Seminar X-Ways Forensics Dateisysteme Deep Dive

Inhaltsübersicht

• Rohdaten, Datentypen, Endianness, Zeitformate und Offsets
• Partitionstabellen, MBR, GPT und LVM2
• FAT, exFAT, NTFS und typische Wiederherstellungsszenarien
• Ext2, Ext3, Ext4, XFS und Btrfs im forensischen Kontext
• Manuelle Prüfung, Datenrettung und Plausibilitätskontrolle

Überblick

Dieses Deep-Dive-Seminar behandelt Dateisysteme nicht als reine Bedienoberfläche, sondern als technische Datenstrukturen auf dem Datenträger. X-Ways Forensics wird dabei als Analyseumgebung genutzt, um Bootsektoren, Tabellen, Dateieinträge, Inodes, Datenläufe und Metadaten direkt nachzuvollziehen.

Das Seminar eignet sich für Fälle, in denen automatische Auswertung allein nicht genügt: beschädigte Dateisysteme, widersprüchliche Metadaten, Datenrettung, Gutachtenfragen oder die Überprüfung von Tool-Ausgaben.

Zielgruppe

Geeignet für fortgeschrittene Forensiker, Datenretter, Sachverständige, Sicherheitsanalysten und technische Prüfer, die Dateisystembefunde verstehen, erklären und gegenprüfen müssen.

Inhalte

• Rohdaten lesen: Ganzzahlen, Zeichenketten, Endianness und Datumsformate
• Sektor- und Offsetnavigation mit X-Ways Forensics
• Daten-Dolmetscher, Templates und Template Manager
• MBR, GPT, Partitionseinträge, Schutz-MBR und LVM2-Grundlagen
• FAT12, FAT16, FAT32: Boot Record, FAT, Verzeichniseinträge und Löschlogik
• exFAT: Layout, Allocation Bitmap, Stream Extension, Zeitzonen-Offsets
• NTFS: Bootsektor, MFT, FILE Records, Attribute, Data Runs und INDX-Strukturen
• NTFS-Systemdateien, ADS, EFS, Kompression und Attributlisten
• Ext2, Ext3, Ext4: Superblock, Group Descriptors, Inodes, Extents und Journaling-Aspekte
• XFS und Btrfs: zentrale Konzepte, Metadatenstrukturen, B-Bäume und forensische Besonderheiten
• Manuelle Wiederherstellung, Befundvalidierung und Grenzen automatischer Auswertung

Praktische Übungen

Die Übungen verwenden kleine, nachvollziehbare Datenträgerabbilder und gezielt vorbereitete Beschädigungen. Geprüft werden Dateieinträge, Zeitstempel, Datenläufe, gelöschte Objekte, alternative Datenströme und Fälle, in denen Tool-Ausgaben durch manuelle Prüfung bestätigt oder korrigiert werden müssen.

Voraussetzungen

Erforderlich sind robuste Grundlagen der Computerforensik und die Bereitschaft, mit Hex-Ansicht, Offsets und Binärdaten zu arbeiten. Vorkenntnisse in NTFS oder Linux-Dateisystemen sind hilfreich.