Seminar DFIR-ORC – NTFS- und Dateisystemartefakte mit NTFSInfo, NTFSUtil, USNInfo, FatInfo und GetSectors

Das Seminar erschließt die dateisystembezogenen Werkzeuge von DFIR-ORC und verbindet sie mit konkreten Untersuchungsfragen. Im Vordergrund steht die kontrollierte Erfassung relevanter Strukturen, nicht deren abschließende fallbezogene Interpretation.

Seminarziel

Ziel ist ein abgestuftes Dateisystemprofil für schnelle Übersicht, detaillierte NTFS-Erfassung, Journalinformationen und gezielte Sektorsicherung. Filter, Datenmengen, Rechte und Laufzeit werden so abgestimmt, dass Ergebnisse reproduzierbar und betrieblich vertretbar bleiben.

Inhaltsverzeichnis

1. Volumes, Dateisysteme und Sammelgrenzen
2. NTFSInfo-Grundprofil
3. Hashwerte, Signaturen und Zusatzmerkmale
4. NTFSUtil für gezielte Strukturabfragen
5. USNInfo und Änderungsjournal
6. FatInfo und nicht-NTFS-basierte Bereiche
7. GetSectors für gezielte Sektorsicherung
8. Verzeichnisindizes, Streams und Sonderfälle
9. Integriertes Dateisystemprofil

Seminarinhalte

1. Volumes, Dateisysteme und Sammelgrenzen

Vor jeder Erfassung werden vorhandene Volumes, Dateisystemtypen, Einbindungen, Verschlüsselung und zugängliche Bereiche bestimmt.

1. Schritt 1: Zielvolumes und erwartete Dateisysteme inventarisieren.
2. Schritt 2: Nicht relevante, nicht erreichbare oder besonders sensible Bereiche kennzeichnen.
3. Schritt 3: Profilgrenzen und erwartete Datenmengen je Volume festlegen.

2. NTFSInfo-Grundprofil

NTFSInfo liefert strukturierte Informationen zu Dateien, Attributen, Metadaten und optionalen Zusatzprüfungen.

1. Schritt 1: Benötigte Spalten, Attribute und Metadaten aus der Fragestellung ableiten.
2. Schritt 2: Pfad-, Namens-, Größen- und Zeitfilter passend kombinieren.
3. Schritt 3: Kontrolldateien und erwartete Datensatzanzahl für den Test definieren.

3. Hashwerte, Signaturen und Zusatzmerkmale

Hashing, Signaturinformationen und weitere Eigenschaften werden nur dort aktiviert, wo Aussagegewinn und Laufzeit vertretbar sind.

1. Schritt 1: Dateiklassen mit Bedarf an Hash- oder Signaturprüfung auswählen.
2. Schritt 2: Kosten und erwartete Datenmenge in einem kleinen Test messen.
3. Schritt 3: Einstellungen anhand der Messwerte begrenzen oder in ein Folgeprofil verschieben.

4. NTFSUtil für gezielte Strukturabfragen

NTFSUtil unterstützt tiefergehende, gezielte Prüfungen und ergänzende Informationen zu NTFS-Strukturen.

1. Schritt 1: Konkrete Strukturfrage und benötigte Eingabe festlegen.
2. Schritt 2: Aufruf mit kleinem, bekannten Testbereich validieren.
3. Schritt 3: Ausgabe und Fehlermeldungen eindeutig in das Ergebnisarchiv übernehmen.

5. USNInfo und Änderungsjournal

Das USN-Journal wird kontrolliert erfasst, damit nachgelagerte Analysen Veränderungen und Ereignisfolgen rekonstruieren können.

1. Schritt 1: Journalverfügbarkeit und Zielvolume prüfen.
2. Schritt 2: Zeit-, Umfangs- und Ausgabegrenzen definieren.
3. Schritt 3: Erfassung mit Kontrolländerungen testen und auf Vollständigkeit prüfen.

6. FatInfo und nicht-NTFS-basierte Bereiche

FAT-bezogene Informationen werden für passende Datenträger und Sonderfälle getrennt gesammelt und dokumentiert.

1. Schritt 1: Dateisystemtyp vor Werkzeugwahl verifizieren.
2. Schritt 2: Erfassungsbereich und erwartete Strukturen beschreiben.
3. Schritt 3: Ausgabe gegen einen bekannten Referenzdatenträger prüfen.

7. GetSectors für gezielte Sektorsicherung

Bestimmte Sektoren oder Strukturen werden nur auf begründeten Auftrag und mit klaren Grenzen gesichert.

1. Schritt 1: Benötigte Sektorbereiche und technische Begründung festhalten.
2. Schritt 2: Leserechte, Zielpfad und maximale Ausgabemenge prüfen.
3. Schritt 3: Sicherung mit Größe, Offset und Hashwert dokumentieren.

8. Verzeichnisindizes, Streams und Sonderfälle

Verzeichnisindizes, alternative Datenströme und besondere NTFS-Merkmale werden in spezifischen Folgeprofilen erfasst.

1. Schritt 1: Sondermerkmal und erwarteten Erkenntniswert definieren.
2. Schritt 2: Kleinen Testdatensatz mit bekannten Merkmalen vorbereiten.
3. Schritt 3: Zusatzprofil auf Treffer, Laufzeit und unerwünschte Datenausweitung prüfen.

9. Integriertes Dateisystemprofil

Werkzeuge werden in eine Reihenfolge aus Übersicht, gezielter Vertiefung und optionaler Sektorsicherung gebracht.

1. Schritt 1: Schnell-, Standard- und Vertiefungsstufe abgrenzen.
2. Schritt 2: Archive, Limits, Fehlerverhalten und Abhängigkeiten konfigurieren.
3. Schritt 3: Gesamtprofil auf Referenzvolumes testen und anhand einer Sollmatrix abnehmen.

Praxisübungen

• NTFSInfo-Profil mit Filtern, Kontrollartefakten und optionalen Hashwerten erstellen
• USN-Journal und ausgewählte NTFS-Strukturen kontrolliert erfassen
• Mehrstufiges Dateisystemprofil mit NTFSUtil, FatInfo und GetSectors testen

Zielgruppe und Voraussetzungen

Zielgruppe: DFIR-Fachkräfte, Incident-Response-Teams, Windows-Administratoren und Forensik-Analysten mit Schwerpunkt Dateisystemartefakte.

Voraussetzungen: Gute Kenntnisse von Windows-Dateisystemen, Volumes, Pfaden, MFT und grundlegenden forensischen Konzepten.