MEFF M3-PRO

Aufgabe des Systems

AQON INTELLIGENCE setzt das System im Rahmen einer technischen Geräteprüfung ein. Ziel ist es, verfügbare Konfigurations-, Berechtigungs-, System- und Verbindungsinformationen geordnet zu erfassen und auffällige Kombinationen für die manuelle Prüfung sichtbar zu machen.

Technische Möglichkeiten

Nach den öffentlich verfügbaren Herstellerangaben kann die Prüfung je nach Plattform Informationen zu installierten Anwendungen, Berechtigungen, Verwaltungsrechten, Systemdateien, Prozessen, Diagnoseinformationen und Netzwerkverhalten einbeziehen. Bei iOS nennt der Hersteller insbesondere die Auswertung eines bereitgestellten Sysdiagnose-Exports; dies ist keine vollständige physische Extraktion des Geräts.

• Apps und weitreichende Berechtigungen im verfügbaren Systembestand
• Konfigurations- und Verwaltungsprofile
• Bedienungshilfen und Geräteadministrationsrechte
• Verfügbare System- und Diagnoseinformationen
• Auffällige Netzwerk- oder DNS-Bezüge im technisch erfassbaren Umfang

Einsatz im konkreten Auftrag

Zunächst werden Gerätemodell, Betriebssystem, Softwarestand, Sperrzustand und Untersuchungsumfang festgehalten. Anschließend wird entschieden, welche lokale Prüfung oder welcher Diagnoseexport technisch möglich und verhältnismäßig ist. Änderungen am Gerät während der Prüfung werden dokumentiert.

Ergebnisse und fachliche Einordnung

Einzelne Indikatoren können auch bei legitimer Software auftreten. Eine weitreichende Berechtigung, eine unbekannte Verbindung oder eine auffällige Datei ist deshalb zunächst nur ein Prüfhinweis. Relevante Treffer werden auf Herkunft, Zeitpunkt, Verhalten und Zusammenhang mit weiteren Spuren geprüft.

Grenzen des Systems

Unbekannte, angepasste oder besonders versteckte Software kann ohne bekannten Indikator unentdeckt bleiben. Betriebssystemschutz, Verschlüsselung, Gerätemodell und Softwarestand beeinflussen, welche Daten zugänglich sind. Eine Prüfung beschreibt den vorgefundenen Zustand zum Untersuchungszeitpunkt.

Zusammenspiel mit weiteren Verfahren

Je nach Befund werden Gerätesicherung, manuelle Konfigurationsprüfung, Kontoprüfung, Netzwerkdaten und andere forensische Werkzeuge einbezogen. Dadurch lässt sich ein technischer Hinweis bestätigen, einschränken oder als Fehlalarm einordnen.

Gutachtenerstellung durch einen Sachverständigen

Der Sachverständige erstellt ein nachvollziehbares Gutachten. Darin werden Auftrag, Methodik, Prüfschritte, technische Befunde und Ergebnisse verständlich dokumentiert. Festgehalten werden Gerätezustand, eingesetzte Version, Prüfparameter, auffällige Indikatoren, manuelle Kontrollen und Grenzen der Aussage.