Seminar AWS AFO Forensik-AMI mit EC2 Image Builder und SANS SIFT

Inhaltsübersicht

1. Einordnung und Einsatzkontext
2. Lernziele
3. Seminarinhalte
4. Praxislabor
5. Zielgruppe und Voraussetzungen
6. Didaktisches Vorgehen
7. Qualitätssicherung

Einordnung und Einsatzkontext

Das Seminar erstellt einen reproduzierbaren Image-Builder-Prozess für eine gehärtete Analyse-AMI mit SIFT und ergänzenden Werkzeugen. Versionierung, Prüfung und Freigabe stehen gleichrangig neben der Toolinstallation.

Der fachliche Schwerpunkt liegt auf Aufbau und Pflege einer kontrollierten Forensik-AMI. Die Inhalte werden an EC2- und EKS-bezogenen Vorfallszenarien, klaren Rollen, nachvollziehbaren Entscheidungen und überprüfbaren technischen Nachweisen ausgerichtet. Zwei Tage werden benötigt, um Anforderungen, Build-Pipeline, Toolintegration, Härtung, Funktionstests und Promotion einer AMI praktisch abzudecken.

Lernziele

Nach Abschluss des Seminars können die behandelten Aufgaben strukturiert vorbereitet, durchgeführt, geprüft und dokumentiert werden.

• Anforderungen und Schutzbedarf für Aufbau und Pflege einer kontrollierten Forensik-AMI fachlich einordnen;
• Anforderungs- und Werkzeugbaseline in einen kontrollierten AFO-Prozess überführen;
• Image-Builder-Pipeline entwerfen mit geeigneten AWS-Diensten und Sicherheitskontrollen umsetzen;
• Werkzeuge reproduzierbar installieren anhand definierter Eingaben, Ausgaben und Prüfkriterien verifizieren;
• Fehler, Abweichungen und Beweislücken bei Härtung und eingeschränkter Analysebetrieb systematisch analysieren;
• Konfigurationen, Befunde, Entscheidungen und Wiederholungsanweisungen nachvollziehbar dokumentieren.

Seminarinhalte

1. Anforderungs- und Werkzeugbaseline

Analyseaufgaben, Betriebssystem, Architektur, Instanztypen, SIFT-Komponenten, zusätzliche Tools, Lizenzbedingungen und Netzwerkanforderungen werden definiert.

Arbeitsschritte

1. Ausgangslage erfassen: Für das Lernfeld „Anforderungs- und Werkzeugbaseline“ werden betroffene Konten, Regionen, Ressourcen, Rollen, Datenquellen und Abhängigkeiten vollständig aufgenommen.
2. Vorgehen planen: Der fachliche Fokus wird in konkrete Eingaben, Prüfkriterien, Berechtigungen, Schutzmaßnahmen, erwartete Ausgaben und Abbruchbedingungen übersetzt.
3. Umsetzung durchführen: Die Konfiguration oder Analyse wird in kontrollierten Trainingsressourcen schrittweise ausgeführt; jede relevante Aktion erhält Fallbezug und UTC-Zeitstempel.
4. Kontrolle vornehmen: Status, Protokolle, Artefakte, Berechtigungen, Integrität, Nebenwirkungen und Fehlerpfade werden gegen die zuvor festgelegten Kriterien geprüft.
5. Dokumentation erstellen: Entscheidungen, Befehle oder Konfigurationswerte, Ergebnisse, Abweichungen, Unsicherheiten und sichere Wiederholungs- beziehungsweise Rückfallverfahren werden festgehalten.

Prüfpunkt: Das Lernfeld gilt als bearbeitet, wenn analyseaufgaben, Betriebssystem, Architektur, Instanztypen, SIFT-Komponenten, zusätzliche Tools, Lizenzbedingungen und Netzwerkanforderungen werden definiert. und die zugehörigen Nachweise durch eine zweite Rolle nachvollzogen werden können.

2. Image-Builder-Pipeline entwerfen

Basisimage, Komponenten, Rezepte, Infrastrukturkonfiguration, Verteilungsziele, Protokollierung und Build-Zeitplan werden modelliert.

Arbeitsschritte

1. Ausgangslage erfassen: Für das Lernfeld „Image-Builder-Pipeline entwerfen“ werden betroffene Konten, Regionen, Ressourcen, Rollen, Datenquellen und Abhängigkeiten vollständig aufgenommen.
2. Vorgehen planen: Der fachliche Fokus wird in konkrete Eingaben, Prüfkriterien, Berechtigungen, Schutzmaßnahmen, erwartete Ausgaben und Abbruchbedingungen übersetzt.
3. Umsetzung durchführen: Die Konfiguration oder Analyse wird in kontrollierten Trainingsressourcen schrittweise ausgeführt; jede relevante Aktion erhält Fallbezug und UTC-Zeitstempel.
4. Kontrolle vornehmen: Status, Protokolle, Artefakte, Berechtigungen, Integrität, Nebenwirkungen und Fehlerpfade werden gegen die zuvor festgelegten Kriterien geprüft.
5. Dokumentation erstellen: Entscheidungen, Befehle oder Konfigurationswerte, Ergebnisse, Abweichungen, Unsicherheiten und sichere Wiederholungs- beziehungsweise Rückfallverfahren werden festgehalten.

Prüfpunkt: Das Lernfeld gilt als bearbeitet, wenn basisimage, Komponenten, Rezepte, Infrastrukturkonfiguration, Verteilungsziele, Protokollierung und Build-Zeitplan werden modelliert. und die zugehörigen Nachweise durch eine zweite Rolle nachvollzogen werden können.

3. Werkzeuge reproduzierbar installieren

Pakete, Python-Umgebungen, Binärdateien, Signaturen, Prüfsummen, Abhängigkeiten und feste Versionen werden automatisiert eingebunden.

Arbeitsschritte

1. Ausgangslage erfassen: Für das Lernfeld „Werkzeuge reproduzierbar installieren“ werden betroffene Konten, Regionen, Ressourcen, Rollen, Datenquellen und Abhängigkeiten vollständig aufgenommen.
2. Vorgehen planen: Der fachliche Fokus wird in konkrete Eingaben, Prüfkriterien, Berechtigungen, Schutzmaßnahmen, erwartete Ausgaben und Abbruchbedingungen übersetzt.
3. Umsetzung durchführen: Die Konfiguration oder Analyse wird in kontrollierten Trainingsressourcen schrittweise ausgeführt; jede relevante Aktion erhält Fallbezug und UTC-Zeitstempel.
4. Kontrolle vornehmen: Status, Protokolle, Artefakte, Berechtigungen, Integrität, Nebenwirkungen und Fehlerpfade werden gegen die zuvor festgelegten Kriterien geprüft.
5. Dokumentation erstellen: Entscheidungen, Befehle oder Konfigurationswerte, Ergebnisse, Abweichungen, Unsicherheiten und sichere Wiederholungs- beziehungsweise Rückfallverfahren werden festgehalten.

Prüfpunkt: Das Lernfeld gilt als bearbeitet, wenn pakete, Python-Umgebungen, Binärdateien, Signaturen, Prüfsummen, Abhängigkeiten und feste Versionen werden automatisiert eingebunden. und die zugehörigen Nachweise durch eine zweite Rolle nachvollzogen werden können.

4. Härtung und eingeschränkter Analysebetrieb

IAM-Profil, Netzwerkzugriff, Datenträgereinbindung, Protokollierung, Benutzerrechte, temporäre Daten und sichere Standardkonfigurationen werden umgesetzt.

Arbeitsschritte

1. Ausgangslage erfassen: Für das Lernfeld „Härtung und eingeschränkter Analysebetrieb“ werden betroffene Konten, Regionen, Ressourcen, Rollen, Datenquellen und Abhängigkeiten vollständig aufgenommen.
2. Vorgehen planen: Der fachliche Fokus wird in konkrete Eingaben, Prüfkriterien, Berechtigungen, Schutzmaßnahmen, erwartete Ausgaben und Abbruchbedingungen übersetzt.
3. Umsetzung durchführen: Die Konfiguration oder Analyse wird in kontrollierten Trainingsressourcen schrittweise ausgeführt; jede relevante Aktion erhält Fallbezug und UTC-Zeitstempel.
4. Kontrolle vornehmen: Status, Protokolle, Artefakte, Berechtigungen, Integrität, Nebenwirkungen und Fehlerpfade werden gegen die zuvor festgelegten Kriterien geprüft.
5. Dokumentation erstellen: Entscheidungen, Befehle oder Konfigurationswerte, Ergebnisse, Abweichungen, Unsicherheiten und sichere Wiederholungs- beziehungsweise Rückfallverfahren werden festgehalten.

Prüfpunkt: Das Lernfeld gilt als bearbeitet, wenn iAM-Profil, Netzwerkzugriff, Datenträgereinbindung, Protokollierung, Benutzerrechte, temporäre Daten und sichere Standardkonfigurationen werden umgesetzt. und die zugehörigen Nachweise durch eine zweite Rolle nachvollzogen werden können.

5. Funktionale und forensische Tests

Startfähigkeit, Toolversionen, Beispielabbilder, Dateisystemzugriff, Timeline-Verarbeitung, Speicheranalyse und Fehlerbehandlung werden geprüft.

Arbeitsschritte

1. Ausgangslage erfassen: Für das Lernfeld „Funktionale und forensische Tests“ werden betroffene Konten, Regionen, Ressourcen, Rollen, Datenquellen und Abhängigkeiten vollständig aufgenommen.
2. Vorgehen planen: Der fachliche Fokus wird in konkrete Eingaben, Prüfkriterien, Berechtigungen, Schutzmaßnahmen, erwartete Ausgaben und Abbruchbedingungen übersetzt.
3. Umsetzung durchführen: Die Konfiguration oder Analyse wird in kontrollierten Trainingsressourcen schrittweise ausgeführt; jede relevante Aktion erhält Fallbezug und UTC-Zeitstempel.
4. Kontrolle vornehmen: Status, Protokolle, Artefakte, Berechtigungen, Integrität, Nebenwirkungen und Fehlerpfade werden gegen die zuvor festgelegten Kriterien geprüft.
5. Dokumentation erstellen: Entscheidungen, Befehle oder Konfigurationswerte, Ergebnisse, Abweichungen, Unsicherheiten und sichere Wiederholungs- beziehungsweise Rückfallverfahren werden festgehalten.

Prüfpunkt: Das Lernfeld gilt als bearbeitet, wenn startfähigkeit, Toolversionen, Beispielabbilder, Dateisystemzugriff, Timeline-Verarbeitung, Speicheranalyse und Fehlerbehandlung werden geprüft. und die zugehörigen Nachweise durch eine zweite Rolle nachvollzogen werden können.

6. Versionierung und Freigabekette

Semantische Versionen, Build-Nachweise, Schwachstellenbewertung, Genehmigung, regionsübergreifende Verteilung und Rücknahme werden geregelt.

Arbeitsschritte

1. Ausgangslage erfassen: Für das Lernfeld „Versionierung und Freigabekette“ werden betroffene Konten, Regionen, Ressourcen, Rollen, Datenquellen und Abhängigkeiten vollständig aufgenommen.
2. Vorgehen planen: Der fachliche Fokus wird in konkrete Eingaben, Prüfkriterien, Berechtigungen, Schutzmaßnahmen, erwartete Ausgaben und Abbruchbedingungen übersetzt.
3. Umsetzung durchführen: Die Konfiguration oder Analyse wird in kontrollierten Trainingsressourcen schrittweise ausgeführt; jede relevante Aktion erhält Fallbezug und UTC-Zeitstempel.
4. Kontrolle vornehmen: Status, Protokolle, Artefakte, Berechtigungen, Integrität, Nebenwirkungen und Fehlerpfade werden gegen die zuvor festgelegten Kriterien geprüft.
5. Dokumentation erstellen: Entscheidungen, Befehle oder Konfigurationswerte, Ergebnisse, Abweichungen, Unsicherheiten und sichere Wiederholungs- beziehungsweise Rückfallverfahren werden festgehalten.

Prüfpunkt: Das Lernfeld gilt als bearbeitet, wenn semantische Versionen, Build-Nachweise, Schwachstellenbewertung, Genehmigung, regionsübergreifende Verteilung und Rücknahme werden geregelt. und die zugehörigen Nachweise durch eine zweite Rolle nachvollzogen werden können.

7. Einbindung in den AFO-Workflow

AMI-Parameter, Instanzgrößen, SSM-Dokumente, Analysejobs, Laufzeitlimits und Ergebnisablage werden in einer Testausführung validiert.

Arbeitsschritte

1. Ausgangslage erfassen: Für das Lernfeld „Einbindung in den AFO-Workflow“ werden betroffene Konten, Regionen, Ressourcen, Rollen, Datenquellen und Abhängigkeiten vollständig aufgenommen.
2. Vorgehen planen: Der fachliche Fokus wird in konkrete Eingaben, Prüfkriterien, Berechtigungen, Schutzmaßnahmen, erwartete Ausgaben und Abbruchbedingungen übersetzt.
3. Umsetzung durchführen: Die Konfiguration oder Analyse wird in kontrollierten Trainingsressourcen schrittweise ausgeführt; jede relevante Aktion erhält Fallbezug und UTC-Zeitstempel.
4. Kontrolle vornehmen: Status, Protokolle, Artefakte, Berechtigungen, Integrität, Nebenwirkungen und Fehlerpfade werden gegen die zuvor festgelegten Kriterien geprüft.
5. Dokumentation erstellen: Entscheidungen, Befehle oder Konfigurationswerte, Ergebnisse, Abweichungen, Unsicherheiten und sichere Wiederholungs- beziehungsweise Rückfallverfahren werden festgehalten.

Prüfpunkt: Das Lernfeld gilt als bearbeitet, wenn aMI-Parameter, Instanzgrößen, SSM-Dokumente, Analysejobs, Laufzeitlimits und Ergebnisablage werden in einer Testausführung validiert. und die zugehörigen Nachweise durch eine zweite Rolle nachvollzogen werden können.

Praxislabor

Erstellung einer versionierten Forensik-AMI, die Datenträger- und Speicheranalysen ausführt und vor der Freigabe automatisiert geprüft wird.

1. Trainingsfall anlegen, Ausgangslage protokollieren und Schutzobjekte sowie Zuständigkeiten festlegen.
2. Ereignis- oder Konfigurationsdaten prüfen, den geeigneten AFO-Pfad auswählen und Freigabepunkte dokumentieren.
3. Technische Schritte in der vorgesehenen Reihenfolge ausführen und alle Zwischenstände mit Fallkennung erfassen.
4. Mindestens einen Fehler- oder Sonderfall einspielen, Ursache eingrenzen und eine sichere Fortsetzung oder Rücknahme durchführen.
5. Artefakte, Logs, Statusdaten und Befunde auf Vollständigkeit, Integrität, Zeitkonsistenz und Zugriffsrechte prüfen.
6. Eine ausführbare Arbeitsanweisung mit Rollen, Prüfpunkten, Eskalationen und Abschlusskriterien erstellen.

Zielgruppe und Voraussetzungen

Zielgruppe: Forensik-Engineering, Cloud Security, Plattformteams, DevSecOps und technische Laborverantwortliche.

Voraussetzungen: Linux-Administration, EC2- und AMI-Grundlagen, IAM, Image Builder sowie Verständnis forensischer Werkzeuge.

Didaktisches Vorgehen

Fachliche Erläuterungen werden unmittelbar mit Architekturarbeit, Demonstrationen, geführten Übungen, Analyseaufgaben und dokumentierter Fallarbeit verbunden. Jeder technische Schritt wird zunächst geplant, anschließend in einer isolierten Umgebung ausgeführt und danach anhand von Logs, Artefakten und Prüfkriterien bewertet.

Qualitätssicherung

• Vorbedingungen, Rollen und Berechtigungen werden vor jedem Labor geprüft.
• Alle Zeitangaben werden einheitlich in UTC dokumentiert.
• Beweis- und Konfigurationsobjekte erhalten eindeutige Kennungen und einen nachvollziehbaren Bearbeitungsstatus.
• Fehlerfälle werden nicht übersprungen, sondern mit Ursache, Auswirkung, Korrektur und Wiederholungsprüfung erfasst.
• Arbeitsanweisungen werden durch einen zweiten Prüfpfad auf Vollständigkeit und Ausführbarkeit kontrolliert.