1 Erste Datenerhebung

1.1 Erstellen Sie ein Projekt

Nachdem Sie Maltego Evidence Desktop gestartet haben, klicken Sie bitte auf "Ihre Projekte" und auf den blauen Button "Projekt erstellen". 

Wählen Sie einen Projekt-Namen, ggf. einen davon abweichenden Fall-Namen und falls gewünscht, fügen Sie eine Beschreibung hinzu.

Unter dem Punkt Tag-Schema-Vorlage erhalten Sie die Möglichkeit ein paar Standard-Tags in das Projekt hinzuzufügen. Sie können entweder nichts auswählen, um Ihre Tags später selbstständig einzurichten, oder eine der Vorlagen auswählen.

Sofern Sie einen SNH 1 Fall importieren möchten, ist dies der richtige Ort dafür. Unter dem Punkt SNH1 Projektdaten importieren, können Sie einen bestehenden Fall importieren. Für genauere Informationen zum Import von SNH 1 Fällen, gehen Sie bitte im Handbuch auf den Punkt "Switchover SNH -> Maltego Evidence".

1.2 Erheben Sie die Daten eines Zielprofils

1.2.1 Zielauswahl

1.2.1.a Verwendung der Browser Extension

Sofern Sie die Maltego Evidence Browser Extension installiert haben, sollte Ihnen bereits auf dem identifizierten Zielprofil eine Sidebar auf der rechten Seite angezeigt werden. 

In eingeklappten Zustand, sehen Sie eine kleine Vorschau des identifizierten Profils. Klicken Sie auf diese Vorschau-Box, um die Sicherungsoptionen anzeigen zu lassen.	In der daraufhin expandierten Sidebar sehen Sie die möglichen Sicherungsoptionen. Für einen ersten "Quick-Start" empfehlen wir, die Standardwerte zunächst beizubehalten, sofern Ihr Profil nicht extreme Mengen an Daten beinhaltet. Die Sicherung der Facebook-Seite einer Zeitung könnte beispielsweise als Start ungünstig sein, aufgrund der enorm hohen Anzahl an zu sichernden Postings.

Mit dem Klick auf "Send to Maltego Evidence" senden Sie den Sicherungsauftrag an Maltego Evidence. Wichtig: Erlauben Sie dem Browser den Zugriff auf Maltego Evidence!

Daraufhin öffnet sich die Maltego Evidence Desktop Applikation und bietet Ihnen noch ein paar weitere Sicherungsoptionen an. Sie werden gebeten ein Projekt auszuwählen. Hier sollte ihr soeben erstelltes Projekt standardmäßig ausgewählt sein. Weiterhin werden Sie gebeten ein Erhebungsprofil auszuwählen. Dazu mehr im Schritt 1.2.2.

1.2.1.b Sicherung ohne Browser Extension

Sie können auch eine Sicherung ohne Browser-Extension starten. Dafür klicken Sie im Hauptmenü Ihres geöffneten Projektes einfach auf Collection. Sie werden daraufhin gebeten eine URL einzugeben. Dies ist die URL des Profils, das Sie sichern möchten. Beispielsweise könnte dies auf Facebook so aussehen:

https://facebook.com/max.mustermann

oder

https://facebook.com/profile.php?id=12345678

Diese URL entnehmen Sie bitte Ihrem Browser und kopieren Sie in das dafür vorgesehene Feld. Sie können daraufhin weitere Optionen festlegen. Dazu mehr im nächsten Schritt.

1.2.2 Erhebungsprofile auswählen und anlegen

Damit Maltego Evidence die Daten korrekt vollständig sichern kann, muss er sich in ein sog. Erhebungsprofil einloggen. Dies sind zumeist eigens für diesen Zweck angelegte Profile auf den entsprechenden sozialen Netzwerken. Bitte beachten Sie, dass diese Profile gelegentlich auch gesperrt werden können. Verwenden Sie daher niemals Ihr privates Profil für die Erhebung von Daten, um den Verlust und die Sperrung Ihres Hauptprofils zu verhindern.

Um Maltego Evidence die Daten zum Login in ein solches Profil mitzuteilen legen Sie bitte ein Erhebungsprofil in Maltego Evidence an. Klicken Sie dazu unter Erhebungsprofil auf "Erhebungsprofil erstellen". 

Es öffnet sich eine Sidebar. Füllen Sie bitte dort die folgenden Daten aus:

Klicken Sie auf Speichern. Sie können das Profil nun in der Übersicht der Erhebungsprofile auswählen.

1.2.3 Weitere Anpassung der Erhebungsoptionen

Sie können weiterhin im Detail anpassen, welche Daten für das Profil gesichert werden sollen. Dies ist insbesondere relevant, um den Datenschutz zu gewährleisten. Sichern Sie bitte ausschließlich Daten, die für Ihren Fall oder Ihre Untersuchung von Relevanz sind. Stellen Sie insbesondere bei der Sicherung von Freunden oder Freundesfreunden sicher, dass die Erhebung dieser Daten von Relevanz ist. Einzelne Optionen können Sie durch die Aktivierung oder Deaktivierung der Checkboxen hinzufügen oder entfernen.

1.2.4 Hinzufügen weiterer URLs

Sie können die oben angegebenen Schritte beliebig oft wiederholen, um in einem Zuge mehrere Zielprofile zu sichern. Klicken Sie auf "URL hinzufügen", um weitere Ziele zu definieren. Für jedes dieser Ziele können Sie Ihre Sicherungsoptionen und verwendeten Erhebungsprofile einzeln anpassen. Sie können auch Ziele aus unterschiedlichen Netzwerken in einer Anfrage hinzufügen.

1.2.5 Absenden des Erhebungsauftrags

Klicken Sie auf "An Erhebungsserver senden", um die Sicherung zu starten. Die Seite wird sich nun aktualisieren und nach ein paar Sekunden werden Sie oben rechts in der Menüleiste den Status der aktuell ausgeführten Erhebungsaufträge sehen.

1.3 Warten auf Ergebnisse / Erklärung von Grundkonzepten

Während Sie auf die Erhebung warten, nutzen wir am besten die Zeit um Sie in ein paar neue Konzepte von Maltego Evidence einzuarbeiten. Wir beantworten Ihnen kurz die Frage: Was passiert gerade im Hintergrund?

Im Hintergrund von Maltego Evidence laufen sog. Erhebungsserver. Dies sind separate Prozesse, die auf eben jene Aufträge warten, die Sie soeben abgesendet haben. Sobald Sie einen Erhebungsauftrag absenden, legen diese Erhebungsserver los und sammeln die Daten aus den sozialen Netzwerken. Je nach erworbener Lizenz läuft einer oder drei dieser Erhebungsserver gleichzeitig im Hintergrund. Dadurch haben Sie die Möglichkeit mehrere Erhebungsaufträge abzusenden, welche je nach Anzahl an Erhebungsservern zeitgleich abgearbeitet werden können. Dies beschleunigt die Erhebung enorm. Insbesondere gibt es Ihnen die Möglichkeit auch neben einer langlaufenden Erhebung bereits mehrere kleine Erhebungsaufträge zu starten (bspw. die Erhebung eines einzelnen Profils neben der Erhebung von Freundesfreunden). Weiterhin können Sie, sofern Sie bereits Daten erhoben haben, Ihre Analyse weiter fortsetzen, obwohl im Hintergrund eine Erhebung läuft. Unten nochmals eine kurze Zusammenfassung der wichtigsten Begriffe:

Wir sammeln die Daten auf eine Erhebungsprofil-schonende Art und Weise. Mittels verschiedener Methoden simulieren wir eine "menschliche" Verwendung des Browsers, um eine Blockade des Erhebungsprofils zu verhindern. Dies hat jedoch zur Folge, dass die Erhebung u.U. länger dauern kann, als mit anderer Software. Erst wenn der Erhebungsauftrag komplett abgeschlossen wurde, werden die Daten in Ihre Projekt eingefügt und sind für die weitere Analyse der Daten verfügbar.

2 Analyse der Daten

Eine der Stärken von Maltego Evidence ist die Visualisierung der erhobenen Daten. Dafür gibt es mehrere Bereich innerhalb der Software.

2.1 Explorers

Für die 4 Haupt-Datentypen von Maltego Evidence gibt es jeweils einen eigenen Explorer. Dies sind Profile, Medien, Postings und Chat-Nachrichten. Innerhalb der Explorer werden zwar andere Daten angezeigt, jedoch ist das Funktionsprinzip relativ ähnlich. Die Daten-Explorer sind jeweils Tabellen, mit einer großen Auswahl an Filter- und Organisationsmöglichkeiten. Die Zahl, die über den jeweiligen Hauptmenüpunkten steht, gibt die Anzahl an erhobenen Objekten dieser Art an. Im Screenshot unten sehen wir zum Beispiel, dass 3.557 Profile erhoben wurden.

2.1.1 Einfache Ansicht

Wenn Sie das erste Mal einen Datenexplorer, z.B. den Profil-Explorer öffnen, sehen Sie die bisher in diesem Projekt erhobenen Daten in Tabellen-Form. Der Datenexplorer ist in zwei Hauptbereiche aufgeteilt. Das Menü und die Tabellen-Ansicht.

Das Menu hilft Ihnen, die Daten schnell zu filtern. Standardmäßig sehen Sie alle erhobenen Daten, das sehen Sie auf der linken Seite, da der Punkt "Alle Profile" aktiviert ist.

Im aktuellen Menü sehen Sie die Datenpools (mehr dazu gleich), die sich auf ein Netzwerk beziehen, sowie die Tags, die Sie bereits vergeben haben.

Sie haben nun pro Netzwerk ein eigenes Untermenü, welches sich durch Klick öffnen lässt und wieder strukturiert ist, wie das erste Menü.

Wichtig: Sie sehen nur Menüpunkte für Netzwerke, für die bereits Daten erhoben wurden!

Sie sehen wieder Ihre Daten-Pools, Ihre Tags, aber auch Ihre bisher erhobenen Zielprofile. 

2.1.2 Freunde und verbundene Profile

	Freunde	Unter dem Menüpunkt Freunde sehen Sie alle Nutzer, die eine Freundschaft mit dem erhobenen Profil haben. Dies bedeutet in Facebook eine angenommene bidirektionale Freundschaft, oder in Instagram beispielsweise, dass eine Person der anderen Person folgt.
	Alle verbundenen Nutzer	Neben einer expliziten Freundschaft können Nutzer jedoch auch anderweitig verbunden sein. Bspw. ist ein Nutzer mit einem anderen Nutzer verbunden wenn er auf einen Beitrag der Zielperson reagiert hat, oder auf einen Beitrag kommentiert hat. Ebenfalls verbunden sind Nutzer, die sich gegenseitig in Postings erwähnt haben, oder das Posting einer Zielperson geteilt haben. Es gibt noch weitere dieser Verbindungen, welche ebenfalls später im Handbuch im Detail erläutert werden.

Klicken Sie auf einen der beiden Menüpunkte, um die entsprechenden verbundenen Nutzer in der Tabellenansicht einzusehen.

2.2.3 Postings

Um alle gesicherten Postings anzusehen, klicken Sie im Menü auf "Postings". Auch hier werden wieder zunächst alle Postings geladen, unabhängig vom Netzwerk. Sie können im Menü dann nach den entsprechenden Netzwerken selektieren. Möchten Sie alle Postings sehen, die ein spezifisches Profil verfasst hat, müssen Sie dieses Profil zunächst als Zielprofil definieren. Sollte es sich um das von Ihnen erhobene Zielprofil handeln, dann wird es bereits automatisch als Zielprofil markiert worden sein. Sie sehen es dann im Menü unter bspw. "Instagram Zielprofile". Klappen Sie dann Ihr Zielprofil aus und klicken Sie auf "Verfasst". In der Autoren-Spalte werden Sie dann ausschließlich Ihr Zielprofil sehen. Dies bedeutet somit, dass alle nun angezeigten Postings von dem von Ihnen ausgewählten Zielprofil verfasst wurden.

2.2.4 Medien

Um alle Medien einzusehen, klicken Sie auf den Menüpunkt "Medien". Auch hier wird Ihnen zunächst eine Liste aller Medien angezeigt. Medien sind alle Bilder und Videos, die bisher erhoben wurden. Nicht enthalten sind Profilbilder, da diese für gewöhnlich nicht als separate Medien erhoben werden, außer ein Profilbild ist ebenfalls teil eines Albums oder der Timeline eines Zielprofils. Möchten Sie die Medien einer Person aufrufen, so können Sie wieder über das Netzwerk gehen, das Zielprofil ausklappen und haben dann die Auswahl entweder alle Medien der Person anzusehen, oder die Medien pro Album anzuzeigen, indem Sie den Untermenüpunkt "Alben" ausklappen.

2.2.4 Chat Nachrichten

Auch bei Chat Nachrichten orientiert sich die Menüstruktur an den vorangegangenen Menüstrukturen. Um die Chat Nachrichten einer bestimmten Person auszuwählen, wählen Sie in der Menüstruktur einfach Ihr Zielprofil aus und lassen Sie sich die entsprechenden Chat Nachrichten anzeigen. Möchten Sie alle Chat Nachrichten aus einer Gruppe anzeigen lassen (bspw. in Telegram), dann wählen Sie dafür einfach die Gruppe in der Navigation aus. 

2.2.5 Detailansicht

Sollten Sie für eines der Objekte (Profil, Posting, Medien oder Chat Nachricht) mehr Details einsehen wollen, klicken Sie einmal auf das Objekt in der Tabelle. Daraufhin wird sich eine Seitenleiste öffnen, in der Sie alle gesammelten Informationen des Profils einsehen können. Dort können Sie auch ein Profil manuell als Zielprofil markieren, damit es in der linken Seite auftaucht. Klicken Sie dafür auf das Bookmark Icon oben rechts.

	Dieses Icon bedeutet, dass das ausgewählte Profil noch kein Zielprofil ist.
	Dieses Icon bedeutet, dass das ausgewählte Profil nun als Zielprofil markiert wurde und sollte im Explorer Menü erscheinen.