Partitionen - Lehrstuhl Praktische Informatik I - Universität Mannheim
Partitionen - Lehrstuhl Praktische Informatik I - Universität Mannheim
Partitionen - Lehrstuhl Praktische Informatik I - Universität Mannheim
Sie wollen auch ein ePaper? Erhöhen Sie die Reichweite Ihrer Titel.
YUMPU macht aus Druck-PDFs automatisch weboptimierte ePaper, die Google liebt.
Name und Datumwww.uni-mannheim.de Seite<br />
Digitale Forensik<br />
Schulung Bundespolizeiakademie<br />
März 2009<br />
Teil 13+14: Dateisystemanalyse<br />
und (kommerzielle) Tools<br />
Dipl-Inform Markus Engelberth<br />
Dipl-Inform Christian Gorecki<br />
<strong>Universität</strong> <strong>Mannheim</strong><br />
<strong>Lehrstuhl</strong> für <strong>Praktische</strong> <strong>Informatik</strong> 1<br />
Dr. Kay Schumann<br />
<strong>Universität</strong> Bonn<br />
Institut für Strafrecht
Digitale Forensik, Schulung Bundespolizeiakademie, März 2009<br />
Motivation<br />
• Viele digitale Spuren fallen auf Festplatten an<br />
• Traditionell werden Festplatten 1:1 kopiert<br />
• Anfertigen eines Disk Image<br />
• Image wird dann mit Analysewerkzeugen weiter<br />
untersucht<br />
• Jetzt die Fragen:<br />
– Welche Strukturen existieren in den Images?<br />
– Wie analysiert man diese Strukturen?
• Festplattenanalyse<br />
– Festplatten und <strong>Partitionen</strong><br />
• Dateisystemanalyse<br />
– NTFS<br />
• Tools<br />
Digitale Forensik, Schulung Bundespolizeiakademie, März 2009<br />
Übersicht<br />
• Dieser Teil umfasst in der Vorlesung an der Uni<br />
<strong>Mannheim</strong> mindestens vier Doppelstunden!
Digitale Forensik, Schulung Bundespolizeiakademie, März 2009<br />
Laufwerk vs. Partition<br />
• Laufwerk, Festplatte, Partition, ... terminologische<br />
Vielfalt<br />
• Carrier schlägt als Begriffe vor:<br />
– Volume (Laufwerk) = Menge von adressierbaren Sektoren,<br />
die ein Betriebssystem oder eine Anwendung zur<br />
Speicherung von Daten verwenden kann<br />
– Partition (Partition) = Menge von aufeinanderfolgenden<br />
Sektoren in einem Laufwerk<br />
• Eine Partition ist immer auch ein Laufwerk, aber ein<br />
Laufwerk ist nicht immer eine Partition<br />
– Laufwerke können mehrere <strong>Partitionen</strong> beinhalten
Digitale Forensik, Schulung Bundespolizeiakademie, März 2009<br />
Wozu <strong>Partitionen</strong>?<br />
• Manche Dateisysteme haben eine Maximalgröße, die<br />
kleiner ist als die Festplatte<br />
• Laptops benötigen manchmal Bereiche auf der Platte,<br />
um Speicherinformationen abzulegen (hibernation)<br />
• <strong>Partitionen</strong> können verwendet werden, um die<br />
Auswirkungen von defekten Sektoren auf die<br />
Integrität des Dateisystems einzuschränken<br />
– Viele Unix-Systeme verwenden eine Partition für<br />
Systemdateien und eine Partition für Benutzerdateien<br />
• <strong>Partitionen</strong> können verwendet werden, um<br />
verschiedene Betriebssysteme auf einer Festplatte zu<br />
betreiben (dual boot)
Digitale Forensik, Schulung Bundespolizeiakademie, März 2009<br />
Klassischer Laufwerksaufbau<br />
• Aufbau eines Laufwerks besteht üblicherweise aus<br />
– einer Partitionstabelle, die das Layout des Laufwerks<br />
beschreibt<br />
– eine oder mehrere <strong>Partitionen</strong>
Digitale Forensik, Schulung Bundespolizeiakademie, März 2009<br />
Details<br />
• Partitionstabelle organisiert das Layout des Laufwerks<br />
• Wichtige Einträge sind Start- und Endsektor jeder Partition<br />
– Start- und Endsektor heben sich nicht notwendigerweise durch ihre<br />
Inhalte von anderen Sektoren ab<br />
– Man kann sie manchmal erraten, wenn man weiss, was in der<br />
Partition gespeichert wurde<br />
• Alle anderen Einträge sind unwichtig und müssen nicht<br />
notwendigerweise stimmen<br />
• Analogie: Grundstücksgrenzen<br />
– Blick ins Gelände reicht oft nicht aus<br />
– Man braucht die Akten des Grundbuchamtes<br />
– Manchmal kann man raten, wo ein Gründstück aufhört, wenn man<br />
weiss, wem es gehört<br />
• Partitionssysteme sind abhängig vom Betriebssystem und nicht<br />
von der Rechnerhardware<br />
– Gleiche <strong>Partitionen</strong> auf ATA und SCSI
Digitale Forensik, Schulung Bundespolizeiakademie, März 2009<br />
Exkurs: Laufwerke in Unix<br />
• Unix kennt keine Laufwerke C:, D:, etc. wie Windows<br />
• Laufwerke werden in einen einzigen Verzeichnisbaum<br />
hineinmontiert (mount)<br />
– Basisverzeichnis /
Digitale Forensik, Schulung Bundespolizeiakademie, März 2009<br />
Addressieren von Sektoren<br />
• LBA-Adresse ist die physische Adresse (physical address)<br />
eines Sektors auf einer Festplatte<br />
– Beginnt bei 0, 1, 2, ...<br />
• Logische Laufwerksadresse (logical volume address) ist die<br />
Adresse des Sektors relativ zum Beginn des Laufwerks<br />
– Da jede Festplatte ein separates Laufwerk ist, ist die logische<br />
Laufwerksadresse gleich der physischen Adresse<br />
– Start- und Endsektoren einer Partition werden durch ihre logischen<br />
Laufwerksadressen spezifiziert<br />
• Logische Partitionsadresse (logical partition volume address)<br />
ist die Adresse des Sektors relativ zum Beginn der Partition<br />
– Falls ein Sektor in keiner Partition liegt, hat er keine logische<br />
Partitionsadresse
Vorgehensweise bei der Laufwerksanalyse<br />
• Zunächst Prüfen der Partitionstabelle<br />
– Ist sie konsistent?<br />
– Gibt es Sektoren, die keiner Partition angehören?<br />
– Anschließend Partitions- und Dateisystemanalyse<br />
• Konsistenzprüfung<br />
– <strong>Partitionen</strong> in der Partitionstabelle müssen nicht<br />
entsprechend ihrem Layout auf der Platte sortiert sein<br />
– Prüfen der Start- und Endsektoren auf Lücken<br />
– In Lücken können Daten versteckt sein<br />
– In Lücken können sich Daten von vorhergehenden<br />
Dateisystemen befinden<br />
Digitale Forensik, Schulung Bundespolizeiakademie, März 2009
Digitale Forensik, Schulung Bundespolizeiakademie, März 2009<br />
Analyse der Partitionstabelle<br />
• Analyse der Partitionstabelle z.B. mittels mmls (Sleuthkit)<br />
• Umfangreiches Beispiel:<br />
# mmls -t dos disk2.dd<br />
Slot Start End Length Description<br />
00: ----- 0000000000 0000000000 0000000001 Primary Table (#0)<br />
01: ----- 0000000001 0000000062 0000000062 Unallocated<br />
02: 00:00 0000000063 0001028159 0001028097 NTFS (0x07)<br />
03: 00:01 0001028160 0001648394 0000620235 Win95 FAT32 (0x0B)<br />
04: ----- 0001648395 0001654694 0000006300 Unallocated<br />
05: 00:02 0001654695 0002072384 0000417690 Linux (0x83)<br />
06: 00:03 0002072385 0019984859 0017912475 DOS Extended (0x05)<br />
07: ----- 0002072385 0002072385 0000000001 Extended Table (#1)<br />
08: ----- 0002072386 0002072447 0000000062 Unallocated<br />
09: 01:00 0002072448 0002698919 0000626472 NTFS (0x07)<br />
10: 01:01 0002698920 0003116609 0000417690 DOS Extended (0x05)<br />
11: ----- 0002698920 0002698920 0000000001 Extended Table (#2)<br />
12: ----- 0002698921 0002698982 0000000062 Unallocated<br />
13: 02:00 0002698983 0003116609 0000417627 Linux (0x83)<br />
#
• Standardvorgehen: Jede Partition wird mittels dd in eine eigene<br />
Datei extrahiert<br />
– Nützlich: dd-Optionen skip und count (siehe Übung)<br />
• Befehle:<br />
dd if=disk1.dd of=part1.dd bs=512 skip=63 count=1028097<br />
dd íf=disk1.dd of=part2.dd bs=512 skip=2570400 count=1638630<br />
dd if=disk1.dd of=part3.dd bs=512 skip=4209030 count=2056320<br />
Digitale Forensik, Schulung Bundespolizeiakademie, März 2009<br />
Extraktion der <strong>Partitionen</strong>
• Festplattenanalyse<br />
Digitale Forensik, Schulung Bundespolizeiakademie, März 2009<br />
Übersicht<br />
– Festplatten und <strong>Partitionen</strong><br />
• Dateisystemanalyse<br />
– NTFS<br />
• Tools
Digitale Forensik, Schulung Bundespolizeiakademie, März 2009<br />
Partitionstypen<br />
• Die am häufigsten anzutreffenden Partitionssysteme<br />
sind DOS-<strong>Partitionen</strong><br />
– Standard im Desktop-Bereich für Windows und Linux<br />
– Mehr Infos zu anderen Systemen bei Carrier, Kap. 5 und 6<br />
• Apple <strong>Partitionen</strong>: Carrier pp. 101ff<br />
• Server-<strong>Partitionen</strong> (BSD, Solaris, GPT): Carrier Kap. 6<br />
• Es gibt keine echte Referenz für das Layout<br />
– Carrier-Buch wird oft als de facto Referenz zitiert<br />
• DOS-<strong>Partitionen</strong> gehören zu den ältesten und<br />
kompliziertesten Partitionstypen<br />
– „They were originally designed in the 1980s for small<br />
systems and have been improved (i.e. hacked) to handle<br />
large modern systems.“ [Carrier p. 82]
Digitale Forensik, Schulung Bundespolizeiakademie, März 2009<br />
Generelles Laufwerkslayout<br />
• Erster Sektor enthält MBR (Master Boot Record)<br />
• MBR enthält<br />
– Boot Code<br />
– Partitionstabelle<br />
– „Signaturwert“<br />
• Boot Code enthält Instruktionen zur „Decodierung“<br />
der Partitionstabelle<br />
– Lädt den Boot Loader oder direkt das Betriebssystem<br />
• Partitionstabelle hat vier Einträge<br />
– Jeder Eintrag kann genau eine DOS-Partition beschreiben
Digitale Forensik, Schulung Bundespolizeiakademie, März 2009<br />
Angaben der Partitionstabelle<br />
• Starting CHS address, Ending CHS address<br />
– Nur bei Platten mit weniger als 8 GB<br />
• Starting LBA address<br />
• Number of sectors in partition<br />
• Type of partition (z.B. FAT, NTFS, FreeBSD)<br />
– Wird von unterschiedlichen Betriebssystemen unterschiedlich<br />
verwendet<br />
– Linux ignoriert dieses Feld beim mounten<br />
– Windows erzeugt automatisch einen Laufwerksbuchstaben für alle<br />
Partitionstypen, die es unterstützt<br />
– Deswegen „sieht“ man die Linux-<strong>Partitionen</strong> auch nicht in Windows<br />
• Flags<br />
– „Bootable“: Zeigt an, wo ein bootbares Betriebssystem liegt
Digitale Forensik, Schulung Bundespolizeiakademie, März 2009<br />
Beispiel<br />
• Festplatte mit zwei <strong>Partitionen</strong> und MBR
Digitale Forensik, Schulung Bundespolizeiakademie, März 2009<br />
Primäre <strong>Partitionen</strong><br />
• Maximal vier <strong>Partitionen</strong> ist zu wenig für moderne Systeme<br />
– Erweiterte <strong>Partitionen</strong> = „Hack“ für mehr als vier DOS-<strong>Partitionen</strong><br />
• Idee:<br />
– Erstelle ein, zwei, drei Einträge im MBR für „normale <strong>Partitionen</strong>“<br />
– Packe zusätzliche <strong>Partitionen</strong> in eine „erweiterte“ Partition am Ende<br />
der Platte<br />
• Begriffe:<br />
– Primäre Dateisystempartition (primary file system partition) =<br />
Partition im MBR mit Dateisystem<br />
– Primäre erweiterte Partition (primary extended partition) =<br />
Partition im MBR, die weitere <strong>Partitionen</strong> enthält<br />
• In einer erweiterten Partition gelten ganz andere Regeln als in<br />
normalen <strong>Partitionen</strong><br />
– <strong>Partitionen</strong> sind als verkettete Liste organisiert<br />
– Jede Partition hat einen Kopf, der beschreibt wie groß sie ist und<br />
wo die nächste Partition zu finden ist
Digitale Forensik, Schulung Bundespolizeiakademie, März 2009<br />
Sekundäre <strong>Partitionen</strong><br />
• Sekundäre Dateisystempartition (secondary file<br />
system partition) = Partition innerhalb einer primären<br />
erweiterten Partition mit einem Dateisystem<br />
– Werden in Windows auch logische <strong>Partitionen</strong> genannt<br />
– Aufbau wie primäre Dateisystempartitionen, nur innerhalb<br />
einer erweiterten Partition<br />
• Sekundäre erweiterte Partition (secondary<br />
extended partition) = Partition mit einer<br />
Partitionstabelle und einer sekundären<br />
Dateisystempartition<br />
– „Wrapper“ um sekundäre Dateisystempartitionen<br />
– Zeigen auf nächste sekundäre erweiterte Partition<br />
• Uff!
Digitale Forensik, Schulung Bundespolizeiakademie, März 2009<br />
Beispiel<br />
• Festplatte mit 12 GB und 6 <strong>Partitionen</strong> à 2 GB
Digitale Forensik, Schulung Bundespolizeiakademie, März 2009<br />
Sonderfälle<br />
• Das Partitionsformat ist schlecht dokumentiert<br />
– Man kann viele Sonderfälle erzeugen, die weder erlaubt<br />
noch verboten sind<br />
• Beispiel:<br />
– Mehr als eine sekundäre Dateisystempartition in der<br />
Partitionstabelle einer erweiterten sekundären Partition<br />
– Wird von vielen Betriebssystemen korrekt verarbeitet<br />
– Erzeugt Verwirrung bei forensischen Tools
Digitale Forensik, Schulung Bundespolizeiakademie, März 2009<br />
Boot Code<br />
• Die ersten 446 Byte im MBR gehören dem Boot Code<br />
• Standard Microsoft Boot Code:<br />
– Analysiert die Partitionstabelle<br />
– Identifiziert die erste bootbare Partition<br />
– Lädt Daten aus dem ersten Sektor dieser Partition und führt sie aus<br />
• Boot-Sektor-Viren nisten sich in die ersten 446 Bytes ein<br />
– Werden bei jedem Systemstart ausgeführt<br />
• Bootloader:<br />
– Entweder als Teil des Betriebssystems (Code liegt dann innerhalb<br />
einer Partition)<br />
– Oder als Teil des Boot Code im MBR<br />
• Meist unter Nutzung einer oder mehrerer Sektoren hinter dem MBR vor<br />
dem Beginn der ersten Partition
Byte<br />
Nummern<br />
Digitale Forensik, Schulung Bundespolizeiakademie, März 2009<br />
Datenstrukturen MBR<br />
Beschreibung Notwendi<br />
g<br />
0-445 Boot Code Nein<br />
446-461 Erster Eintrag Partitionstabelle Ja<br />
462-477 Zweiter Eintrag Partitionstabelle Ja<br />
478-493 Dritter Eintrag Partitionstabelle Ja<br />
494-509 Vierter Eintrag Partitionstabelle Ja<br />
510-511 Signatur Nein
Datenstrukturen Eintrag Partitionstabelle<br />
Byte<br />
Nummern<br />
Digitale Forensik, Schulung Bundespolizeiakademie, März 2009<br />
Beschreibung Notwendig<br />
0-0 Bootable Flag Nein<br />
1-3 Starting CHS Addess Ja<br />
4-4 Partitionstyp Nein<br />
5-7 Ending CHS Address Ja<br />
8-11 Starting LBA Address Ja<br />
12-15 Size in Sectors Ja
Digitale Forensik, Schulung Bundespolizeiakademie, März 2009<br />
Partitionstypen: Beispiele<br />
• 0x00: leere Partition<br />
• 0x01: FAT12, CHS<br />
• ...<br />
• 0x07: NTFS<br />
• ...<br />
• 0x82: Linux Swap<br />
• 0x85: Linux Extended<br />
• ...<br />
• 0xfb: Vmware File System<br />
• ...<br />
• Vollständige Liste bei Carrier, p. 90f
Digitale Forensik, Schulung Bundespolizeiakademie, März 2009<br />
Fallstudie<br />
• Erstes Digital Forensics Tool Testing Image<br />
– Quelle: http://dftt.sourceforge.net/test1/<br />
– Autor: Brian Carrier<br />
– „This test image is a 'raw' disk image (i.e. 'dd'). The disk is<br />
150MB and is compressed to 160KB. This image is released<br />
under the GPL, so anyone can use it.“<br />
• Datei herunterladen, auspacken<br />
• Partitionstabelle anschauen mit Hexeditor<br />
– xxd ext-part-test2.dd | less
Digitale Forensik, Schulung Bundespolizeiakademie, März 2009
Decodierung der ersten Partition<br />
• Eintrag beginnt bei Byte Nummer 446 (0x1be)<br />
– Insgesamt 16 Bytes<br />
– Bis Byte 461 (0x1cd)<br />
• Hier:<br />
– Bootable Flag: 0x0<br />
– Starting CHS: 0x010100<br />
– Partition Type: 0x04 (FAT16, 16-32 MB, CHS)<br />
– Ending CHS: 0x1f3f19<br />
– Starting LBA: 0x0000003f (Dezimal 63, little-endian!)<br />
– Size in Sectors: 0x0000cc81 (Dezimal 52353, little-endian!)<br />
• Check mit mmls<br />
Digitale Forensik, Schulung Bundespolizeiakademie, März 2009
Digitale Forensik, Schulung Bundespolizeiakademie, März 2009
Digitale Forensik, Schulung Bundespolizeiakademie, März 2009<br />
Nützliche Tools: Hex-Editoren<br />
• xxd (bereits erwähnt)<br />
• Winhex: www.winhex.de<br />
– Kommerziell aber kostenlose Testversion erhältlich<br />
• LDE: http://lde.sourceforge.net/<br />
• BVI: http://bvi.sourceforge.net/<br />
– „binary vi“<br />
• BIEW: http://biew.sourceforge.net/en/biew.html<br />
• HIEW: http://www.hiew.ru/
• Festplattenanalyse<br />
– Festplatten und <strong>Partitionen</strong><br />
• Dateisystemanalyse<br />
– NTFS<br />
• Tools<br />
Digitale Forensik, Schulung Bundespolizeiakademie, März 2009<br />
Übersicht
Dateisysteme und Dateisystemanalyse<br />
• Dateisysteme organisieren abgespeicherte Daten in einer<br />
Hierarchie von Dateien und Verzeichnissen<br />
– Benutzerdaten vs. Strukturdaten (für die Organisation der<br />
Benutzerdaten)<br />
– Dateisystemanalyse betrachtet die Daten in einem Laufwerk und<br />
interpretiert sie als ein Dateisystem<br />
• Dateisysteme sind in der Regel unabhängig von einem<br />
speziellen Computer oder Betriebssystem<br />
– Man kann FAT32 sowohl unter Linux als auch unter Windows<br />
verwenden<br />
– Kenntnis der Manipulationsregeln ermöglicht Zugriff<br />
• Interne Struktur von Dateien ist anwendungsabhängig<br />
– Wird hier deshalb nicht weiter betrachtet<br />
Digitale Forensik, Schulung Bundespolizeiakademie, März 2009
Digitale Forensik, Schulung Bundespolizeiakademie, März 2009<br />
Kategorien von Daten<br />
• Abstraktes Referenzmodell für Dateisysteme<br />
– Erlaubt einen einfacheren Vergleich konkreter Dateisysteme<br />
– Ermöglicht abstrakte Vorgehensweisen bei der Analyse zu<br />
beschreiben<br />
• Fünf Kategorien von Daten:<br />
– Dateisystem<br />
– Inhalt<br />
– Metadaten<br />
– Dateiname<br />
– Anwendung<br />
• Alle Daten in einem Dateisystem gehören einer dieser fünf<br />
Kategorien an<br />
– Manche Dateisysteme passen besser in das Raster als andere<br />
– Aber die Tools aus dem Sleuth Kit verwenden diese Kategorien
Digitale Forensik, Schulung Bundespolizeiakademie, März 2009<br />
Analyse von Inhaltsdaten<br />
• Man kann sich spezielle Datenblöcke direkt im Hex-Editor<br />
anzeigen lassen<br />
– Beispiel: dcat (Sleuthkit)<br />
• Man kann eine Suche über alle Datenblöcke machen<br />
– Beispiel: Suche nach einer Telefonnummer<br />
– Vorsicht vor Fragmentierung:<br />
• Suchstring könnte sich gerade auf Datenblockgrenzen befinden<br />
• Manche Tools finden diesen String nicht<br />
• Spezielle „keyword search test images“ im DFTT zum Testen der<br />
eigenen Werkzeuge verwenden<br />
• Suche auf allen unbenutzten Datenblöcken<br />
• Konsistenzchecks:<br />
– Suche nach „Waisen“ (benutzten Datenblöcken ohne Metadaten)<br />
– Suche nach Datenblöcken mit mehreren Metadateneinträgen
Techniken zum Löschen von Dateien<br />
• Die meisten Betriebssysteme löschen nur den Verweis auf die<br />
Datenblöcke und setzen ihren Status auf „unbenutzt“<br />
– Dateien sind leicht wiederherzustellen<br />
• Heute vermehrt Werkzeuge im Umlauf für „sicheres Löschen“<br />
– Beliebte Technik: Überschreibe Datenblöcke mit Nullen oder Zufallsdaten<br />
• Werkzeuge auf Anwendungsebene haben oft Schwächen:<br />
– Machen Annahmen über spezielles Verhalten des Betriebssystems, die nicht<br />
gelten müssen<br />
– Beispiel: Linux-Tool, welches Nullen in die Datenblöcke schrieb<br />
• Datenblock wurde nicht direkt geschrieben, zwischengespeichert (buffer cache),<br />
und als gelöscht markiert<br />
• Linux „optimierte“ das Schreiben weg: Warum sollte auch eine als gelöscht<br />
markierte Datei noch geschrieben werden<br />
• Ob derartige Werkzeuge verwendet wurden, ist in der Regel schwer<br />
festzustellen<br />
– Es sei denn, man findet sie selbst auf der Festplatte<br />
– Dann sind ihre Zeitstempel (Zeit der letzten Verwendung) interessant<br />
Digitale Forensik, Schulung Bundespolizeiakademie, März 2009
• Slack Space entsteht immer dann, wenn eine Datei<br />
einen Datenblock nicht vollständig ausfüllt<br />
• Slack Space kann wertvolle Informationen enthalten<br />
Digitale Forensik, Schulung Bundespolizeiakademie, März 2009<br />
Exkurs: Slack Space
Digitale Forensik, Schulung Bundespolizeiakademie, März 2009<br />
Zwei Arten von Slack Space<br />
• Slack Space im „restlichen Sektor“:<br />
– Betriebssysteme füllen beim Schreiben des Sektors Slack<br />
Space nicht notwendigerweise mit Nullen auf<br />
– DOS und frühe Windows-Versionen kopierten Werte aus dem<br />
Hauptspeicher in den Slack Space<br />
• Slack Space im „restlichen Datenblock“:<br />
– Wird von Betriebssystemen in der Regel nicht überschrieben<br />
• Analogie: VHS-Videokassette kann verräterische<br />
Spuren enthalten<br />
– Erst den Musikantenstadl am Samstag aufnehmen (ca. 120<br />
min.)<br />
– Anschauen, zurückspulen.<br />
– Dann das Auslandsjournal am Donnerstag (ca. 60 min)
Ausblick: konkrete Dateisysteme<br />
• Die drei bekanntesten Dateisysteme sind:<br />
– FAT: einfaches und frühes Dateisystem aus der DOS-Welt<br />
– NTFS: Nachfolgedateisystem in Windows<br />
– Ext2/Ext3: Standarddateisysteme der Unix-Welt<br />
• Wir werden uns nur eins anschauen: NTFS<br />
Digitale Forensik, Schulung Bundespolizeiakademie, März 2009
Communications of the ACM, 48(8), 2006<br />
Name und Datumwww.uni-mannheim.de Seite<br />
Ausblick<br />
• Probieren Sie die<br />
Werkzeuge aus<br />
• Fragen?