Seminar Autopsy / The Sleuth Kit Advanced Analysis und Reporting

Vertiefende Analysearbeit steht im Mittelpunkt. Behandelt werden korrelierte Auswertungen aus mehreren Quellen, Plausibilitätsprüfungen, nachvollziehbare Dokumentation und die Vorbereitung belastbarer Berichte. Der Schwerpunkt liegt nicht auf bloßer Bedienung, sondern auf sauberer Falllogik und prüffähigen Ergebnisketten.

Inhaltsverzeichnis

• Kursprofil
• Zielgruppe
• Lernziele
• Inhaltliche Schwerpunkte
• Praktische Übungen
• Voraussetzungen
• Methodik

Kursprofil

Vertiefende Analysearbeit steht im Mittelpunkt. Behandelt werden korrelierte Auswertungen aus mehreren Quellen, Plausibilitätsprüfungen, nachvollziehbare Dokumentation und die Vorbereitung belastbarer Berichte. Der Schwerpunkt liegt nicht auf bloßer Bedienung, sondern auf sauberer Falllogik und prüffähigen Ergebnisketten.

Zielgruppe

Geeignet für Personen, die Autopsy bereits für Standardfälle nutzen und die Qualität, Tiefe und Reproduzierbarkeit ihrer Untersuchungen verbessern müssen. Der Kurs richtet sich besonders an Teams, die Fälle intern, juristisch oder regulatorisch nachvollziehbar dokumentieren müssen.

Lernziele

• komplexe Fallstrukturen in Autopsy sauber aufbauen und konsistent benennen
• Artefakte aus verschiedenen Quellen gegeneinander prüfen
• Trefferlisten, Zeitleisten, Hash-Werte und Dateisystembefunde methodisch bewerten
• Berichte so strukturieren, dass Befunde, Annahmen und Grenzen getrennt bleiben
• Analysefehler durch Kontrollschritte und Gegenprüfungen reduzieren

Inhaltliche Schwerpunkte

• Fallstruktur, Datenquellen und Untersuchungsstrategie
• Korrelation von Dateisystem-, Web-, Registry-, Timeline- und Keyword-Befunden
• Hash-Sets, Known-Good-/Known-Bad-Listen und Trefferbewertung
• Validierung ausgewählter Befunde über TSK-Werkzeuge
• Umgang mit großen Datenmengen, Priorisierung und Filterlogik
• Berichtsaufbau, Beweiskette, Befundsprache und technische Anhänge

Praktische Übungen

1. Fall anlegen, Datenquellen einbinden und Untersuchungsfragen definieren
2. gezielte Such- und Filterstrategien aufbauen
3. relevante Treffer markieren, gruppieren und mit Kontrollbefunden abgleichen
4. ausgewählte Dateien und Metadaten über TSK gegenprüfen
5. Export, Bericht und technische Notizen für die Fallakte erzeugen

Voraussetzungen

Vorausgesetzt werden sichere Grundkenntnisse in digitaler Forensik sowie praktische Erfahrung mit mindestens einfachen Autopsy-Fällen. Für die TSK-Gegenprüfung reicht grundlegende Kommandozeilenerfahrung.

Methodik

Der Unterricht kombiniert Demonstration, geführte Analyse und eigenständige Laborarbeit. Jede Übung beginnt mit einer Untersuchungsfrage und endet mit einer dokumentierten Befundentscheidung.