Seminar AWS AFO Speicherforensik mit LiME und Volatility 3

Inhaltsübersicht

1. Einordnung und Einsatzkontext
2. Lernziele
3. Seminarinhalte
4. Praxislabor
5. Zielgruppe und Voraussetzungen
6. Didaktisches Vorgehen
7. Qualitätssicherung

Einordnung und Einsatzkontext

Das Seminar behandelt Vorbereitung, sichere Erfassung und systematische Analyse von Arbeitsspeicherabbildern. Linux-Schwerpunkte mit LiME und Volatility 3 werden durch Windows-spezifische Anforderungen ergänzt.

Der fachliche Schwerpunkt liegt auf Erfassung und Analyse flüchtiger Arbeitsspeicherdaten in EC2. Die Inhalte werden an EC2- und EKS-bezogenen Vorfallszenarien, klaren Rollen, nachvollziehbaren Entscheidungen und überprüfbaren technischen Nachweisen ausgerichtet. Drei Tage sind erforderlich, weil Kernel- und Symbolabhängigkeiten, beweisschonende Erfassung, Volatility-Analyse, Hypothesenbildung und ein vollständiger Praxisfall Zeit für Wiederholung und Fehlerbehandlung benötigen.

Lernziele

Nach Abschluss des Seminars können die behandelten Aufgaben strukturiert vorbereitet, durchgeführt, geprüft und dokumentiert werden.

• Anforderungen und Schutzbedarf für Erfassung und Analyse flüchtiger Arbeitsspeicherdaten in EC2 fachlich einordnen;
• Flüchtige Daten und Erfassungsstrategie in einen kontrollierten AFO-Prozess überführen;
• LiME-Voraussetzungen und Kernelbezug mit geeigneten AWS-Diensten und Sicherheitskontrollen umsetzen;
• Kontrollierte Speichererfassung anhand definierter Eingaben, Ausgaben und Prüfkriterien verifizieren;
• Fehler, Abweichungen und Beweislücken bei Volatility-3-Grundworkflow systematisch analysieren;
• Konfigurationen, Befunde, Entscheidungen und Wiederholungsanweisungen nachvollziehbar dokumentieren.

Seminarinhalte

1. Flüchtige Daten und Erfassungsstrategie

Beweisflüchtigkeit, Reihenfolge, Betriebswirkung, Instanzzustand, Isolationszeitpunkt, Speichergröße, Zielablage und Abbruchkriterien werden festgelegt.

Arbeitsschritte

1. Ausgangslage erfassen: Für das Lernfeld „Flüchtige Daten und Erfassungsstrategie“ werden betroffene Konten, Regionen, Ressourcen, Rollen, Datenquellen und Abhängigkeiten vollständig aufgenommen.
2. Vorgehen planen: Der fachliche Fokus wird in konkrete Eingaben, Prüfkriterien, Berechtigungen, Schutzmaßnahmen, erwartete Ausgaben und Abbruchbedingungen übersetzt.
3. Umsetzung durchführen: Die Konfiguration oder Analyse wird in kontrollierten Trainingsressourcen schrittweise ausgeführt; jede relevante Aktion erhält Fallbezug und UTC-Zeitstempel.
4. Kontrolle vornehmen: Status, Protokolle, Artefakte, Berechtigungen, Integrität, Nebenwirkungen und Fehlerpfade werden gegen die zuvor festgelegten Kriterien geprüft.
5. Dokumentation erstellen: Entscheidungen, Befehle oder Konfigurationswerte, Ergebnisse, Abweichungen, Unsicherheiten und sichere Wiederholungs- beziehungsweise Rückfallverfahren werden festgehalten.

Prüfpunkt: Das Lernfeld gilt als bearbeitet, wenn beweisflüchtigkeit, Reihenfolge, Betriebswirkung, Instanzzustand, Isolationszeitpunkt, Speichergröße, Zielablage und Abbruchkriterien werden festgelegt. und die zugehörigen Nachweise durch eine zweite Rolle nachvollzogen werden können.

2. LiME-Voraussetzungen und Kernelbezug

Kernel-Version, Header, Modulkompatibilität, Build-Artefakte, Signierung, Bereitstellung und Risiken beim Laden eines Erfassungsmoduls werden geprüft.

Arbeitsschritte

1. Ausgangslage erfassen: Für das Lernfeld „LiME-Voraussetzungen und Kernelbezug“ werden betroffene Konten, Regionen, Ressourcen, Rollen, Datenquellen und Abhängigkeiten vollständig aufgenommen.
2. Vorgehen planen: Der fachliche Fokus wird in konkrete Eingaben, Prüfkriterien, Berechtigungen, Schutzmaßnahmen, erwartete Ausgaben und Abbruchbedingungen übersetzt.
3. Umsetzung durchführen: Die Konfiguration oder Analyse wird in kontrollierten Trainingsressourcen schrittweise ausgeführt; jede relevante Aktion erhält Fallbezug und UTC-Zeitstempel.
4. Kontrolle vornehmen: Status, Protokolle, Artefakte, Berechtigungen, Integrität, Nebenwirkungen und Fehlerpfade werden gegen die zuvor festgelegten Kriterien geprüft.
5. Dokumentation erstellen: Entscheidungen, Befehle oder Konfigurationswerte, Ergebnisse, Abweichungen, Unsicherheiten und sichere Wiederholungs- beziehungsweise Rückfallverfahren werden festgehalten.

Prüfpunkt: Das Lernfeld gilt als bearbeitet, wenn kernel-Version, Header, Modulkompatibilität, Build-Artefakte, Signierung, Bereitstellung und Risiken beim Laden eines Erfassungsmoduls werden geprüft. und die zugehörigen Nachweise durch eine zweite Rolle nachvollzogen werden können.

3. Kontrollierte Speichererfassung

SSM-Ausführung, Zielpfad, freier Speicher, Segmentierung, Kompression, Übertragung, Hashing, Zeitstempel und Fehlerzustände werden protokolliert.

Arbeitsschritte

1. Ausgangslage erfassen: Für das Lernfeld „Kontrollierte Speichererfassung“ werden betroffene Konten, Regionen, Ressourcen, Rollen, Datenquellen und Abhängigkeiten vollständig aufgenommen.
2. Vorgehen planen: Der fachliche Fokus wird in konkrete Eingaben, Prüfkriterien, Berechtigungen, Schutzmaßnahmen, erwartete Ausgaben und Abbruchbedingungen übersetzt.
3. Umsetzung durchführen: Die Konfiguration oder Analyse wird in kontrollierten Trainingsressourcen schrittweise ausgeführt; jede relevante Aktion erhält Fallbezug und UTC-Zeitstempel.
4. Kontrolle vornehmen: Status, Protokolle, Artefakte, Berechtigungen, Integrität, Nebenwirkungen und Fehlerpfade werden gegen die zuvor festgelegten Kriterien geprüft.
5. Dokumentation erstellen: Entscheidungen, Befehle oder Konfigurationswerte, Ergebnisse, Abweichungen, Unsicherheiten und sichere Wiederholungs- beziehungsweise Rückfallverfahren werden festgehalten.

Prüfpunkt: Das Lernfeld gilt als bearbeitet, wenn sSM-Ausführung, Zielpfad, freier Speicher, Segmentierung, Kompression, Übertragung, Hashing, Zeitstempel und Fehlerzustände werden protokolliert. und die zugehörigen Nachweise durch eine zweite Rolle nachvollzogen werden können.

4. Volatility-3-Grundworkflow

Abbild, Symbole, Betriebssystemerkennung, Plugin-Auswahl, Ausgabeformate, Arbeitsverzeichnis und dokumentierte Befehlsausführung werden vorbereitet.

Arbeitsschritte

1. Ausgangslage erfassen: Für das Lernfeld „Volatility-3-Grundworkflow“ werden betroffene Konten, Regionen, Ressourcen, Rollen, Datenquellen und Abhängigkeiten vollständig aufgenommen.
2. Vorgehen planen: Der fachliche Fokus wird in konkrete Eingaben, Prüfkriterien, Berechtigungen, Schutzmaßnahmen, erwartete Ausgaben und Abbruchbedingungen übersetzt.
3. Umsetzung durchführen: Die Konfiguration oder Analyse wird in kontrollierten Trainingsressourcen schrittweise ausgeführt; jede relevante Aktion erhält Fallbezug und UTC-Zeitstempel.
4. Kontrolle vornehmen: Status, Protokolle, Artefakte, Berechtigungen, Integrität, Nebenwirkungen und Fehlerpfade werden gegen die zuvor festgelegten Kriterien geprüft.
5. Dokumentation erstellen: Entscheidungen, Befehle oder Konfigurationswerte, Ergebnisse, Abweichungen, Unsicherheiten und sichere Wiederholungs- beziehungsweise Rückfallverfahren werden festgehalten.

Prüfpunkt: Das Lernfeld gilt als bearbeitet, wenn abbild, Symbole, Betriebssystemerkennung, Plugin-Auswahl, Ausgabeformate, Arbeitsverzeichnis und dokumentierte Befehlsausführung werden vorbereitet. und die zugehörigen Nachweise durch eine zweite Rolle nachvollzogen werden können.

5. Prozess- und Codeanalyse

Prozesslisten, Eltern-Kind-Beziehungen, Kommandozeilen, Bibliotheken, Kernelmodule, versteckte Objekte und verdächtige Speicherbereiche werden untersucht.

Arbeitsschritte

1. Ausgangslage erfassen: Für das Lernfeld „Prozess- und Codeanalyse“ werden betroffene Konten, Regionen, Ressourcen, Rollen, Datenquellen und Abhängigkeiten vollständig aufgenommen.
2. Vorgehen planen: Der fachliche Fokus wird in konkrete Eingaben, Prüfkriterien, Berechtigungen, Schutzmaßnahmen, erwartete Ausgaben und Abbruchbedingungen übersetzt.
3. Umsetzung durchführen: Die Konfiguration oder Analyse wird in kontrollierten Trainingsressourcen schrittweise ausgeführt; jede relevante Aktion erhält Fallbezug und UTC-Zeitstempel.
4. Kontrolle vornehmen: Status, Protokolle, Artefakte, Berechtigungen, Integrität, Nebenwirkungen und Fehlerpfade werden gegen die zuvor festgelegten Kriterien geprüft.
5. Dokumentation erstellen: Entscheidungen, Befehle oder Konfigurationswerte, Ergebnisse, Abweichungen, Unsicherheiten und sichere Wiederholungs- beziehungsweise Rückfallverfahren werden festgehalten.

Prüfpunkt: Das Lernfeld gilt als bearbeitet, wenn prozesslisten, Eltern-Kind-Beziehungen, Kommandozeilen, Bibliotheken, Kernelmodule, versteckte Objekte und verdächtige Speicherbereiche werden untersucht. und die zugehörigen Nachweise durch eine zweite Rolle nachvollzogen werden können.

6. Netzwerk-, Benutzer- und Dateihinweise

Sockets, Verbindungen, DNS-Bezüge, Benutzerkontext, offene Dateien, Mounts, Shell-Aktivität und zeitliche Beziehungen werden korreliert.

Arbeitsschritte

1. Ausgangslage erfassen: Für das Lernfeld „Netzwerk-, Benutzer- und Dateihinweise“ werden betroffene Konten, Regionen, Ressourcen, Rollen, Datenquellen und Abhängigkeiten vollständig aufgenommen.
2. Vorgehen planen: Der fachliche Fokus wird in konkrete Eingaben, Prüfkriterien, Berechtigungen, Schutzmaßnahmen, erwartete Ausgaben und Abbruchbedingungen übersetzt.
3. Umsetzung durchführen: Die Konfiguration oder Analyse wird in kontrollierten Trainingsressourcen schrittweise ausgeführt; jede relevante Aktion erhält Fallbezug und UTC-Zeitstempel.
4. Kontrolle vornehmen: Status, Protokolle, Artefakte, Berechtigungen, Integrität, Nebenwirkungen und Fehlerpfade werden gegen die zuvor festgelegten Kriterien geprüft.
5. Dokumentation erstellen: Entscheidungen, Befehle oder Konfigurationswerte, Ergebnisse, Abweichungen, Unsicherheiten und sichere Wiederholungs- beziehungsweise Rückfallverfahren werden festgehalten.

Prüfpunkt: Das Lernfeld gilt als bearbeitet, wenn sockets, Verbindungen, DNS-Bezüge, Benutzerkontext, offene Dateien, Mounts, Shell-Aktivität und zeitliche Beziehungen werden korreliert. und die zugehörigen Nachweise durch eine zweite Rolle nachvollzogen werden können.

7. Windows-spezifische Analysepfade

Erfassungswerkzeug, Symbole, Prozesse, DLLs, Handles, Registry-Hinweise, Netzwerkobjekte und unterschiedliche Qualitätsrisiken werden eingeordnet.

Arbeitsschritte

1. Ausgangslage erfassen: Für das Lernfeld „Windows-spezifische Analysepfade“ werden betroffene Konten, Regionen, Ressourcen, Rollen, Datenquellen und Abhängigkeiten vollständig aufgenommen.
2. Vorgehen planen: Der fachliche Fokus wird in konkrete Eingaben, Prüfkriterien, Berechtigungen, Schutzmaßnahmen, erwartete Ausgaben und Abbruchbedingungen übersetzt.
3. Umsetzung durchführen: Die Konfiguration oder Analyse wird in kontrollierten Trainingsressourcen schrittweise ausgeführt; jede relevante Aktion erhält Fallbezug und UTC-Zeitstempel.
4. Kontrolle vornehmen: Status, Protokolle, Artefakte, Berechtigungen, Integrität, Nebenwirkungen und Fehlerpfade werden gegen die zuvor festgelegten Kriterien geprüft.
5. Dokumentation erstellen: Entscheidungen, Befehle oder Konfigurationswerte, Ergebnisse, Abweichungen, Unsicherheiten und sichere Wiederholungs- beziehungsweise Rückfallverfahren werden festgehalten.

Prüfpunkt: Das Lernfeld gilt als bearbeitet, wenn erfassungswerkzeug, Symbole, Prozesse, DLLs, Handles, Registry-Hinweise, Netzwerkobjekte und unterschiedliche Qualitätsrisiken werden eingeordnet. und die zugehörigen Nachweise durch eine zweite Rolle nachvollzogen werden können.

8. Hypothesen, Befunde und Gegenprüfung

Beobachtungen werden zu überprüfbaren Hypothesen, mit Datenträger- und Cloud-Artefakten gegengeprüft und mit Unsicherheiten dokumentiert.

Arbeitsschritte

1. Ausgangslage erfassen: Für das Lernfeld „Hypothesen, Befunde und Gegenprüfung“ werden betroffene Konten, Regionen, Ressourcen, Rollen, Datenquellen und Abhängigkeiten vollständig aufgenommen.
2. Vorgehen planen: Der fachliche Fokus wird in konkrete Eingaben, Prüfkriterien, Berechtigungen, Schutzmaßnahmen, erwartete Ausgaben und Abbruchbedingungen übersetzt.
3. Umsetzung durchführen: Die Konfiguration oder Analyse wird in kontrollierten Trainingsressourcen schrittweise ausgeführt; jede relevante Aktion erhält Fallbezug und UTC-Zeitstempel.
4. Kontrolle vornehmen: Status, Protokolle, Artefakte, Berechtigungen, Integrität, Nebenwirkungen und Fehlerpfade werden gegen die zuvor festgelegten Kriterien geprüft.
5. Dokumentation erstellen: Entscheidungen, Befehle oder Konfigurationswerte, Ergebnisse, Abweichungen, Unsicherheiten und sichere Wiederholungs- beziehungsweise Rückfallverfahren werden festgehalten.

Prüfpunkt: Das Lernfeld gilt als bearbeitet, wenn beobachtungen werden zu überprüfbaren Hypothesen, mit Datenträger- und Cloud-Artefakten gegengeprüft und mit Unsicherheiten dokumentiert. und die zugehörigen Nachweise durch eine zweite Rolle nachvollzogen werden können.

Praxislabor

Erfassung und Analyse des Arbeitsspeichers einer kompromittierten Linux-EC2-Instanz mit Prozess-, Netzwerk- und Persistenzbefunden.

1. Trainingsfall anlegen, Ausgangslage protokollieren und Schutzobjekte sowie Zuständigkeiten festlegen.
2. Ereignis- oder Konfigurationsdaten prüfen, den geeigneten AFO-Pfad auswählen und Freigabepunkte dokumentieren.
3. Technische Schritte in der vorgesehenen Reihenfolge ausführen und alle Zwischenstände mit Fallkennung erfassen.
4. Mindestens einen Fehler- oder Sonderfall einspielen, Ursache eingrenzen und eine sichere Fortsetzung oder Rücknahme durchführen.
5. Artefakte, Logs, Statusdaten und Befunde auf Vollständigkeit, Integrität, Zeitkonsistenz und Zugriffsrechte prüfen.
6. Eine ausführbare Arbeitsanweisung mit Rollen, Prüfpunkten, Eskalationen und Abschlusskriterien erstellen.

Zielgruppe und Voraussetzungen

Zielgruppe: Digitale Forensik, Incident Response, SOC-Analyse, Malware-Analyse und Cloud Security.

Voraussetzungen: Gute Linux-Kenntnisse, EC2- und SSM-Grundlagen, Prozess- und Netzwerkverständnis sowie Basiswissen digitaler Forensik.

Didaktisches Vorgehen

Fachliche Erläuterungen werden unmittelbar mit Architekturarbeit, Demonstrationen, geführten Übungen, Analyseaufgaben und dokumentierter Fallarbeit verbunden. Jeder technische Schritt wird zunächst geplant, anschließend in einer isolierten Umgebung ausgeführt und danach anhand von Logs, Artefakten und Prüfkriterien bewertet.

Qualitätssicherung

• Vorbedingungen, Rollen und Berechtigungen werden vor jedem Labor geprüft.
• Alle Zeitangaben werden einheitlich in UTC dokumentiert.
• Beweis- und Konfigurationsobjekte erhalten eindeutige Kennungen und einen nachvollziehbaren Bearbeitungsstatus.
• Fehlerfälle werden nicht übersprungen, sondern mit Ursache, Auswirkung, Korrektur und Wiederholungsprüfung erfasst.
• Arbeitsanweisungen werden durch einen zweiten Prüfpfad auf Vollständigkeit und Ausführbarkeit kontrolliert.