Überprüfung des Netzwerks nach Encase und ähnlichen Konsorten

Hallo!

Es ja immer wieder interessant welche Ängste der Einsatz von EnCase auslösen kann.

Mir stellt sich als erstes die Frage ob überhaupt die Berechtigung vorliegt den Datenverkehr zu protokolieren. Das kann unter umständen eine strafbare Handlung darstellen.

Was löst den deine Befürchtung aus das EnCase im geheimen ausgerollt worden sein kann? Nur weil der Mutterkonzern amerikanisch ist?
Desweiteren ist es ja erst einmal die Sache des Unternehmens welche Software installiert ist. Auch wäre der Einsatz von EnCase, in dem vom Gesetzgeber gesteckten Rahmen, keinesfalls problematisch.

BTW:

EnCase Enterprise besteht vereinfacht dargestellt aus drei Komponenten:


1.) Examiner
2.) SAFE
3.) Servlet


Zu 1.) Ist das System das an dem der Forensic Specialist arbeitet
Zu 2.) ist das Serversystem welches die Kommunikation zwischen den anderen System managed und den ausstausch der Schluessel gewaehrleistet
Zu 3.) Ist ein ca. 400 KB groesses Programm welches den Examiner den Zugriff auf die Daten des System erlaubt. Dieses kann so installiert werden ohne das der Nutzer es bemerkt.


Wie kann man nun den Einsatz von EnCase in einer Enterprise Umgebung festellen?


1.) Auf jeden System auf dem ein Servlet installiert ist muss ein Port geöffnet sein. Selbiger sollte für alle Systeme gleich sein.
2.) Mit einem Sniffer könnte eine kryptierte Verbindung zwischen Examiner und Servlet oder zwischen Examiner/SAFE und SAFE/Servlet festgestellt werden.