Seminar DFIR-ORC – Konfiguration mit WolfLauncher

Das Seminar behandelt WolfLauncher als zentrales Steuerungsmodell von DFIR-ORC. Aus einer leeren oder bestehenden XML-Konfiguration entsteht schrittweise ein wartbares Profil mit klaren Abhängigkeiten, begrenzten Ressourcen, robustem Fehlerverhalten und prüfbaren Ausgaben.

Seminarziel

Ziel ist die selbstständige Entwicklung, Prüfung und Versionierung einer produktionsnahen WolfLauncher-Konfiguration. Konfigurationsänderungen sollen nachvollziehbar, testbar und ohne unnötige Seiteneffekte in bestehende Profile integrierbar sein.

Inhaltsverzeichnis

1. XML-Grundgerüst und Namenskonventionen
2. Log, Console, Outline und Outcome
3. Archive, Empfänger und Upload
4. Command und Execute
5. Inputs, Outputs und Arguments
6. Ressourcen und externe Werkzeuge
7. Restrictions und Bedingungen
8. Zeit-, Speicher- und Datenträgerlimits
9. Validierung, Regression und Profilbibliothek

Seminarinhalte

1. XML-Grundgerüst und Namenskonventionen

Ein konsistentes Grundgerüst mit stabilen IDs, eindeutigen Namen und klarer Struktur erleichtert Wartung und Fehlersuche.

1. Schritt 1: Namensschema für Archive, Befehle, Ressourcen und Ausgaben festlegen.
2. Schritt 2: Minimale Konfiguration mit korrekter Wurzel und globalen Bereichen erstellen.
3. Schritt 3: Formatierung, Encoding und XML-Gültigkeit automatisiert prüfen.

2. Log, Console, Outline und Outcome

Globale Protokoll- und Statusausgaben werden so eingerichtet, dass Laufzustand, Fehler und Ergebnisübersicht vollständig nachvollziehbar bleiben.

1. Schritt 1: Ausgabeorte und eindeutige Dateinamen definieren.
2. Schritt 2: Detailgrad und Konsolenausgabe für Test und Einsatz unterscheiden.
3. Schritt 3: Begleitdateien nach einem Kontrolllauf auf Konsistenz prüfen.

3. Archive, Empfänger und Upload

Archive werden mit Eingängen, Ausgaben, Komprimierung, Empfängerschlüssel und optionalem Transport verbunden.

1. Schritt 1: Archivzweck und enthaltene Datenklassen festlegen.
2. Schritt 2: Empfänger- und Uploadkonfiguration getrennt versionieren und referenzieren.
3. Schritt 3: Leeres, gefülltes und unterbrochenes Archivverhalten testen.

4. Command und Execute

Befehle kapseln Werkzeuge, Ausführungskontext, Arbeitsverzeichnis und Ergebnisbehandlung in wiederverwendbaren Einheiten.

1. Schritt 1: Befehl mit eindeutiger ID und ausführbarer Ressource anlegen.
2. Schritt 2: Arbeitsverzeichnis, Exitcodes und erwartete Ausgaben beschreiben.
3. Schritt 3: Erfolgs-, Fehler- und Timeoutfall gezielt auslösen und bewerten.

5. Inputs, Outputs und Arguments

Eingaben, Ausgaben und Argumente werden explizit modelliert, damit Datenfluss und Abhängigkeiten sichtbar bleiben.

1. Schritt 1: Benötigte Eingangsressourcen und Quellpfade erfassen.
2. Schritt 2: Ausgabeziele mit Archivzuordnung und Kollisionsregeln definieren.
3. Schritt 3: Argumente, Variablen und Pfadauflösung anhand eines Testfalls kontrollieren.

6. Ressourcen und externe Werkzeuge

Eingebettete und externe Ressourcen werden mit Version, Hashwert, Extraktionspfad und Aufrufbedingungen verwaltet.

1. Schritt 1: Ressourceninventar mit Herkunft, Freigabe und Version anlegen.
2. Schritt 2: Ressource eindeutig in ToolEmbed oder externem Pfad referenzieren.
3. Schritt 3: Fehlende, falsche und aktualisierte Ressource in Negativtests erkennen.

7. Restrictions und Bedingungen

Plattform, Architektur, Dateivorhandensein, Rechte, freier Speicher und andere Bedingungen begrenzen die Ausführung auf geeignete Zielsysteme.

1. Schritt 1: Technische Voraussetzungen pro Befehl formulieren.
2. Schritt 2: Bedingungen in positiver und negativer Ausprägung implementieren.
3. Schritt 3: Übersprungene Befehle in Outcome und Log eindeutig nachvollziehen.

8. Zeit-, Speicher- und Datenträgerlimits

Limits verhindern unkontrollierte Laufzeiten, Speicherverbrauch und Datenmengen und müssen mit realistischen Lasttests abgestimmt werden.

1. Schritt 1: Zeit- und Ressourcenbudget pro Befehl festlegen.
2. Schritt 2: Gesamt- und Teilgrenzen mit sicheren Reserven konfigurieren.
3. Schritt 3: Grenzwertüberschreitung auslösen und geordnetes Fehlerverhalten prüfen.

9. Validierung, Regression und Profilbibliothek

Konfigurationen werden mit Referenzdaten, Negativfällen und Versionsregeln in eine wiederverwendbare Profilbibliothek überführt.

1. Schritt 1: Schema-, Syntax- und Referenzprüfung automatisieren.
2. Schritt 2: Kontrollsysteme und erwartete Ergebnissets für Regressionstests pflegen.
3. Schritt 3: Freigegebene Profile mit Version, Zweck, Zielgruppe und Rückfallversion katalogisieren.

Praxisübungen

• WolfLauncher-Konfiguration aus einem leeren Grundgerüst aufbauen
• Mehrere Commands mit Archiven, Inputs, Outputs und Restrictions verbinden
• Regressionstest mit Kontrollartefakten, Timeout und fehlender Ressource durchführen

Zielgruppe und Voraussetzungen

Zielgruppe: DFIR-Engineers, technische Incident-Response-Teams, Windows-Administratoren und Konfigurationsverantwortliche.

Voraussetzungen: DFIR-ORC-Grundlagen, XML-Kenntnisse und sichere Windows-Administrationspraxis.