Seminar AWS AFO Intensiv – Forensische Analyse und Tooling

Inhaltsübersicht

1. Einordnung und Einsatzkontext
2. Lernziele
3. Seminarinhalte
4. Praxislabor
5. Zielgruppe und Voraussetzungen
6. Didaktisches Vorgehen
7. Qualitätssicherung

Einordnung und Einsatzkontext

Das Intensivseminar bündelt Chain of Custody, Speicher- und Datenträgerforensik, Plaso, LiME, Volatility 3, SIFT, SSM-Plugins, Windows- und Linux-Artefakte sowie EKS-Forensik in einer zusammenhängenden Fallbearbeitung.

Der fachliche Schwerpunkt liegt auf praktische Beweiserfassung und forensische Analyse mit AFO-Werkzeugen. Die Inhalte werden an EC2- und EKS-bezogenen Vorfallszenarien, klaren Rollen, nachvollziehbaren Entscheidungen und überprüfbaren technischen Nachweisen ausgerichtet. Fünf Tage werden benötigt, um Erfassung, Werkzeugbereitstellung, Speicher-, Datenträger-, Betriebssystem- und Containeranalyse mit Dokumentation und Qualitätskontrolle praktisch zu verbinden.

Lernziele

Nach Abschluss des Seminars können die behandelten Aufgaben strukturiert vorbereitet, durchgeführt, geprüft und dokumentiert werden.

• Anforderungen und Schutzbedarf für praktische Beweiserfassung und forensische Analyse mit AFO-Werkzeugen fachlich einordnen;
• Fallanlage und Chain of Custody in einen kontrollierten AFO-Prozess überführen;
• Forensik-AMI und Analysearbeitsplatz mit geeigneten AWS-Diensten und Sicherheitskontrollen umsetzen;
• Arbeitsspeicher erfassen anhand definierter Eingaben, Ausgaben und Prüfkriterien verifizieren;
• Fehler, Abweichungen und Beweislücken bei Speicheranalyse mit Volatility 3 systematisch analysieren;
• Konfigurationen, Befunde, Entscheidungen und Wiederholungsanweisungen nachvollziehbar dokumentieren.

Seminarinhalte

1. Fallanlage und Chain of Custody

Fallkennung, Scope, Rollen, Zeitbasis, Erfassungsreihenfolge, Integritätsnachweise, Speicherorte und Freigaben werden vorbereitet.

Arbeitsschritte

1. Ausgangslage erfassen: Für das Lernfeld „Fallanlage und Chain of Custody“ werden betroffene Konten, Regionen, Ressourcen, Rollen, Datenquellen und Abhängigkeiten vollständig aufgenommen.
2. Vorgehen planen: Der fachliche Fokus wird in konkrete Eingaben, Prüfkriterien, Berechtigungen, Schutzmaßnahmen, erwartete Ausgaben und Abbruchbedingungen übersetzt.
3. Umsetzung durchführen: Die Konfiguration oder Analyse wird in kontrollierten Trainingsressourcen schrittweise ausgeführt; jede relevante Aktion erhält Fallbezug und UTC-Zeitstempel.
4. Kontrolle vornehmen: Status, Protokolle, Artefakte, Berechtigungen, Integrität, Nebenwirkungen und Fehlerpfade werden gegen die zuvor festgelegten Kriterien geprüft.
5. Dokumentation erstellen: Entscheidungen, Befehle oder Konfigurationswerte, Ergebnisse, Abweichungen, Unsicherheiten und sichere Wiederholungs- beziehungsweise Rückfallverfahren werden festgehalten.

Prüfpunkt: Das Lernfeld gilt als bearbeitet, wenn fallkennung, Scope, Rollen, Zeitbasis, Erfassungsreihenfolge, Integritätsnachweise, Speicherorte und Freigaben werden vorbereitet. und die zugehörigen Nachweise durch eine zweite Rolle nachvollzogen werden können.

2. Forensik-AMI und Analysearbeitsplatz

SIFT-basierte AMI, Toolversionen, eingeschränkter Netzwerkzugriff, Analysevolumes, Protokollierung und reproduzierbare Arbeitsverzeichnisse werden geprüft.

Arbeitsschritte

1. Ausgangslage erfassen: Für das Lernfeld „Forensik-AMI und Analysearbeitsplatz“ werden betroffene Konten, Regionen, Ressourcen, Rollen, Datenquellen und Abhängigkeiten vollständig aufgenommen.
2. Vorgehen planen: Der fachliche Fokus wird in konkrete Eingaben, Prüfkriterien, Berechtigungen, Schutzmaßnahmen, erwartete Ausgaben und Abbruchbedingungen übersetzt.
3. Umsetzung durchführen: Die Konfiguration oder Analyse wird in kontrollierten Trainingsressourcen schrittweise ausgeführt; jede relevante Aktion erhält Fallbezug und UTC-Zeitstempel.
4. Kontrolle vornehmen: Status, Protokolle, Artefakte, Berechtigungen, Integrität, Nebenwirkungen und Fehlerpfade werden gegen die zuvor festgelegten Kriterien geprüft.
5. Dokumentation erstellen: Entscheidungen, Befehle oder Konfigurationswerte, Ergebnisse, Abweichungen, Unsicherheiten und sichere Wiederholungs- beziehungsweise Rückfallverfahren werden festgehalten.

Prüfpunkt: Das Lernfeld gilt als bearbeitet, wenn sIFT-basierte AMI, Toolversionen, eingeschränkter Netzwerkzugriff, Analysevolumes, Protokollierung und reproduzierbare Arbeitsverzeichnisse werden geprüft. und die zugehörigen Nachweise durch eine zweite Rolle nachvollzogen werden können.

3. Arbeitsspeicher erfassen

Voraussetzungen, LiME-basierte Linux-Erfassung, Windows-Erfassungsverfahren, sichere Übertragung, Hashing und Fehlerbehandlung werden durchgeführt.

Arbeitsschritte

1. Ausgangslage erfassen: Für das Lernfeld „Arbeitsspeicher erfassen“ werden betroffene Konten, Regionen, Ressourcen, Rollen, Datenquellen und Abhängigkeiten vollständig aufgenommen.
2. Vorgehen planen: Der fachliche Fokus wird in konkrete Eingaben, Prüfkriterien, Berechtigungen, Schutzmaßnahmen, erwartete Ausgaben und Abbruchbedingungen übersetzt.
3. Umsetzung durchführen: Die Konfiguration oder Analyse wird in kontrollierten Trainingsressourcen schrittweise ausgeführt; jede relevante Aktion erhält Fallbezug und UTC-Zeitstempel.
4. Kontrolle vornehmen: Status, Protokolle, Artefakte, Berechtigungen, Integrität, Nebenwirkungen und Fehlerpfade werden gegen die zuvor festgelegten Kriterien geprüft.
5. Dokumentation erstellen: Entscheidungen, Befehle oder Konfigurationswerte, Ergebnisse, Abweichungen, Unsicherheiten und sichere Wiederholungs- beziehungsweise Rückfallverfahren werden festgehalten.

Prüfpunkt: Das Lernfeld gilt als bearbeitet, wenn voraussetzungen, LiME-basierte Linux-Erfassung, Windows-Erfassungsverfahren, sichere Übertragung, Hashing und Fehlerbehandlung werden durchgeführt. und die zugehörigen Nachweise durch eine zweite Rolle nachvollzogen werden können.

4. Speicheranalyse mit Volatility 3

Symbole, Prozesse, Netzwerkverbindungen, Module, Handles, Kommandozeilen, verdächtige Speicherbereiche und Zeitbezüge werden untersucht.

Arbeitsschritte

1. Ausgangslage erfassen: Für das Lernfeld „Speicheranalyse mit Volatility 3“ werden betroffene Konten, Regionen, Ressourcen, Rollen, Datenquellen und Abhängigkeiten vollständig aufgenommen.
2. Vorgehen planen: Der fachliche Fokus wird in konkrete Eingaben, Prüfkriterien, Berechtigungen, Schutzmaßnahmen, erwartete Ausgaben und Abbruchbedingungen übersetzt.
3. Umsetzung durchführen: Die Konfiguration oder Analyse wird in kontrollierten Trainingsressourcen schrittweise ausgeführt; jede relevante Aktion erhält Fallbezug und UTC-Zeitstempel.
4. Kontrolle vornehmen: Status, Protokolle, Artefakte, Berechtigungen, Integrität, Nebenwirkungen und Fehlerpfade werden gegen die zuvor festgelegten Kriterien geprüft.
5. Dokumentation erstellen: Entscheidungen, Befehle oder Konfigurationswerte, Ergebnisse, Abweichungen, Unsicherheiten und sichere Wiederholungs- beziehungsweise Rückfallverfahren werden festgehalten.

Prüfpunkt: Das Lernfeld gilt als bearbeitet, wenn symbole, Prozesse, Netzwerkverbindungen, Module, Handles, Kommandozeilen, verdächtige Speicherbereiche und Zeitbezüge werden untersucht. und die zugehörigen Nachweise durch eine zweite Rolle nachvollzogen werden können.

5. EBS-Snapshots und Analysevolumes

Volumes, Verschlüsselung, Snapshots, Kopien, schreibgeschützte Bereitstellung, Dateisysteme und Artefaktpfade werden kontrolliert bearbeitet.

Arbeitsschritte

1. Ausgangslage erfassen: Für das Lernfeld „EBS-Snapshots und Analysevolumes“ werden betroffene Konten, Regionen, Ressourcen, Rollen, Datenquellen und Abhängigkeiten vollständig aufgenommen.
2. Vorgehen planen: Der fachliche Fokus wird in konkrete Eingaben, Prüfkriterien, Berechtigungen, Schutzmaßnahmen, erwartete Ausgaben und Abbruchbedingungen übersetzt.
3. Umsetzung durchführen: Die Konfiguration oder Analyse wird in kontrollierten Trainingsressourcen schrittweise ausgeführt; jede relevante Aktion erhält Fallbezug und UTC-Zeitstempel.
4. Kontrolle vornehmen: Status, Protokolle, Artefakte, Berechtigungen, Integrität, Nebenwirkungen und Fehlerpfade werden gegen die zuvor festgelegten Kriterien geprüft.
5. Dokumentation erstellen: Entscheidungen, Befehle oder Konfigurationswerte, Ergebnisse, Abweichungen, Unsicherheiten und sichere Wiederholungs- beziehungsweise Rückfallverfahren werden festgehalten.

Prüfpunkt: Das Lernfeld gilt als bearbeitet, wenn volumes, Verschlüsselung, Snapshots, Kopien, schreibgeschützte Bereitstellung, Dateisysteme und Artefaktpfade werden kontrolliert bearbeitet. und die zugehörigen Nachweise durch eine zweite Rolle nachvollzogen werden können.

6. Timeline- und Dateisystemanalyse mit Plaso

Datenquellen, Parser, Filter, Zeitzonen, Super-Timeline, Hypothesen und Korrelation mit Cloud-Ereignissen werden aufgebaut.

Arbeitsschritte

1. Ausgangslage erfassen: Für das Lernfeld „Timeline- und Dateisystemanalyse mit Plaso“ werden betroffene Konten, Regionen, Ressourcen, Rollen, Datenquellen und Abhängigkeiten vollständig aufgenommen.
2. Vorgehen planen: Der fachliche Fokus wird in konkrete Eingaben, Prüfkriterien, Berechtigungen, Schutzmaßnahmen, erwartete Ausgaben und Abbruchbedingungen übersetzt.
3. Umsetzung durchführen: Die Konfiguration oder Analyse wird in kontrollierten Trainingsressourcen schrittweise ausgeführt; jede relevante Aktion erhält Fallbezug und UTC-Zeitstempel.
4. Kontrolle vornehmen: Status, Protokolle, Artefakte, Berechtigungen, Integrität, Nebenwirkungen und Fehlerpfade werden gegen die zuvor festgelegten Kriterien geprüft.
5. Dokumentation erstellen: Entscheidungen, Befehle oder Konfigurationswerte, Ergebnisse, Abweichungen, Unsicherheiten und sichere Wiederholungs- beziehungsweise Rückfallverfahren werden festgehalten.

Prüfpunkt: Das Lernfeld gilt als bearbeitet, wenn datenquellen, Parser, Filter, Zeitzonen, Super-Timeline, Hypothesen und Korrelation mit Cloud-Ereignissen werden aufgebaut. und die zugehörigen Nachweise durch eine zweite Rolle nachvollzogen werden können.

7. Windows- und Linux-Artefakte

Registry, Event Logs, Prefetch, Authentisierung, Persistenz, Shell-Historie, Systemd, Cron, Paketstände und temporäre Daten werden ausgewertet.

Arbeitsschritte

1. Ausgangslage erfassen: Für das Lernfeld „Windows- und Linux-Artefakte“ werden betroffene Konten, Regionen, Ressourcen, Rollen, Datenquellen und Abhängigkeiten vollständig aufgenommen.
2. Vorgehen planen: Der fachliche Fokus wird in konkrete Eingaben, Prüfkriterien, Berechtigungen, Schutzmaßnahmen, erwartete Ausgaben und Abbruchbedingungen übersetzt.
3. Umsetzung durchführen: Die Konfiguration oder Analyse wird in kontrollierten Trainingsressourcen schrittweise ausgeführt; jede relevante Aktion erhält Fallbezug und UTC-Zeitstempel.
4. Kontrolle vornehmen: Status, Protokolle, Artefakte, Berechtigungen, Integrität, Nebenwirkungen und Fehlerpfade werden gegen die zuvor festgelegten Kriterien geprüft.
5. Dokumentation erstellen: Entscheidungen, Befehle oder Konfigurationswerte, Ergebnisse, Abweichungen, Unsicherheiten und sichere Wiederholungs- beziehungsweise Rückfallverfahren werden festgehalten.

Prüfpunkt: Das Lernfeld gilt als bearbeitet, wenn registry, Event Logs, Prefetch, Authentisierung, Persistenz, Shell-Historie, Systemd, Cron, Paketstände und temporäre Daten werden ausgewertet. und die zugehörigen Nachweise durch eine zweite Rolle nachvollzogen werden können.

8. EKS- und Containerartefakte

Clusterobjekte, Auditdaten, Node-Zustand, Container-Runtime, Logs, Dateisystemschichten und Workload-Identitäten werden in den Fall integriert.

Arbeitsschritte

1. Ausgangslage erfassen: Für das Lernfeld „EKS- und Containerartefakte“ werden betroffene Konten, Regionen, Ressourcen, Rollen, Datenquellen und Abhängigkeiten vollständig aufgenommen.
2. Vorgehen planen: Der fachliche Fokus wird in konkrete Eingaben, Prüfkriterien, Berechtigungen, Schutzmaßnahmen, erwartete Ausgaben und Abbruchbedingungen übersetzt.
3. Umsetzung durchführen: Die Konfiguration oder Analyse wird in kontrollierten Trainingsressourcen schrittweise ausgeführt; jede relevante Aktion erhält Fallbezug und UTC-Zeitstempel.
4. Kontrolle vornehmen: Status, Protokolle, Artefakte, Berechtigungen, Integrität, Nebenwirkungen und Fehlerpfade werden gegen die zuvor festgelegten Kriterien geprüft.
5. Dokumentation erstellen: Entscheidungen, Befehle oder Konfigurationswerte, Ergebnisse, Abweichungen, Unsicherheiten und sichere Wiederholungs- beziehungsweise Rückfallverfahren werden festgehalten.

Prüfpunkt: Das Lernfeld gilt als bearbeitet, wenn clusterobjekte, Auditdaten, Node-Zustand, Container-Runtime, Logs, Dateisystemschichten und Workload-Identitäten werden in den Fall integriert. und die zugehörigen Nachweise durch eine zweite Rolle nachvollzogen werden können.

9. SSM-Dokumente und Tool-Plugins

Eigene Analysebefehle werden paketiert, parametrisiert, zeitlich begrenzt, sicher ausgeführt und mit standardisierten Ergebnissen versehen.

Arbeitsschritte

1. Ausgangslage erfassen: Für das Lernfeld „SSM-Dokumente und Tool-Plugins“ werden betroffene Konten, Regionen, Ressourcen, Rollen, Datenquellen und Abhängigkeiten vollständig aufgenommen.
2. Vorgehen planen: Der fachliche Fokus wird in konkrete Eingaben, Prüfkriterien, Berechtigungen, Schutzmaßnahmen, erwartete Ausgaben und Abbruchbedingungen übersetzt.
3. Umsetzung durchführen: Die Konfiguration oder Analyse wird in kontrollierten Trainingsressourcen schrittweise ausgeführt; jede relevante Aktion erhält Fallbezug und UTC-Zeitstempel.
4. Kontrolle vornehmen: Status, Protokolle, Artefakte, Berechtigungen, Integrität, Nebenwirkungen und Fehlerpfade werden gegen die zuvor festgelegten Kriterien geprüft.
5. Dokumentation erstellen: Entscheidungen, Befehle oder Konfigurationswerte, Ergebnisse, Abweichungen, Unsicherheiten und sichere Wiederholungs- beziehungsweise Rückfallverfahren werden festgehalten.

Prüfpunkt: Das Lernfeld gilt als bearbeitet, wenn eigene Analysebefehle werden paketiert, parametrisiert, zeitlich begrenzt, sicher ausgeführt und mit standardisierten Ergebnissen versehen. und die zugehörigen Nachweise durch eine zweite Rolle nachvollzogen werden können.

10. Befund, Qualitätsprüfung und Bericht

Befunde, Unsicherheiten, alternative Erklärungen, Indikatoren, Wiederholungsanweisungen und technische Maßnahmen werden in einem prüfbaren Paket zusammengeführt.

Arbeitsschritte

1. Ausgangslage erfassen: Für das Lernfeld „Befund, Qualitätsprüfung und Bericht“ werden betroffene Konten, Regionen, Ressourcen, Rollen, Datenquellen und Abhängigkeiten vollständig aufgenommen.
2. Vorgehen planen: Der fachliche Fokus wird in konkrete Eingaben, Prüfkriterien, Berechtigungen, Schutzmaßnahmen, erwartete Ausgaben und Abbruchbedingungen übersetzt.
3. Umsetzung durchführen: Die Konfiguration oder Analyse wird in kontrollierten Trainingsressourcen schrittweise ausgeführt; jede relevante Aktion erhält Fallbezug und UTC-Zeitstempel.
4. Kontrolle vornehmen: Status, Protokolle, Artefakte, Berechtigungen, Integrität, Nebenwirkungen und Fehlerpfade werden gegen die zuvor festgelegten Kriterien geprüft.
5. Dokumentation erstellen: Entscheidungen, Befehle oder Konfigurationswerte, Ergebnisse, Abweichungen, Unsicherheiten und sichere Wiederholungs- beziehungsweise Rückfallverfahren werden festgehalten.

Prüfpunkt: Das Lernfeld gilt als bearbeitet, wenn befunde, Unsicherheiten, alternative Erklärungen, Indikatoren, Wiederholungsanweisungen und technische Maßnahmen werden in einem prüfbaren Paket zusammengeführt. und die zugehörigen Nachweise durch eine zweite Rolle nachvollzogen werden können.

Praxislabor

Untersuchung eines mehrstufigen Angriffs auf Linux- und Windows-EC2-Systeme sowie einen EKS-Worker-Node mit vollständiger Beweiskette.

1. Trainingsfall anlegen, Ausgangslage protokollieren und Schutzobjekte sowie Zuständigkeiten festlegen.
2. Ereignis- oder Konfigurationsdaten prüfen, den geeigneten AFO-Pfad auswählen und Freigabepunkte dokumentieren.
3. Technische Schritte in der vorgesehenen Reihenfolge ausführen und alle Zwischenstände mit Fallkennung erfassen.
4. Mindestens einen Fehler- oder Sonderfall einspielen, Ursache eingrenzen und eine sichere Fortsetzung oder Rücknahme durchführen.
5. Artefakte, Logs, Statusdaten und Befunde auf Vollständigkeit, Integrität, Zeitkonsistenz und Zugriffsrechte prüfen.
6. Eine ausführbare Arbeitsanweisung mit Rollen, Prüfpunkten, Eskalationen und Abschlusskriterien erstellen.

Zielgruppe und Voraussetzungen

Zielgruppe: Digitale Forensik, Incident Response, SOC-Analyse, Forensik-Engineering und Cloud Security.

Voraussetzungen: Gute Linux-Kenntnisse, AWS- und EC2-Praxis, Grundkenntnisse in Windows, EKS und digitaler Forensik.

Didaktisches Vorgehen

Fachliche Erläuterungen werden unmittelbar mit Architekturarbeit, Demonstrationen, geführten Übungen, Analyseaufgaben und dokumentierter Fallarbeit verbunden. Jeder technische Schritt wird zunächst geplant, anschließend in einer isolierten Umgebung ausgeführt und danach anhand von Logs, Artefakten und Prüfkriterien bewertet.

Qualitätssicherung

• Vorbedingungen, Rollen und Berechtigungen werden vor jedem Labor geprüft.
• Alle Zeitangaben werden einheitlich in UTC dokumentiert.
• Beweis- und Konfigurationsobjekte erhalten eindeutige Kennungen und einen nachvollziehbaren Bearbeitungsstatus.
• Fehlerfälle werden nicht übersprungen, sondern mit Ursache, Auswirkung, Korrektur und Wiederholungsprüfung erfasst.
• Arbeitsanweisungen werden durch einen zweiten Prüfpfad auf Vollständigkeit und Ausführbarkeit kontrolliert.