1 Erste Datenerhebung
1.1 Erstellen Sie ein Projekt
Nachdem Sie Maltego Evidence Desktop gestartet haben, klicken Sie bitte auf "Ihre Projekte" und auf den blauen Button "Projekt erstellen".
ℹ Ein Projekt ist grundsätzlich das gleiche, wie ein Fall / Case im SNH 1. Der größte Unterschied ist, dass ein Projekt Inhalte aus verschiedenen sozialen Netzwerken enthalten kann.
Wählen Sie einen Projekt-Namen, ggf. einen davon abweichenden Fall-Namen und falls gewünscht, fügen Sie eine Beschreibung hinzu.
Unter dem Punkt Tag-Schema-Vorlage erhalten Sie die Möglichkeit ein paar Standard-Tags in das Projekt hinzuzufügen. Sie können entweder nichts auswählen, um Ihre Tags später selbstständig einzurichten, oder eine der Vorlagen auswählen.
Sofern Sie einen SNH 1 Fall importieren möchten, ist dies der richtige Ort dafür. Unter dem Punkt SNH1 Projektdaten importieren, können Sie einen bestehenden Fall importieren. Für genauere Informationen zum Import von SNH 1 Fällen, gehen Sie bitte im Handbuch auf den Punkt "Switchover SNH -> Maltego Evidence".
1.2 Erheben Sie die Daten eines Zielprofils
Wir empfehlen vorher, die Maltego Evidence Browser Extension zu installlieren. Je nach Browser finden Sie diese Extension unter einem der folgenden Links Chrome: https://chrome.google.com/webstore/detail/snh-titan-browser-extensi/bhajampliglbihiecgcppjajijeechbl Die Verwendung von Maltego Evidence ist jedoch auch ohne Browser möglich.
Suchen Sie in Ihrem gewohnten Browser nach einem Profil, dessen Daten (Freunde, Timeline, etc.) Sie gerne mit Maltego Evidence sichern möchten. Sobald Sie ein Profil gefunden haben, gibt es generell in Maltego Evidence zwei Möglichkeiten der Sicherung.
1.2.1 Zielauswahl
1.2.1.a Verwendung der Browser Extension
Sofern Sie die Maltego Evidence Browser Extension installiert haben, sollte Ihnen bereits auf dem identifizierten Zielprofil eine Sidebar auf der rechten Seite angezeigt werden.
|
|
In eingeklappten Zustand, sehen Sie eine kleine Vorschau des identifizierten Profils. Klicken Sie auf diese Vorschau-Box, um die Sicherungsoptionen anzeigen zu lassen. | In der daraufhin expandierten Sidebar sehen Sie die möglichen Sicherungsoptionen. Für einen ersten "Quick-Start" empfehlen wir, die Standardwerte zunächst beizubehalten, sofern Ihr Profil nicht extreme Mengen an Daten beinhaltet. Die Sicherung der Facebook-Seite einer Zeitung könnte beispielsweise als Start ungünstig sein, aufgrund der enorm hohen Anzahl an zu sichernden Postings. |
Mit dem Klick auf "Send to Maltego Evidence" senden Sie den Sicherungsauftrag an Maltego Evidence. Wichtig: Erlauben Sie dem Browser den Zugriff auf Maltego Evidence!
Daraufhin öffnet sich die Maltego Evidence Desktop Applikation und bietet Ihnen noch ein paar weitere Sicherungsoptionen an. Sie werden gebeten ein Projekt auszuwählen. Hier sollte ihr soeben erstelltes Projekt standardmäßig ausgewählt sein. Weiterhin werden Sie gebeten ein Erhebungsprofil auszuwählen. Dazu mehr im Schritt 1.2.2.
1.2.1.b Sicherung ohne Browser Extension
Sie können auch eine Sicherung ohne Browser-Extension starten. Dafür klicken Sie im Hauptmenü Ihres geöffneten Projektes einfach auf Collection. Sie werden daraufhin gebeten eine URL einzugeben. Dies ist die URL des Profils, das Sie sichern möchten. Beispielsweise könnte dies auf Facebook so aussehen:
https://facebook.com/max.mustermann
oder
https://facebook.com/profile.php?id=12345678
Diese URL entnehmen Sie bitte Ihrem Browser und kopieren Sie in das dafür vorgesehene Feld. Sie können daraufhin weitere Optionen festlegen. Dazu mehr im nächsten Schritt.
1.2.2 Erhebungsprofile auswählen und anlegen
Damit Maltego Evidence die Daten korrekt vollständig sichern kann, muss er sich in ein sog. Erhebungsprofil einloggen. Dies sind zumeist eigens für diesen Zweck angelegte Profile auf den entsprechenden sozialen Netzwerken. Bitte beachten Sie, dass diese Profile gelegentlich auch gesperrt werden können. Verwenden Sie daher niemals Ihr privates Profil für die Erhebung von Daten, um den Verlust und die Sperrung Ihres Hauptprofils zu verhindern.
Um Maltego Evidence die Daten zum Login in ein solches Profil mitzuteilen legen Sie bitte ein Erhebungsprofil in Maltego Evidence an. Klicken Sie dazu unter Erhebungsprofil auf "Erhebungsprofil erstellen".
Es öffnet sich eine Sidebar. Füllen Sie bitte dort die folgenden Daten aus:
Name (für den Login irrelevant) | Diesen Namen legen Sie selbst fest, um das Profil später in der Software identifizieren zu können. Zum Beispiel "Max Mustermann". |
Username / Vanity Name / E-Mail | Dies ist der Benutzername oder die E-Mail Adresse oder gelegentlich auch die Telefonnummer, mit der Sie sich im Netzwerk anmelden würden, wenn Sie sich auch im Browser anmelden. |
Passwort | Dies ist das Passwort, das Sie verwenden, um sich einzuloggen. In besonderen Fällen (z.B. Telegram oder TikTok) kann das Passwort leer gelassen werden, da andere Login-Methoden verwendet werden |
Netzwerk | Wählen Sie hier aus, für welches Netzwerk das Erhebungsprofil gültig ist. |
Login Status überprüfen | Hier können Sie auswählen, ob Maltego Evidence direkt den Login-Status des Profils im Hintergrund überprüfen und updaten soll. Dies ist optional und bietet Ihnen die Möglichkeit im Vorhinein herauszufinden, ob das von Ihnen ausgewählte Profil womöglich bereits gesperrt wurde und ob die angegebenen Daten gültig sind. |
Klicken Sie auf Speichern. Sie können das Profil nun in der Übersicht der Erhebungsprofile auswählen.
Sollten Sie eine Überprüfung des Login-Status ausgeführt haben, so geschieht dies im Hintergrund und kann ein paar Sekunden bis Minuten dauern, je nach Internetverbindung und Netzwerk. Es kann in Einzelfällen dazu kommen, dass Maltego Evidence Ihre Hilfe bei der Authentifizierung des Login-Profils benötigt. Z.B. bei TikTok das Scannen eines QR-Codes, oder bei anderen Netzwerken die Eingabe eines per SMS oder E-Mail zugesendeten Bestätigungscodes. Dies würde Ihnen mittels eines Nicht-Schließbaren Popups mitgeteilt werden.
1.2.3 Weitere Anpassung der Erhebungsoptionen
Sie können weiterhin im Detail anpassen, welche Daten für das Profil gesichert werden sollen. Dies ist insbesondere relevant, um den Datenschutz zu gewährleisten. Sichern Sie bitte ausschließlich Daten, die für Ihren Fall oder Ihre Untersuchung von Relevanz sind. Stellen Sie insbesondere bei der Sicherung von Freunden oder Freundesfreunden sicher, dass die Erhebung dieser Daten von Relevanz ist. Einzelne Optionen können Sie durch die Aktivierung oder Deaktivierung der Checkboxen hinzufügen oder entfernen.
1.2.4 Hinzufügen weiterer URLs
Sie können die oben angegebenen Schritte beliebig oft wiederholen, um in einem Zuge mehrere Zielprofile zu sichern. Klicken Sie auf "URL hinzufügen", um weitere Ziele zu definieren. Für jedes dieser Ziele können Sie Ihre Sicherungsoptionen und verwendeten Erhebungsprofile einzeln anpassen. Sie können auch Ziele aus unterschiedlichen Netzwerken in einer Anfrage hinzufügen.
1.2.5 Absenden des Erhebungsauftrags
Klicken Sie auf "An Erhebungsserver senden", um die Sicherung zu starten. Die Seite wird sich nun aktualisieren und nach ein paar Sekunden werden Sie oben rechts in der Menüleiste den Status der aktuell ausgeführten Erhebungsaufträge sehen.
1.3 Warten auf Ergebnisse / Erklärung von Grundkonzepten
Während Sie auf die Erhebung warten, nutzen wir am besten die Zeit um Sie in ein paar neue Konzepte von Maltego Evidence einzuarbeiten. Wir beantworten Ihnen kurz die Frage: Was passiert gerade im Hintergrund?
Im Hintergrund von Maltego Evidence laufen sog. Erhebungsserver. Dies sind separate Prozesse, die auf eben jene Aufträge warten, die Sie soeben abgesendet haben. Sobald Sie einen Erhebungsauftrag absenden, legen diese Erhebungsserver los und sammeln die Daten aus den sozialen Netzwerken. Je nach erworbener Lizenz läuft einer oder drei dieser Erhebungsserver gleichzeitig im Hintergrund. Dadurch haben Sie die Möglichkeit mehrere Erhebungsaufträge abzusenden, welche je nach Anzahl an Erhebungsservern zeitgleich abgearbeitet werden können. Dies beschleunigt die Erhebung enorm. Insbesondere gibt es Ihnen die Möglichkeit auch neben einer langlaufenden Erhebung bereits mehrere kleine Erhebungsaufträge zu starten (bspw. die Erhebung eines einzelnen Profils neben der Erhebung von Freundesfreunden). Weiterhin können Sie, sofern Sie bereits Daten erhoben haben, Ihre Analyse weiter fortsetzen, obwohl im Hintergrund eine Erhebung läuft. Unten nochmals eine kurze Zusammenfassung der wichtigsten Begriffe:
Erhebungsauftrag | Ein Auftrag zur Erhebung von Daten eines Ziels (z.B. Profil oder Posting) in einem sozialen Netzwerk |
Erhebungsserver | Ein Prozess im Hintergrund, der die Aufträge abarbeitet und die Daten sammelt und in Maltego Evidence importiert |
Erhebungsprofil | Ein Profil, das Maltego Evidence verwendet, um sich in das soziale Netzwerk einzuloggen. Nur Daten, die für dieses Erhebungsprofil zugänglich sind, können von Maltego Evidence gesichert werden. |
Wir sammeln die Daten auf eine Erhebungsprofil-schonende Art und Weise. Mittels verschiedener Methoden simulieren wir eine "menschliche" Verwendung des Browsers, um eine Blockade des Erhebungsprofils zu verhindern. Dies hat jedoch zur Folge, dass die Erhebung u.U. länger dauern kann, als mit anderer Software. Erst wenn der Erhebungsauftrag komplett abgeschlossen wurde, werden die Daten in Ihre Projekt eingefügt und sind für die weitere Analyse der Daten verfügbar.
2 Analyse der Daten
Eine der Stärken von Maltego Evidence ist die Visualisierung der erhobenen Daten. Dafür gibt es mehrere Bereich innerhalb der Software.
2.1 Explorers
Für die 4 Haupt-Datentypen von Maltego Evidence gibt es jeweils einen eigenen Explorer. Dies sind Profile, Medien, Postings und Chat-Nachrichten. Innerhalb der Explorer werden zwar andere Daten angezeigt, jedoch ist das Funktionsprinzip relativ ähnlich. Die Daten-Explorer sind jeweils Tabellen, mit einer großen Auswahl an Filter- und Organisationsmöglichkeiten. Die Zahl, die über den jeweiligen Hauptmenüpunkten steht, gibt die Anzahl an erhobenen Objekten dieser Art an. Im Screenshot unten sehen wir zum Beispiel, dass 3.557 Profile erhoben wurden.
2.1.1 Einfache Ansicht
Wenn Sie das erste Mal einen Datenexplorer, z.B. den Profil-Explorer öffnen, sehen Sie die bisher in diesem Projekt erhobenen Daten in Tabellen-Form. Der Datenexplorer ist in zwei Hauptbereiche aufgeteilt. Das Menü und die Tabellen-Ansicht.
Die Struktur des Maltego Evidence Datenexplorers
Das Menu hilft Ihnen, die Daten schnell zu filtern. Standardmäßig sehen Sie alle erhobenen Daten, das sehen Sie auf der linken Seite, da der Punkt "Alle Profile" aktiviert ist.
Im aktuellen Menü sehen Sie die Datenpools (mehr dazu gleich), die sich auf ein Netzwerk beziehen, sowie die Tags, die Sie bereits vergeben haben.
Sie haben nun pro Netzwerk ein eigenes Untermenü, welches sich durch Klick öffnen lässt und wieder strukturiert ist, wie das erste Menü.
Wichtig: Sie sehen nur Menüpunkte für Netzwerke, für die bereits Daten erhoben wurden!
Sie sehen wieder Ihre Daten-Pools, Ihre Tags, aber auch Ihre bisher erhobenen Zielprofile.
Was sind Zielprofile?
Zielprofile sind Profile, für die Sie Daten erhoben haben, oder die Sie manuell als Zielprofil markiert haben. Wenn Sie also einen Erhebungsauftrag für ein bestimmtes Profil absenden, wird dieses Profil nach dem Import in Ihre Projekt als Zielprofil markiert. An verschiedenen Stellen innerhalb von Maltego Evidence haben Sie die Möglichkeit auf Zielprofile schnell zuzugreifen, bspw. bei der Ansicht von Dashboards oder im Analytics.
2.1.2 Freunde und verbundene Profile
Wenn Sie die Zielprofile ausklappen, dann erhalten Sie eine Auswahl an "Freunden" oder "Alle verbundenen Nutzer". Im folgenden finden Sie eine kurze Erläuterung der Unterschiede:
| Freunde | Unter dem Menüpunkt Freunde sehen Sie alle Nutzer, die eine Freundschaft mit dem erhobenen Profil haben. Dies bedeutet in Facebook eine angenommene bidirektionale Freundschaft, oder in Instagram beispielsweise, dass eine Person der anderen Person folgt. |
Alle verbundenen Nutzer | Neben einer expliziten Freundschaft können Nutzer jedoch auch anderweitig verbunden sein. Bspw. ist ein Nutzer mit einem anderen Nutzer verbunden wenn er auf einen Beitrag der Zielperson reagiert hat, oder auf einen Beitrag kommentiert hat. Ebenfalls verbunden sind Nutzer, die sich gegenseitig in Postings erwähnt haben, oder das Posting einer Zielperson geteilt haben. Es gibt noch weitere dieser Verbindungen, welche ebenfalls später im Handbuch im Detail erläutert werden. |
Klicken Sie auf einen der beiden Menüpunkte, um die entsprechenden verbundenen Nutzer in der Tabellenansicht einzusehen.
2.2.3 Postings
Beispiel für die Menüstruktur im Posting-Explorer
| Um alle gesicherten Postings anzusehen, klicken Sie im Menü auf "Postings". Auch hier werden wieder zunächst alle Postings geladen, unabhängig vom Netzwerk. Sie können im Menü dann nach den entsprechenden Netzwerken selektieren. Möchten Sie alle Postings sehen, die ein spezifisches Profil verfasst hat, müssen Sie dieses Profil zunächst als Zielprofil definieren. Sollte es sich um das von Ihnen erhobene Zielprofil handeln, dann wird es bereits automatisch als Zielprofil markiert worden sein. Sie sehen es dann im Menü unter bspw. "Instagram Zielprofile". Klappen Sie dann Ihr Zielprofil aus und klicken Sie auf "Verfasst". In der Autoren-Spalte werden Sie dann ausschließlich Ihr Zielprofil sehen. Dies bedeutet somit, dass alle nun angezeigten Postings von dem von Ihnen ausgewählten Zielprofil verfasst wurden. |
2.2.4 Medien
Beispiel der Menüstruktur des Medien-Daten-Explorers
| Um alle Medien einzusehen, klicken Sie auf den Menüpunkt "Medien". Auch hier wird Ihnen zunächst eine Liste aller Medien angezeigt. Medien sind alle Bilder und Videos, die bisher erhoben wurden. Nicht enthalten sind Profilbilder, da diese für gewöhnlich nicht als separate Medien erhoben werden, außer ein Profilbild ist ebenfalls teil eines Albums oder der Timeline eines Zielprofils. Möchten Sie die Medien einer Person aufrufen, so können Sie wieder über das Netzwerk gehen, das Zielprofil ausklappen und haben dann die Auswahl entweder alle Medien der Person anzusehen, oder die Medien pro Album anzuzeigen, indem Sie den Untermenüpunkt "Alben" ausklappen. |
2.2.4 Chat Nachrichten
Auch bei Chat Nachrichten orientiert sich die Menüstruktur an den vorangegangenen Menüstrukturen. Um die Chat Nachrichten einer bestimmten Person auszuwählen, wählen Sie in der Menüstruktur einfach Ihr Zielprofil aus und lassen Sie sich die entsprechenden Chat Nachrichten anzeigen. Möchten Sie alle Chat Nachrichten aus einer Gruppe anzeigen lassen (bspw. in Telegram), dann wählen Sie dafür einfach die Gruppe in der Navigation aus.
2.2.5 Detailansicht
Sollten Sie für eines der Objekte (Profil, Posting, Medien oder Chat Nachricht) mehr Details einsehen wollen, klicken Sie einmal auf das Objekt in der Tabelle. Daraufhin wird sich eine Seitenleiste öffnen, in der Sie alle gesammelten Informationen des Profils einsehen können. Dort können Sie auch ein Profil manuell als Zielprofil markieren, damit es in der linken Seite auftaucht. Klicken Sie dafür auf das Bookmark Icon oben rechts.
| Dieses Icon bedeutet, dass das ausgewählte Profil noch kein Zielprofil ist. |
| Dieses Icon bedeutet, dass das ausgewählte Profil nun als Zielprofil markiert wurde und sollte im Explorer Menü erscheinen. |
