USB Stick - Daten kopieren nachvollziehbar?

[Theben1371]

Hallo an alle,

Folgendes: in meiner Firma ist es möglich einen USB Stick an die Laptops anzuschließen. Natürlich ist es möglich im Register zu sehen, wann ein bestimmter USB Stick verbunden war.

Frage: ist es später möglich zu sehen, ob Dateien vom Laptop bzw. Netzwerk auf den USB Stick gespeichert oder kopiert wurden, wenn man nicht im Besitz dieses USB Sticks ist?

Könnte man also nachweisen (ohne den USB Stick zu haben), das Excel File „ABC“ auf dem Laptop geöffnet wurde und auf dem angeschlossenen USB Stick gespeichert wurde bzw. das eine Kopie erstellt wurde, die auf dem Stick gespeichert wurde?

 

[cartridge_case]

im Register

Wo?

Kommt auf die installierte Software an. Wir kennen ja die Konfiguration der Geräte nicht.

 

[madmax2010]

Ja. Das geht.

Jedenfalls wenn eure IT die Systeme entsprechend aufgesetzt hat.

 

[Theben1371]

Durch eine spezielle Software?

 

[PC295]

Könnte man also nachweisen (ohne den USB Stick zu haben), das Excel File „ABC“ auf dem Laptop geöffnet wurde und auf dem angeschlossenen USB Stick gespeichert wurde bzw. das eine Kopie erstellt wurde, die auf dem Stick gespeichert wurde?

Ja. Windows speichert allerhand Informationen in der Registry (ShellBags, MUI-Cache, UserAssist, etc.)
Damit lässt sich sehen, wann, wo, welche Datei oder Ordner geöffnet wurde.

 

[madmax2010]

nicht sicher wie du "Speziell: definieren willst.
Wenn du damit meinst, dass es Software ist die nur diesen Zweck hat: Ja, solche Software gibt es, braucht es aber nicht.

Aber auch WIndows kann das

 

[TorenAltair]

in meiner Firma ist es möglich einen USB Stick an die Laptops anzuschließen

Dann würde ich, allein aus Sicherheitsgründen stark vermuten, dass eine entsprechende Sicherheitssoftware läuft, die natürlich auch Protokolle erstellt.

 

[PC295]

Durch eine spezielle Software?

Du kannst dir mit z.B. PrivaZer einen Überblick verschaffen, welche Aktivitäten Windows protokolliert.
Auch NirLauncher bringt jede Menge Werkzeuge mit.

 

[Theben1371]

Und was ist mit Wo gemeint?

Ergänzung (Gestern um 21:59)

´Dann würde ich allein aus Sicherheitsgründen stark vermuten, dass eine entsprechende Sicherheitssoftware läuft, die natürlich auch Protokolle erstellt.

Und was genau zeichnet so ein Protokoll auf?

Zeigt das Protokoll für jede Datei, jedes excel File, jede Word Datei etc. wann es geöffnet wurde und ob es bspw. kopiert wurde oder wo es genau gespeichert wurde?

 

[madmax2010]

Das war eine Rueckfrage danach was du mit "Dem Register" meinst. Darum hat er den Teil zitiert..


Was hast du denn überhaupt vor? Wenn du jetzt nicht akut deine Arbeitgeber Daten klauen willst, ist das eine Frage die dir nur eure IT beantworten kann
->

Wir kennen ja die Konfiguration der Geräte nicht.

Zeigt das Protokoll für jede Datei, jedes excel File, jede Word Datei etc. wann es geöffnet wurde und ob es bspw. kopiert wurde oder wo es genau gespeichert wurde?

Das ist möglich.

Ich meine.. Dein Smartphone zeichnet im Zweifelsfall automatisch auf, wie oft und wie lange du aufs Klo gehst und welchen Teil des Bildschirms du in welcher App wie lange mit welcher Mimik betrachtet hast..

Da ist ein Dateiverlauf wirklich nichts schwieriges.

 

[TorenAltair]

Und was genau zeichnet so ein Protokoll auf?

Das was man der Software in der Konfiguration sagt.

 

[BFF]

Durch eine spezielle Software?

Fang an nachzulesen was mit dem gewoehnlichen NTFS Auditing geht.
Aufsetzend auf dem gibt es so Einiges was granularer Zugriffe auf Dateien ueberwachen kann mit passenden Aktionen. Nachlesen kannst Du dazu z.B. bei Watch Directory.

 

[Theben1371]

Ja. Windows speichert allerhand Informationen in der Registry (ShellBags, MUI-Cache, UserAssist, etc.)
Damit lässt sich sehen, wann, wo, welche Datei oder Ordner geöffnet wurde.

Öffnen und woanders speichern ist aber was anderes als nur öffnen und speichern wo es liegt.

Es geht nicht darum zu tracken was geöffnet wurde, sondern ob es woanders gespeichert wurde. Die Originaldatei ist dabei immer noch an Ort und Stelle.

 

[frames p. joule]

Der Begriff XY-Problem beschreibt eine Situation, bei der ein Forist ein Problem bei der Umsetzung seines speziellen Lösungswegs schildert, nicht aber das Ziel seines Projektes.

 

[cartridge_case]

allerhand Informationen in der Registry

Wo denn das bitte? Also gerade Thema:

wann, wo, welche Datei oder Ordner geöffnet wurde

 

[keinbeinschwein]

Ich kann dir aus Erfahrung sagen, dass es möglich ist. Auch, wenn du Dateien nicht auf einen USB Stick, sondern z.B. OneDrive kopierst.
Quelle: Ich habe bei verlassen meines letzten Unternehmens mehrere Daten ins OneDrive gezogen und wurde zum Rapport gebeten
Es handelte sich um Dateien, bei denen ich schließlich belegen konnte, dass sie keine relevanten Informationen enthielten, sondern mehr gesammelte persönliche Werke waren (u.a. Lohnabrechnungen, aber auch Wissenssammlungen).
Aber dennoch - es wurde mir eine Übersicht mit Dateinamen und Zeitpunkt des Uploads vorgelegt und ich war in der Pflicht, dies zu erläutern.

 

[Theben1371]

Ich kann dir aus Erfahrung sagen, dass es möglich ist. Auch, wenn du Dateien nicht auf einen USB Stick, sondern z.B. OneDrive kopierst.
Quelle: Ich habe bei verlassen meines letzten Unternehmens mehrere Daten ins OneDrive gezogen und wurde zum Rapport gebeten
Es handelte sich um Dateien, bei denen ich schließlich belegen konnte, dass sie keine relevanten Informationen enthielten, sondern mehr gesammelte persönliche Werke waren (u.a. Lohnabrechnungen, aber auch Wissenssammlungen).
Aber dennoch - es wurde mir eine Übersicht mit Dateinamen und Zeitpunkt des Uploads vorgelegt und ich war in der Pflicht, dies

 

[PC295]

Wo denn das bitte?

In der Registry gibt es sehr viele Pfade die solche Informationen enthalten.
Wie schon geschrieben, kannst du dir das mit PrivaZer anschauen:

Orte die z.B. geprüft werden (hier nur Windows Historie):

Es geht nicht darum zu tracken was geöffnet wurde, sondern ob es woanders gespeichert wurde.

Das sollte in den ShellBags sichtbar sein.
Der direkte Kopiervorgang an sich wird nicht detailliert in der Registry protokolliert, aber man kann anhand der Zugriffe und Pfade Rückschlüsse ziehen.

Ich habe testweise eine xlsx-Datei auf dem Desktop erstellt und auf USB kopiert.
Dabei werden folgende Informationen in der Registry angelegt:
(Die Datei wurde nicht geöffnet)

Das sind jetzt zwar nur HEX-Rohwerte, die lassen sich aber mit einem entspr. Programm aufbereiten und Informationen wie Tag/Uhrzeit des Zugriffes auslesen.

 

[K-551]

Das würde auf keinen Fall jemand fragen der ggf. evtl. vor hat Firmengeheimnisse zu stehlen...
Auch so unauffälig, mit nem frischen Konto.

Kann mich irren, aber irgendwas riecht hier...