Windows Server 2003 small business - LOGFILES - Datenraub

T

tjabo

New Member
Hallo,

ich habe einen Windows 2003 Server - small business edition und möchte gerne die verschiedenen Logfiles durchsehen um herauszufinden ob ggf. ein Datenraub (kopieren auf externe Geräte) stattgefunden hat, dies möchte ich weiters prüfen auf einem Lokalen Windows XP Computer, gibt es hier irgendwelche Möglichkeiten um auf irgendwelche Verdächtige Vorgänge draufzukommen, was sind die ersten Schritte um evtl. Datenraub nachzuweisen? Kennt sich hier jemand aus?

Weiterhin möchte ich wissen, da ich nicht sicher bin ob auf den besagten System noch logger oder sonstige Programm installiert sind, welche die Daten / passwort änderungen oder sonstige weiterleiten untersuchen, gibt es auch hier eine gute "anleitung" oder ein paar tipps mit welchen programmen man hier am besten bei windows xp/windows 2003 small business servern arbeitet?

Vielen lieben dank,
greets
tj
 
Du willst wissen ob ein Datenraub stattgefunden hat?
Wie stellst du dir das vor? Meinst du der Datenräuber hat ein Log geschrieben?

Wie soll denn der Datenraub deiner Meinung stattgefunden haben? Steht der Server im Internet? :confused:
 
fuchzga said:
Du willst wissen ob ein Datenraub stattgefunden hat?
Wie stellst du dir das vor? Meinst du der Datenräuber hat ein Log geschrieben?

Wie soll denn der Datenraub deiner Meinung stattgefunden haben? Steht der Server im Internet? :confused:
Click to expand...

Hallo,

danke für die Antwort. Der Server steht soweit nicht im Internet (zumindest sollte er das nicht), der Datenraub hat wenn durch einen Ex-Mitarbeiter stattgefunden, das heisst die Daten wurden einfach vom Laufwerk auf eine externe Festplatte kopiert, ist das irgendwie nachverfolgbar?

Danke für die Hilfe.
Tj
 
Gewisse, forensisch auswertbare Spuren gibt es aber doch.

So wird z.B. die Vendor- und Device-ID jedes angeschlossenen USB-Gerätes dauerhaft in der Registry verewigt.
Wenn dort ein Hersteller auftaucht, der (legitim) nicht verwendet wird, ist das schonmal ein starkes Indiz.
Zudem läßt sich die Reihenfolge, in der Registry-Einträge angelegt wurden, später nachvollziehen.

Auch vergessen viele, daß NTFS in der Defaulteinstellung nicht nur den Zeitstempel des letzten Schreibens, sondern auch des letzten Lesens einer Datei oder eines Verzeichnis speichert.

Gerade bei den Serverbetriebssystemen sind übrigens i.d.R. recht umfangreiche Audit-Funktionen schon in der Defaultinstallation aktiv...
 
Das Audit-Log wäre ein Ansatz.
Vorausgesetzt es wird der Zugriff auf Files mitprotokolliert. Nur dürfte das kaum eingeschalten sein, denn das muss man auf NTFS-Ebene einschalten. Noch dazu wird das Log recht unübersichtlich, wenn man jeden erfolgreichen Zugriff mitprotokollieren will. :o
 
You must log in or register to reply here.
Back
Top