Seminar DFIR-ORC – Intensivseminar Gesamtworkflow von Build bis Übergabe

Das Intensivseminar verbindet die Inhalte sämtlicher übriger Fach-, Kompakt- und Praxisformate in einem durchgängigen Arbeitsablauf. Von der Einsatzplanung über Build und Konfiguration bis zu Sammlung, Skalierung, Ergebnisprüfung, Qualifizierung und Betriebsübergabe entsteht ein vollständiges Referenzprojekt.

Seminarziel

Ziel ist ein einsatzfähiges, versioniertes und getestetes Sammelpaket mit abgestuften Profilen, sicherem Datenweg, kontrolliertem Rollout und klarer Analystenübergabe. Die Stoffdichte ist hoch; praktische Umsetzung und systematische Prüfung stehen im Mittelpunkt.

Inhaltsverzeichnis

1. Tag 1: Architektur und Einsatzdesign
2. Tag 1: Build, OrcCapsule und ToolEmbed
3. Tag 2: WolfLauncher-Konfiguration
4. Tag 2: Lokale und operative Steuerung
5. Tag 3: NTFS-, Registry- und Systemartefakte
6. Tag 3: Datei-, IOC- und Sample-Sammlung
7. Tag 4: Archive, Verschlüsselung und Upload
8. Tag 4: Deployment, Skalierung und Performance
9. Tag 5: FastBurn, Qualifizierung und Folgeprofile
10. Tag 5: Wartung, Release und Betriebsübergabe

Seminarinhalte

1. Tag 1: Architektur und Einsatzdesign

Zweck, Grenzen, Komponenten, Artefaktmatrix, Zielsegmente und Schutzbedarf werden zu einem belastbaren Einsatzkonzept verbunden.

1. Schritt 1: Untersuchungsfall und Entscheidungskriterien festlegen.
2. Schritt 2: Artefakte, Werkzeuge, Rechte und Datenwege in einer Matrix zuordnen.
3. Schritt 3: Pilot-, Qualitäts- und Abbruchkriterien als Projektgrundlage freigeben.

2. Tag 1: Build, OrcCapsule und ToolEmbed

Buildkette, Plattformvarianten, Capsule-Paketierung und eingebettete Ressourcen werden reproduzierbar aufgebaut.

1. Schritt 1: Toolchain und unveränderlichen Quellstand vorbereiten.
2. Schritt 2: Binärdateien und konfiguriertes Paket für die Zielplattform erzeugen.
3. Schritt 3: Werkzeuge, Hashwerte, Signatur und Basisfunktion vollständig prüfen.

3. Tag 2: WolfLauncher-Konfiguration

Archive, Befehle, Eingaben, Ausgaben, Argumente, Abhängigkeiten und Einschränkungen werden in einem wartbaren Konfigurationsmodell abgebildet.

1. Schritt 1: XML-Grundstruktur mit globalen Einstellungen und Ergebnisdateien erstellen.
2. Schritt 2: Kommandos und Archive in einer kontrollierten Ausführungsreihenfolge verbinden.
3. Schritt 3: Fehler-, Zeit- und Ressourcenregeln mit Negativtests validieren.

4. Tag 2: Lokale und operative Steuerung

Lokale Konfiguration, Kommandozeilenparameter, Schlüssel, Pfade, Priorität und Laufvarianten ermöglichen sichere Anpassungen ohne Paketneubau.

1. Schritt 1: Auflösung zwischen eingebetteter, lokaler und temporärer Steuerung prüfen.
2. Schritt 2: Betriebsparameter für Test, Pilot und Einsatz trennen.
3. Schritt 3: Effektive Konfiguration und Schlüsselwahl vor dem Start protokollieren.

5. Tag 3: NTFS-, Registry- und Systemartefakte

NTFSInfo, NTFSUtil, USNInfo, FatInfo, GetSectors, RegInfo und ObjInfo werden zu einem abgestuften Artefaktprofil kombiniert.

1. Schritt 1: Fragestellungen den geeigneten Werkzeugen und Filtern zuordnen.
2. Schritt 2: Volumen-, Hive-, Objekt- und Ausgabegrenzen festlegen.
3. Schritt 3: Ergebnisse auf Vollständigkeit, erwartete Kontrollartefakte und Mengeneffekte prüfen.

6. Tag 3: Datei-, IOC- und Sample-Sammlung

FastFind, YARA, GetThis und GetSamples bilden einen mehrstufigen Prozess von schneller Suche bis sicherer Sample-Übergabe.

1. Schritt 1: Indikatoren und Regeln bereinigen, testen und versionieren.
2. Schritt 2: Treffer mit Größen-, Anzahl- und Pfadgrenzen sichern.
3. Schritt 3: Potentiell schädliche Dateien isoliert archivieren und kontrolliert übergeben.

7. Tag 4: Archive, Verschlüsselung und Upload

Ergebnisarchive, Empfängerschlüssel, lokale Ablage, BITS-Transport, Entschlüsselung und Integritätskontrolle werden als Schutzkette umgesetzt.

1. Schritt 1: Archiv- und Benennungskonzept mit restriktiven Pfaden konfigurieren.
2. Schritt 2: Verschlüsselten Transport einschließlich Unterbrechung und Wiederaufnahme testen.
3. Schritt 3: Entschlüsselung, Vollständigkeitsprüfung und Fallzuordnung dokumentieren.

8. Tag 4: Deployment, Skalierung und Performance

Pilotwellen, Zielsegmentierung, Parallelität, Ressourcenlimits und Ergebnisabgleich sichern den großflächigen Betrieb.

1. Schritt 1: Repräsentative Pilotgruppe und messbare Schwellenwerte auswählen.
2. Schritt 2: Wellen, Drosselung und Netzkapazität aufeinander abstimmen.
3. Schritt 3: Outcome, Outline und Logs gegen das Zielinventar auswerten und Wiederanläufe steuern.

9. Tag 5: FastBurn, Qualifizierung und Folgeprofile

FastFind-Ergebnisse werden konsolidiert, mit Referenzlisten abgeglichen, priorisiert und in kontrollierte Folgeprofile zurückgeführt.

1. Schritt 1: Arbeitsbestand und Referenzstände unveränderlich vorbereiten.
2. Schritt 2: Treffer nach Kriterium, Kontext und Verbreitung qualifizieren.
3. Schritt 3: Priorisierte Arbeitsliste und versioniertes Folgeprofil erstellen.

10. Tag 5: Wartung, Release und Betriebsübergabe

Regressionstest, Versionswechsel, Dokumentation, Rollback, Rollen und Betriebskennzahlen schließen den Lebenszyklus.

1. Schritt 1: Releasekandidat mit Funktions-, Last- und Fehlertests abnehmen.
2. Schritt 2: Betriebshandbuch, Schlüsselprozess, Eskalation und Wiederanlauf beschreiben.
3. Schritt 3: Übergabe mit Verantwortlichkeiten, Prüfnachweisen und funktionsfähigem Rollback abschließen.

Praxisübungen

• Durchgängiges Referenzprojekt von Einsatzdesign bis Build und Konfiguration umsetzen
• Mehrstufiges Artefakt-, IOC- und Sample-Profil auf Referenzsystemen testen
• Skalierten Pilotlauf mit Verschlüsselung, Upload, Ergebnisabgleich und Wiederanlauf durchführen
• FastFind-Ergebnisse qualifizieren und in ein freigegebenes Folgeprofil überführen
• Release- und Betriebsübergabe mit Regressionstest, Rollback und Dokumentation abschließen

Zielgruppe und Voraussetzungen

Zielgruppe: DFIR-Engineers, Incident-Response-Teams, erfahrene Windows-Administratoren, SOC-Fachkräfte und technische Verantwortliche, die DFIR-ORC vollständig aufbauen oder betreiben.

Voraussetzungen: Gute Windows- und Incident-Response-Kenntnisse, PowerShell- und XML-Grundlagen sowie Erfahrung mit administrativen Berechtigungen, Dateisystemen und Netzwerkpfaden.