Disclaimer: Dieser Thread wurde aus dem alten Forum importiert. Daher werden eventuell nicht alle Formatierungen richtig angezeigt. Der ursprüngliche Thread beginnt im zweiten Post dieses Threads.
Forensische Informatik - Braindumps früherer Prüfungen
Hi,
Gibt’s irgendwo Braindumps früherer Prüfungen? Ich habe leider nicht’s gefunden - hab sogar mal kurz im Forum der Uni Darmstadt geschaut…
dann such doch mal bei der rwth aachen und der uni mannheim … wie kommst du auf darmstadt?
Hab da ansatzweise etwas für dich gefunden:
http://www2.s-inf.de/Skripte/HS/DiplomPraxis.2006-WS-Freiling.(LH).VVS1,VVS2,Forensik,DatKomm.pdf
http://www2.s-inf.de/Skripte/HS/DiplomPraxis.2005-SS-Freiling.™.Vertiefung_VVS1,VVS2,Forensik,CFIA.pdf
Eventuell lohnt es sich nach Felix Gärtner statt Felix Freiling zu suchen.
Bei beiden Links kommt:
Not Found
The requested URL /Skripte/HS/DiplomPraxis.2005-SS-Freiling. was not found on this server.
EDIT:
Ah ok, das Forum stellt die Links nicht korrekt dar! Wenn man sie manuell rauskopiert geht’s!
Hier direkt zum anklicken 
http://www2.s-inf.de/Skripte/HS/DiplomPraxis.2006-WS-Freiling.(LH).VVS1,VVS2,Forensik,DatKomm.pdf
http://www2.s-inf.de/Skripte/HS/DiplomPraxis.2005-SS-Freiling.™.Vertiefung_VVS1,VVS2,Forensik,CFIA.pdf
Ich hatte heute meine Prüfung:
Herr Freiling ließ mich aussuchen ob ich über Bericht 3 oder 4 geprüft werden wollte - ich nahm 3:
Erst kurz selber frei erklären um was es ging, und wie man vorgegangen ist.
Dann ein paar Fragen zum Bericht:
Warum ist Bild vier nicht von Autopsy gefunden worden, wie kann es sein, dass ein Bild noch vorhanden ist, obwohl das System neu aufgesetzt wurde?
Was ist das “Orphan File” in Autopsy - wie kam das zustande?
Kann deshalb der Angeklagte behaupten er wusste nichts von dem Bild, er hat die Platte gebraucht bekommen?
Kann der Angeklagte behaupten, die Bilder sind durch Einwirkung kosmischer Strahlung auf der Platte entstanden?
Wie kann man sich erklären, dass bei einem Bild das Erstelldatum nach dem Datum des letzten Zugriffs liegt?
Wie kann man sicherstellen, dass die ausgegebenen Bilder der Filecarver und Autopsy wirklich die identischen sind? Reicht da hinschaun? - Das hatten wir zwar nicht im Bericht, aber ich habe geantwortet: Man könnte z.B. den MD5 Schlüssel über die ausgegebenen Bilder berechnen, und so garantieren, dass auch garantiert kein Pixel anders ist!
Und dann noch ein paar Detailfragen:
Wie funktionieren Filecarver allgemein, was passiert wenn ein Filecarver nur z.B. eine Headersignatur findet, nicht aber den Footer, was passiert bei fragmentierten Platten?
Warum schreiben Filecarver nicht die Dateinamen mit raus?
Wo steht dann der Name der Datei?
Was ist die MAC-Zeit, gibt es noch eine weitere Zeit? (MFT-Zeit)
Alles in allem lief die Prüfung schon recht gut, er hat aber bemängelt, ich habe zu lange benötigt um über die MFT zu reden, um die Zusammenhänge mit den Bildern aufzuzeigen. Er habe mich dort erst stückweise hinführen müssen, und nachhaken müssen… Also am besten doch gleich mit dem technsichen Details durchstarten, zumindest nach der allgemeinen Zusammenfassung des Berichts 
1 „Gefällt mir“
Ich hatte heute auch. Da der 4. Bericht nicht angekommen ist - wir hatten per Mail abgegeben und das SVN ganz vergessen - hab ich den 3. Bericht genommen. War aber nicht weiter schlimm, ich war auf beide vorbereitet. In der Regel läuft es wohl so ab, dass sich der erste Übungspartner einen Bericht raussuchen darf, und der zweite dann den anderen macht.
Ansonsten erstmal alles wie bei mmuuuuhh. Auf das frei erklären sollte man sich gut vorbereiten, vorallem wenn man weiß welchen Bericht man nimmt.
- Wie ist das mit gelöschten Dateien bei NTFS vs. FAT im Verzeichniseintrag? NTFS hat die Sequenznummer d.h. man kann evtl. erkennen dass der Verzeichniseintrag auf einen falschen MFT Eintrag zeigt, bei der FAT ist dies nicht möglich
- MAC-Times: Was kann man aus den Zeiten des Verzeichnisses oder der MFT-Zeit schließen? Evlt welche MAC-Zeit innerhalb des Verzeichnises “gefälscht” wurde
- Verteidiger sagt Systemuhr des Angeklagten war an den betreffenden Zeitpunkt falsch gestellt, ist das plausibel oder eher unwahrscheinlich?
- Ist es wahrscheinlich dass das 4. Bild mal zum aktuellen Dateisystem gehört hat?
- Woher kommt das 4. Bild?
Achja:
Und Herr Freiling hat gefragt ob ich meine Berichte dabei habe - hatte ich natürlich nicht, da Herr Moch das eher ausgeschlossen hatte… Scheinbar geht’s doch
Ja, ich hatte meine eigenen Berichte in der Prüfung dabei und durfte sie benutzen. Hr. Freiling hatte zwar auch einen Ausdruck, sich da aber schon die Sachen angestrichen, die er vermutlich Fragen wollte.