### Untersuchung von Drohne DJI
Der Datensatz enthält logische Dateien, die von einem DJI-Controller (mobiles Gerät) extrahiert wurden, sowie ein SD-Kartenabbild, das vom Gerät verwendet wird. Der Drohnen-Datensatz wurde von [VTO Labs](https://www.vtolabs.com/drone-forensics) erstellt. Das Labor behandelt GPS-Untersuchung und Abruf zwischengespeicherter Bilder. Hinweis: Es handelt sich um einen Entwurf. Wir werden das Labor später verbessern.
| Labs | Topics Covered | Size of PPTs |
| ----- | ----------------------------------------------------------------------------------------------- | ------------ |
| Lab 0 | [DJI Mavic Air Mobil](https://github.com/frankwxu/digital-forensics-lab/blob/main/Drone_DJI_Mavic_Air/00_DJI_Mavic_Air_Mobile.pptx) | 13M |
| Lab 1 | [DJI Mavic Air MicroSD Rohdaten](https://github.com/frankwxu/digital-forensics-lab/blob/main/Drone_DJI_Mavic_Air/01_DJI_Mavic_Air_microSD_raw.pptx) | 2M |
| Lab 2 | [DJI Mavic Air MicroSD EnCase-Format](https://github.com/frankwxu/digital-forensics-lab/blob/main/Drone_DJI_Mavic_Air/02_DJI_Mavic_Air_microSD_encase.pptx) | 2M |
---
### Politische Erkenntnisanalyse mithilfe großer Sprachmodelle (LLMs)
Die Fallstudie zeigt, wie man große Sprachmodelle nutzen kann, um politische Erkenntnisse auf der Grundlage eines E-Mail-Datensatzes zu gewinnen. Der von uns in der Fallstudie verwendete Datensatz ist eine Reihe von durchgesickerten [E-Mails](https://github.com/benhamner/hillary-clinton-emails?tab=readme-ov-file), die vom privaten E-Mail-Server von Hillary Clinton stammen.
Der Hintergrund der durchgesickerten E-Mails ist ein bedeutendes Kapitel in der jüngeren US-Politikgeschichte, das Fragen der Transparenz, Sicherheit und des Umgangs mit sensiblen Informationen aufwirft. Während ihrer Amtszeit als US-Außenministerin von 2009 bis 2013 nutzte Hillary Clinton einen privaten E-Mail-Server für ihre offizielle Kommunikation anstelle des offiziellen E-Mail-Systems des Außenministeriums. Sie erklärte, dies sei aus Bequemlichkeit geschehen, um ein einziges Gerät für persönliche und dienstliche E-Mails nutzen zu können.
Der Datensatz der durchgesickerten E-Mails von Hillary Clintons privatem E-Mail-Server ist eine umfassende Sammlung von Kommunikationen, die ihre gesamte Amtszeit als Außenministerin von 2009 bis 2013 abdeckt. Er umfasst etwa 30.000 E-Mails mit einer breiten Themenpalette, von offiziellen diplomatischen Mitteilungen bis hin zu persönlicher Korrespondenz. Die Veröffentlichung und anschließende Analyse dieser E-Mails haben eine entscheidende Rolle in politischen Debatten, rechtlichen Untersuchungen und öffentlichen Diskussionen über Transparenz und Sicherheit in der Regierungskommunikation gespielt.
Unser Datensatz: [eine Reihe von E-Mail-Zusammenfassungen](https://github.com/frankwxu/digital-forensics-lab/blob/main/AI4Forensics/CKIM2024/HillaryEmails/results_email_summary.txt). Jede E-Mail-Zusammenfassung ist eine von Gemini generierte Zusammenfassung einer Original-E-Mail aus dem ursprünglich durchgesickerten [E-Mail-Datensatz](https://github.com/benhamner/hillary-clinton-emails?tab=readme-ov-file). Uns interessieren nur E-Mails, die das Schlüsselwort „israel“ enthalten.
Unsere Ergebnisse: [Code im Jupyter Notebook](https://github.com/frankwxu/digital-forensics-lab/blob/main/AI4Forensics/CKIM2024/HillaryEmails/email_analysis_political_insight.ipynb).
Hier sind einige politische Erkenntnisse basierend auf den durchgesickerten E-Mail-Zusammenfassungen, die von Hillary Clintons privatem E-Mail-Server stammen und sich auf Israel beziehen: <img src="https://assets.kitploit.com/production/public/readmes/4937/0dbe56fcb554fa54546caa76420ea191f263eecbb0a246181488b6516bd9f267.jpg">
---
### Tools
| Name | Befehl | Repository | Installationsmethode |
| ----------------------- | ----------------- | --------------------------------------------------------------- | ------------------- |
| Wine | wine --version | https://source.winehq.org/git/wine.git/ | Benutzerdefiniert |
| Vinetto | vinetto -h | https://github.com/AtesComp/Vinetto | Benutzerdefiniert |
| imgclip | imgclip -h | https://github.com/Arthelon/imgclip | apt install |
| RegRipper | rip.pl -h | https://github.com/keydet89/RegRipper3.0 | Benutzerdefiniertes Skript |
| Windows-Prefetch-Parser | prefetch.py -h | https://github.com/PoorBillionaire/Windows-Prefetch-Parser.git | Benutzerdefiniert |
| python-evtx | evtx_dump.py -h | https://github.com/williballenthin/python-evtx | apt install |
| libesedb-utils | esedbexport -h | https://github.com/libyal/libesedb | apt install |
| libpff | pffexport -h | https://github.com/libyal/libpff | apt install |
| USN-Record-Carver | usncarve.py -h | https://github.com/PoorBillionaire/USN-Record-Carver | apt install |
| USN-Journal-Parser | usn.py -h | https://github.com/PoorBillionaire/USN-Journal-Parser | apt install |
| time_decode | time_decode.py -h | https://github.com/digitalsleuth/time_decode | Git Clone |
| analyzeMFT | analyzeMFT.py -h | https://github.com/dkovar/analyzeMFT | Benutzerdefiniertes Skript |
| libvshadow | vshadowinfo -h | https://github.com/libyal/libvshadow | Benutzerdefiniertes Skript |
| INDXParse | INDXParse.py - | | Benutzerdefiniertes Skript |
| carving sqlite .db | undark -h | https://github.com/inflex/undark.git | Benutzerdefiniertes Skript |
| stegdetect | stegdetect -V | | Benutzerdefiniertes Skript |
| stegbreak | stegbreak -V | | Benutzerdefiniertes Skript |
| stego-toolkit | jphide | | Benutzerdefiniertes Skript |
| jpsestego-toolkitek | jpseek | | Benutzerdefiniertes Skript |
| volatility-2 | vol.py -h | https://github.com/volatilityfoundation/volatility.git | Benutzerdefiniertes Skript |
| liblnk-utils | lnkinfo -h | | apt install |
| JLECmd | | https://f001.backblazeb2.com/file/EricZimmermanTools/JLECmd.zip | Git Clone |
| recentfilecache-parser | | https://github.com/prolsen/recentfilecache-parser | |
| LogFileParser | | https://github.com/jschicht/LogFileParser.git | Git Clone |
| UsnJrnl2Csv | | ttps://github.com/jschicht/UsnJrnl2Csv.git | Git Clone |
- Weitere über apt install installierte Tools:
python3-pip, leafpad, terminator, sqlite3, tree, xmlstarlet, libhivex-bin, pasco, libhivex-bin, npm, binwalk, foremost, hashdeep, ewf-tools, nautilus
---
## Mitwirkung
- Projektleiter
- Dr. Frank Xu (Email: fxu at ubalt dot edu)
- Dr. Debra L. Stanley
- Dr. Lin Deng; Twoson University
- Dr. Wenbin Zhang; FIU
- Studenten:
- Eric Xu: University of Maryland (LLM für digitale Forensik)
- Jeel Khatiwala (Bewertung der Zuverlässigkeit digitaler forensischer Beweise, die von LLMs entdeckt wurden)
- Mohit Dhabuwala (Open-Source-Handbuch für mobile Forensik)
- Daniel Addai ([CTF](https://github.com/frankwxu/digital-forensics-lab-p2))
- Sarfraz Shaikh (Echo Show, Eufy Türklingel)
- Danny Ferreira (iPhone)
- Harleen Kaur: (Teile von Android)
- Malcolm Hayward (P2P-Leckage)
- Richard (Max) Wheeless (Hacking-Fall)
- Chimezie Onwuegbuchulem (Docker für digitale Forensik)
- Etinosa Osawe (KI für Forensik – Identifizierung von IPs mit einem feinabgestimmten Sprachmodell)
---
## Sternverlauf
<a href="https://www.star-history.com/?repos=frankwxu%2Fdigital-forensics-lab&type=date&legend=top-left">
<picture>
<source media="(prefers-color-scheme: dark)" srcset="https://api.star-history.com/chart?repos=frankwxu/digital-forensics-lab&type=date&theme=dark&legend=top-left&sealed_token=QLG2IoC6rGLOmppzMTNZ6GUua_bQOcXoSDc94I_z0Tql-_Y5LoI_iYQ6VKqdFbNJecrH_ZgiM0pKnUuCZ9QpDTibmDIIuwEaMBMC1TKV4Zk4TpUl4nOrJCQyBtaxArRRs4uOHhtpylhwoxbbpscj__P_VvC7HHMwS-mEfDOZG4MTUIQlX7jtD4BidhAu" />
<source media="(prefers-color-scheme: light)" srcset="https://api.star-history.com/chart?repos=frankwxu/digital-forensics-lab&type=date&legend=top-left&sealed_token=QLG2IoC6rGLOmppzMTNZ6GUua_bQOcXoSDc94I_z0Tql-_Y5LoI_iYQ6VKqdFbNJecrH_ZgiM0pKnUuCZ9QpDTibmDIIuwEaMBMC1TKV4Zk4TpUl4nOrJCQyBtaxArRRs4uOHhtpylhwoxbbpscj__P_VvC7HHMwS-mEfDOZG4MTUIQlX7jtD4BidhAu" />
<img alt="Sternverlaufsdiagramm" src="https://api.star-history.com/chart?repos=frankwxu/digital-forensics-lab&type=date&legend=top-left&sealed_token=QLG2IoC6rGLOmppzMTNZ6GUua_bQOcXoSDc94I_z0Tql-_Y5LoI_iYQ6VKqdFbNJecrH_ZgiM0pKnUuCZ9QpDTibmDIIuwEaMBMC1TKV4Zk4TpUl4nOrJCQyBtaxArRRs4uOHhtpylhwoxbbpscj__P_VvC7HHMwS-mEfDOZG4MTUIQlX7jtD4BidhAu" />
</picture>
</a>