Vorgehensweise mit Incident Responses bei ausgeschaltetem System

Hier werden die Schritte beschrieben, um die Informationen von einem ausgeschalteten System im Fall eines Incident Responses zu erfassen.

Instructions

Folgende Schritte sind durchzuführen:

Alle fremden Personen vom System und der Stromversorgung entfernen
Umgebung fotografieren bzw. Skizze anfertigen (Standort der Systeme, Monitore u.s.w.)
Eventuell aktive Druckjobs zu Ende laufen lassen
Unter keinen Umständen das System einschalten
Sicherstellen, dass das System wirklich ausgeschaltet ist (Bildschirmschoner können oft täuschen)
Ist das System eventuell im Standby-Modus? Sonst bei Notebooks das Akku entfernen, damit nicht ein Energiesparmodus anspringt und möglicherweise Zeitstempel verändert
Stromkabel am Gerät entfernen
Netzwerkkabel entfernen, damit eine WakeOnLan-Funktion den Rechner nicht wieder hochfahren lässt
Alle sichergestellten Geräte und Objekte müssen eindeutig beschriftet werden (wichtig, wenn die Analyse und Sicherstellung durch unterschiedliche Personen durchgeführt werden)
Nähere Umgebung nach Notizen oder Papierunterlagen durchsuchen
Nach Möglichkeit sollte der Anwender nach Besonderheiten des Systems, Passwörtern oder anderen Konfigurationsspezifika befragt werden. Die Antworten sollten genau dokumentiert und bei Bedarf kritisch hinterfragt werden
Dokumentation aller mit der sichergestellten Hardware durchgeführten Tätigkeiten

Geschonnek, Alexander: Computer Forensik. dpunkt Verlag, 6. aktualisierte und erweiterte Aufl., 2014, Seite 54,96-97.