Dipl. Ing. Christian Perst hat in einer Prüfung Anfang Juli 2015 seinen Titel als GIAC zertifizierter IT-Forensiker (GCFA, Advanced Digital Forensics and Incident Response, FOR508) wiederum für vier Jahre bestätigt. Durch die wiederholt besonders guten Prüfungsergebnisse darf er als SANS-Mentor in Fachgebiet der IT-Forensik tätig sein.

Ein Beispiel, wie spannend die IT-Forensik nach wie vor bleibt: In dem jungen Fachbereich der IT-Forensik ist die Speicheranalyse ein noch jüngeres Arbeits- und Forschungsfeld. 2005 wurde in der 1. „Digital Forensic Research Conference“ ein Wettbewerb gestartet, um Arbeiten auf diesem Forschungsgebiet zu entwickeln und anzukurbeln. Seit diesem Zeitpunkt werden verstärkt Mechanismen und Strukturen des Speicheraufbaus der verschiedenen Betriebssysteme analysiert. Einige Jahre später entstanden die ersten Programme, die über die einfache Textsuche im Arbeitsspeicher hinausgingen.

Das bedeutet für einen geschulten und erfahrenen Forensiker, dass z.B. ein Stuxnet-Virus oder ein ZeuS-Trojaner über die Speicheranalyse relativ einfach zu identifizieren ist. Man muss wissen, wonach man sucht, und die Anomalien springen einem direkt ins Auge. Ein Schadprogramm muss sich einerseits verstecken und andererseits am System aktiv sein und im Arbeitsspeicher seine Aktionen ausführen.

Herzliche Gratulation dem rezertifizierten SANS-Mentor!