Wie kann man herausfinden was gedruckt wurde?

[Baya]

Guten Morgen!

Kann ich irgendwie zurückverfolgen welches (Word-)Dokument an einem PC gedruckt wurde?
(Ein User hat wahrscheinlich etwas mit Word ausgedruckt und es gleich wieder verworfen)

Es handelt sich um ein AD-Netzwerk mit einem Druckserver.
Drucker ist ein Kyocera 6526cdn.

 

[Bartmensch]

Du kannst den RAM des Rechners sichern und anschließend auswerten.
Darin befindet sich auch das ausgedruckte Dokument. Allerdings darf der PC nicht ausgeschaltet worden sein seitdem gedruckt wurde.

http://community.oreilly.de/blog/2012/06/29/auszug-aus-computer-forensik-hacks-teil-1/

 

[Baya]

Der PC wurde seitdem einmal neu gestartet.
Wie sichere ich denn den RAM und wie kann ich da ein Dokument sehen

 

[Asghan]

Bei so einer komischen Frage zwingt mich mein Gewissen dazu: Warum?

 

[Baya]

Es hat sich ein User einen doofen Spaß erlaubt....

 

[tic.tac]

mals aufs Webinterface vom Drucker geschaut? Viele eingebaute Druckserver sichern einen Verlauf mit Dokumentname, PC usw.

 

[Baya]

Hab ich gemacht ja. Da es aber ein flüchtiges Dokument war kann ich nichts nachvollziehen...

 

[Joachim Braun]

Also an unseren Netzwerkdruckern kann man per Web-Interface ein Druckjournal aufrufen ... Ob das an deinem Drucker auch geht kann ich aber leider nicht sagen...

 

[tic.tac]

Was für ein "Druckserver" läuft denn bei euch?

 

[Baya]

Ist ein W2K8 R2 Enterprise Server....

 

[firexs]

Der User hat sicher ein temp Ordner. Evtl findet sich da noch etwas.

 

[tic.tac]

Schau nach ob auf dem Server das Printer Log aktiviert ist. Findest du unter

Event Viewer -> Applications and Services Logs -> Microsoft -> Windows -> PrintService > Operational

Wenn da nix drin steht wird dein Log deaktiviert sein und du könntest es bei Bedarf rechts in der Actions-Leiste einschalten.

Ggf. kannst du es so einschränken. Dateinamen werden dort afaik nicht angezeigt aber die Uhrzeit, von welchem Server und welchem Benutzer aus es ging.

 

[Baya]

War deaktiviert... Hab es mal eingeschaltet, aber da wird man ja überflutet an Ereignissen.
Bei einem flüchtigen Dokument sieht man auch nur dass es gedruckt wird....
Ich möchte ja gerne sehen was gedruckt wurde.

Das mit dem RAM sichern hat geklappt, aber was stell ich jetzt mit diesen ram.dd oder ram.dmp Dateien an?

 

[Bartmensch]

Wenn der Rechner nach dem Drucken neu gestartet wurde, nützt Dir die RAM Sicherung leider wenig.
Normal kann man mit Hilfe von Linux den Dump-File umandeln und anschließend mit Hilfe von Grep( https://de.wikipedia.org/wiki/Grep) auswerten.
Das ist aber eine sehr mühsame Angelegenheit.
Hab ich gerade auf einem Lehrgang gelernt.

So ähnlich wie hier: http://www.linux-magazin.de/Ausgaben/2013/11/Volatility-2.3

 

[tic.tac]

War deaktiviert... Hab es mal eingeschaltet, aber da wird man ja überflutet an Ereignissen.
Bei einem flüchtigen Dokument sieht man auch nur dass es gedruckt wird....
Ich möchte ja gerne sehen was gedruckt wurde.

Das ist ja der Sinn von einem Log, dass alles protokolliert wird

Wenn du wissen willst was in dem Dokument war bleiben dir vermutlich nur noch die temporären Verzeichnisse auf dem Client, Server, in den Anwendungsverzeichnissen etc. Ggf. auch in die jeweilige Sicherung reinschauen ob man was findet.

Anscheinend wisst ihr ja, was gedruckt wurde aber wollt es nur diesem einen Benutzer zuordnen können. Wenn der User nun alleine im Büro war oder nur zu der Zeit oder zu diesem Drucker Zugriff hatte, kann man das mit den Logs oder aber Druckerjournalen/Protokollen machen.

Zum Thema RAM wurde ja schon alles gesagt. Der PC wurde neu gestartet also bringt dir das nix mehr.

 

[Baya]

Okay. Trotzdem Danke für die Hilfe

 

[m000x]

kannst auch mal googlen ob du iwie den ram vom drucker auslesen kannst.