Erklärung
Ausschalten und Abbild ziehen gilt als klassischer Weg der Sicherung, vernichtet aber flüchtige Informationen. Bei einem laufenden System, das kompromittiert sein könnte oder nicht ausgeschaltet werden darf (etwa ein produktiver Server), wird deshalb abgewogen, ob Daten im laufenden Betrieb gesichert werden. Das Grundprinzip aus gängigen Leitfäden: Flüchtige Daten zuerst sichern, in der Reihenfolge ihrer Flüchtigkeit, etwa Speicherinhalt, Netzwerkverbindungen und Prozesse, dann Datenträgerdaten.
Dabei ist zu beachten: Jede Aktion auf einem laufenden System verändert es. Gestartete Werkzeuge hinterlassen Spuren, Zeitstempel ändern sich, Prozesse laufen weiter, Angreifer können reagieren. Live-Maßnahmen werden daher möglichst minimal, mit vertrauenswürdigen Werkzeugen und lückenloser Dokumentation durchgeführt, und die Abwägung zwischen Beweisverlust und Eingriff wird festgehalten.
Cloud-Systeme und virtuelle Maschinen erlauben teilweise Sicherungen, die nicht in dieser Form eingreifen, etwa Snapshots. Ob und wie sie verwertbar sind, hängt von der Umgebung ab.
Typisches Beispiel (schematisch)
Bei Verdacht auf einen aktiven Zugriff auf einen Server wird zuerst der Speicher gesichert, dann werden Verbindungs- und Prozessinformationen erfasst und erst danach Datenträger gesichert und das System kontrolliert heruntergefahren.
Bedeutung für Forensik und Ermittlungen
Die Entscheidung über Live-Maßnahmen ist ein Kernpunkt der Beweissicherung und sollte von erfahrenen Fachleuten getroffen und begründet werden.
Erkennung und Prävention
Im Verdachtsfall nicht eigenständig am System arbeiten, sondern Fachleute hinzuziehen und den Zustand möglichst nicht verändern.
Auch gesucht als Live Forensics, Live-Forensik, Live-Analyse, Sicherung im laufenden Betrieb, Live Response, Live-Akquise, Online-Forensik