Seminar AWS AFO Windows- und Linux-Forensik in EC2

Inhaltsübersicht

1. Einordnung und Einsatzkontext
2. Lernziele
3. Seminarinhalte
4. Praxislabor
5. Zielgruppe und Voraussetzungen
6. Didaktisches Vorgehen
7. Qualitätssicherung

Einordnung und Einsatzkontext

Das Seminar vergleicht und verbindet forensische Verfahren für Windows- und Linux-EC2-Systeme. Speicher, Datenträger, Protokolle, Persistenz, Benutzeraktivität und Cloud-Kontext werden methodisch ausgewertet.

Der fachliche Schwerpunkt liegt auf betriebssystemspezifische Erfassung und Analyse von EC2-Instanzen. Die Inhalte werden an EC2- und EKS-bezogenen Vorfallszenarien, klaren Rollen, nachvollziehbaren Entscheidungen und überprüfbaren technischen Nachweisen ausgerichtet. Drei Tage sind erforderlich, weil gemeinsame Prinzipien und unterschiedliche Artefakte beider Plattformen praktisch untersucht, anschließend in einer gemeinsamen Timeline korreliert werden.

Lernziele

Nach Abschluss des Seminars können die behandelten Aufgaben strukturiert vorbereitet, durchgeführt, geprüft und dokumentiert werden.

• Anforderungen und Schutzbedarf für betriebssystemspezifische Erfassung und Analyse von EC2-Instanzen fachlich einordnen;
• Plattformvergleich und Erfassungsplanung in einen kontrollierten AFO-Prozess überführen;
• Linux-Arbeitsspeicher und Laufzeitartefakte mit geeigneten AWS-Diensten und Sicherheitskontrollen umsetzen;
• Linux-Datenträgerartefakte anhand definierter Eingaben, Ausgaben und Prüfkriterien verifizieren;
• Fehler, Abweichungen und Beweislücken bei Windows-Arbeitsspeicher und Laufzeitartefakte systematisch analysieren;
• Konfigurationen, Befunde, Entscheidungen und Wiederholungsanweisungen nachvollziehbar dokumentieren.

Seminarinhalte

1. Plattformvergleich und Erfassungsplanung

Boot- und Speicherarchitektur, Dateisysteme, Logging, Zeitzonen, Verschlüsselung, SSM-Verwaltung, Erfassungswerkzeuge und Betriebswirkung werden verglichen.

Arbeitsschritte

1. Ausgangslage erfassen: Für das Lernfeld „Plattformvergleich und Erfassungsplanung“ werden betroffene Konten, Regionen, Ressourcen, Rollen, Datenquellen und Abhängigkeiten vollständig aufgenommen.
2. Vorgehen planen: Der fachliche Fokus wird in konkrete Eingaben, Prüfkriterien, Berechtigungen, Schutzmaßnahmen, erwartete Ausgaben und Abbruchbedingungen übersetzt.
3. Umsetzung durchführen: Die Konfiguration oder Analyse wird in kontrollierten Trainingsressourcen schrittweise ausgeführt; jede relevante Aktion erhält Fallbezug und UTC-Zeitstempel.
4. Kontrolle vornehmen: Status, Protokolle, Artefakte, Berechtigungen, Integrität, Nebenwirkungen und Fehlerpfade werden gegen die zuvor festgelegten Kriterien geprüft.
5. Dokumentation erstellen: Entscheidungen, Befehle oder Konfigurationswerte, Ergebnisse, Abweichungen, Unsicherheiten und sichere Wiederholungs- beziehungsweise Rückfallverfahren werden festgehalten.

Prüfpunkt: Das Lernfeld gilt als bearbeitet, wenn boot- und Speicherarchitektur, Dateisysteme, Logging, Zeitzonen, Verschlüsselung, SSM-Verwaltung, Erfassungswerkzeuge und Betriebswirkung werden verglichen. und die zugehörigen Nachweise durch eine zweite Rolle nachvollzogen werden können.

2. Linux-Arbeitsspeicher und Laufzeitartefakte

LiME-Voraussetzungen, Prozesse, Module, Netzwerk, offene Dateien, Shell-Aktivität, Benutzerkontext und flüchtige Persistenzhinweise werden untersucht.

Arbeitsschritte

1. Ausgangslage erfassen: Für das Lernfeld „Linux-Arbeitsspeicher und Laufzeitartefakte“ werden betroffene Konten, Regionen, Ressourcen, Rollen, Datenquellen und Abhängigkeiten vollständig aufgenommen.
2. Vorgehen planen: Der fachliche Fokus wird in konkrete Eingaben, Prüfkriterien, Berechtigungen, Schutzmaßnahmen, erwartete Ausgaben und Abbruchbedingungen übersetzt.
3. Umsetzung durchführen: Die Konfiguration oder Analyse wird in kontrollierten Trainingsressourcen schrittweise ausgeführt; jede relevante Aktion erhält Fallbezug und UTC-Zeitstempel.
4. Kontrolle vornehmen: Status, Protokolle, Artefakte, Berechtigungen, Integrität, Nebenwirkungen und Fehlerpfade werden gegen die zuvor festgelegten Kriterien geprüft.
5. Dokumentation erstellen: Entscheidungen, Befehle oder Konfigurationswerte, Ergebnisse, Abweichungen, Unsicherheiten und sichere Wiederholungs- beziehungsweise Rückfallverfahren werden festgehalten.

Prüfpunkt: Das Lernfeld gilt als bearbeitet, wenn liME-Voraussetzungen, Prozesse, Module, Netzwerk, offene Dateien, Shell-Aktivität, Benutzerkontext und flüchtige Persistenzhinweise werden untersucht. und die zugehörigen Nachweise durch eine zweite Rolle nachvollzogen werden können.

3. Linux-Datenträgerartefakte

Authentisierungslogs, systemd, Cron, SSH, Paketverwaltung, Shell-Historien, temporäre Dateien, Containerhinweise und Dateisystemzeiten werden analysiert.

Arbeitsschritte

1. Ausgangslage erfassen: Für das Lernfeld „Linux-Datenträgerartefakte“ werden betroffene Konten, Regionen, Ressourcen, Rollen, Datenquellen und Abhängigkeiten vollständig aufgenommen.
2. Vorgehen planen: Der fachliche Fokus wird in konkrete Eingaben, Prüfkriterien, Berechtigungen, Schutzmaßnahmen, erwartete Ausgaben und Abbruchbedingungen übersetzt.
3. Umsetzung durchführen: Die Konfiguration oder Analyse wird in kontrollierten Trainingsressourcen schrittweise ausgeführt; jede relevante Aktion erhält Fallbezug und UTC-Zeitstempel.
4. Kontrolle vornehmen: Status, Protokolle, Artefakte, Berechtigungen, Integrität, Nebenwirkungen und Fehlerpfade werden gegen die zuvor festgelegten Kriterien geprüft.
5. Dokumentation erstellen: Entscheidungen, Befehle oder Konfigurationswerte, Ergebnisse, Abweichungen, Unsicherheiten und sichere Wiederholungs- beziehungsweise Rückfallverfahren werden festgehalten.

Prüfpunkt: Das Lernfeld gilt als bearbeitet, wenn authentisierungslogs, systemd, Cron, SSH, Paketverwaltung, Shell-Historien, temporäre Dateien, Containerhinweise und Dateisystemzeiten werden analysiert. und die zugehörigen Nachweise durch eine zweite Rolle nachvollzogen werden können.

4. Windows-Arbeitsspeicher und Laufzeitartefakte

Erfassungsverfahren, Prozesse, DLLs, Handles, Netzwerkobjekte, Benutzer-Sessions, injizierter Code und verdächtige Dienste werden ausgewertet.

Arbeitsschritte

1. Ausgangslage erfassen: Für das Lernfeld „Windows-Arbeitsspeicher und Laufzeitartefakte“ werden betroffene Konten, Regionen, Ressourcen, Rollen, Datenquellen und Abhängigkeiten vollständig aufgenommen.
2. Vorgehen planen: Der fachliche Fokus wird in konkrete Eingaben, Prüfkriterien, Berechtigungen, Schutzmaßnahmen, erwartete Ausgaben und Abbruchbedingungen übersetzt.
3. Umsetzung durchführen: Die Konfiguration oder Analyse wird in kontrollierten Trainingsressourcen schrittweise ausgeführt; jede relevante Aktion erhält Fallbezug und UTC-Zeitstempel.
4. Kontrolle vornehmen: Status, Protokolle, Artefakte, Berechtigungen, Integrität, Nebenwirkungen und Fehlerpfade werden gegen die zuvor festgelegten Kriterien geprüft.
5. Dokumentation erstellen: Entscheidungen, Befehle oder Konfigurationswerte, Ergebnisse, Abweichungen, Unsicherheiten und sichere Wiederholungs- beziehungsweise Rückfallverfahren werden festgehalten.

Prüfpunkt: Das Lernfeld gilt als bearbeitet, wenn erfassungsverfahren, Prozesse, DLLs, Handles, Netzwerkobjekte, Benutzer-Sessions, injizierter Code und verdächtige Dienste werden ausgewertet. und die zugehörigen Nachweise durch eine zweite Rolle nachvollzogen werden können.

5. Windows-Datenträgerartefakte

Registry, Event Logs, Prefetch, Amcache, LNK, Jump Lists, Scheduled Tasks, PowerShell und NTFS-Zeitinformationen werden korreliert.

Arbeitsschritte

1. Ausgangslage erfassen: Für das Lernfeld „Windows-Datenträgerartefakte“ werden betroffene Konten, Regionen, Ressourcen, Rollen, Datenquellen und Abhängigkeiten vollständig aufgenommen.
2. Vorgehen planen: Der fachliche Fokus wird in konkrete Eingaben, Prüfkriterien, Berechtigungen, Schutzmaßnahmen, erwartete Ausgaben und Abbruchbedingungen übersetzt.
3. Umsetzung durchführen: Die Konfiguration oder Analyse wird in kontrollierten Trainingsressourcen schrittweise ausgeführt; jede relevante Aktion erhält Fallbezug und UTC-Zeitstempel.
4. Kontrolle vornehmen: Status, Protokolle, Artefakte, Berechtigungen, Integrität, Nebenwirkungen und Fehlerpfade werden gegen die zuvor festgelegten Kriterien geprüft.
5. Dokumentation erstellen: Entscheidungen, Befehle oder Konfigurationswerte, Ergebnisse, Abweichungen, Unsicherheiten und sichere Wiederholungs- beziehungsweise Rückfallverfahren werden festgehalten.

Prüfpunkt: Das Lernfeld gilt als bearbeitet, wenn registry, Event Logs, Prefetch, Amcache, LNK, Jump Lists, Scheduled Tasks, PowerShell und NTFS-Zeitinformationen werden korreliert. und die zugehörigen Nachweise durch eine zweite Rolle nachvollzogen werden können.

6. Cloud- und Identitätskontext

Instance Profile, SSM-Aktionen, CloudTrail, Netzwerkflussdaten, Security Findings, Snapshots und Ressourcenänderungen werden mit Hostbefunden verbunden.

Arbeitsschritte

1. Ausgangslage erfassen: Für das Lernfeld „Cloud- und Identitätskontext“ werden betroffene Konten, Regionen, Ressourcen, Rollen, Datenquellen und Abhängigkeiten vollständig aufgenommen.
2. Vorgehen planen: Der fachliche Fokus wird in konkrete Eingaben, Prüfkriterien, Berechtigungen, Schutzmaßnahmen, erwartete Ausgaben und Abbruchbedingungen übersetzt.
3. Umsetzung durchführen: Die Konfiguration oder Analyse wird in kontrollierten Trainingsressourcen schrittweise ausgeführt; jede relevante Aktion erhält Fallbezug und UTC-Zeitstempel.
4. Kontrolle vornehmen: Status, Protokolle, Artefakte, Berechtigungen, Integrität, Nebenwirkungen und Fehlerpfade werden gegen die zuvor festgelegten Kriterien geprüft.
5. Dokumentation erstellen: Entscheidungen, Befehle oder Konfigurationswerte, Ergebnisse, Abweichungen, Unsicherheiten und sichere Wiederholungs- beziehungsweise Rückfallverfahren werden festgehalten.

Prüfpunkt: Das Lernfeld gilt als bearbeitet, wenn instance Profile, SSM-Aktionen, CloudTrail, Netzwerkflussdaten, Security Findings, Snapshots und Ressourcenänderungen werden mit Hostbefunden verbunden. und die zugehörigen Nachweise durch eine zweite Rolle nachvollzogen werden können.

7. Gemeinsame Timeline und Angriffspfad

Plattformzeitlinien, Zeitabweichungen, identische Indikatoren, Benutzer- und Netzwerkbezüge sowie Seitwärtsbewegung werden zu einem Gesamtbild zusammengeführt.

Arbeitsschritte

1. Ausgangslage erfassen: Für das Lernfeld „Gemeinsame Timeline und Angriffspfad“ werden betroffene Konten, Regionen, Ressourcen, Rollen, Datenquellen und Abhängigkeiten vollständig aufgenommen.
2. Vorgehen planen: Der fachliche Fokus wird in konkrete Eingaben, Prüfkriterien, Berechtigungen, Schutzmaßnahmen, erwartete Ausgaben und Abbruchbedingungen übersetzt.
3. Umsetzung durchführen: Die Konfiguration oder Analyse wird in kontrollierten Trainingsressourcen schrittweise ausgeführt; jede relevante Aktion erhält Fallbezug und UTC-Zeitstempel.
4. Kontrolle vornehmen: Status, Protokolle, Artefakte, Berechtigungen, Integrität, Nebenwirkungen und Fehlerpfade werden gegen die zuvor festgelegten Kriterien geprüft.
5. Dokumentation erstellen: Entscheidungen, Befehle oder Konfigurationswerte, Ergebnisse, Abweichungen, Unsicherheiten und sichere Wiederholungs- beziehungsweise Rückfallverfahren werden festgehalten.

Prüfpunkt: Das Lernfeld gilt als bearbeitet, wenn plattformzeitlinien, Zeitabweichungen, identische Indikatoren, Benutzer- und Netzwerkbezüge sowie Seitwärtsbewegung werden zu einem Gesamtbild zusammengeführt. und die zugehörigen Nachweise durch eine zweite Rolle nachvollzogen werden können.

8. Befundqualität und Wiederherstellung

Confidence, Gegenproben, fehlende Daten, Bereinigungsgrenzen, Neuaufbau, Credential Rotation und Überwachung nach Wiederinbetriebnahme werden festgelegt.

Arbeitsschritte

1. Ausgangslage erfassen: Für das Lernfeld „Befundqualität und Wiederherstellung“ werden betroffene Konten, Regionen, Ressourcen, Rollen, Datenquellen und Abhängigkeiten vollständig aufgenommen.
2. Vorgehen planen: Der fachliche Fokus wird in konkrete Eingaben, Prüfkriterien, Berechtigungen, Schutzmaßnahmen, erwartete Ausgaben und Abbruchbedingungen übersetzt.
3. Umsetzung durchführen: Die Konfiguration oder Analyse wird in kontrollierten Trainingsressourcen schrittweise ausgeführt; jede relevante Aktion erhält Fallbezug und UTC-Zeitstempel.
4. Kontrolle vornehmen: Status, Protokolle, Artefakte, Berechtigungen, Integrität, Nebenwirkungen und Fehlerpfade werden gegen die zuvor festgelegten Kriterien geprüft.
5. Dokumentation erstellen: Entscheidungen, Befehle oder Konfigurationswerte, Ergebnisse, Abweichungen, Unsicherheiten und sichere Wiederholungs- beziehungsweise Rückfallverfahren werden festgehalten.

Prüfpunkt: Das Lernfeld gilt als bearbeitet, wenn confidence, Gegenproben, fehlende Daten, Bereinigungsgrenzen, Neuaufbau, Credential Rotation und Überwachung nach Wiederinbetriebnahme werden festgelegt. und die zugehörigen Nachweise durch eine zweite Rolle nachvollzogen werden können.

Praxislabor

Vergleichende Untersuchung zweier kompromittierter EC2-Systeme mit gemeinsamem Zugangsdiebstahl und unterschiedlichen Persistenzmechanismen.

1. Trainingsfall anlegen, Ausgangslage protokollieren und Schutzobjekte sowie Zuständigkeiten festlegen.
2. Ereignis- oder Konfigurationsdaten prüfen, den geeigneten AFO-Pfad auswählen und Freigabepunkte dokumentieren.
3. Technische Schritte in der vorgesehenen Reihenfolge ausführen und alle Zwischenstände mit Fallkennung erfassen.
4. Mindestens einen Fehler- oder Sonderfall einspielen, Ursache eingrenzen und eine sichere Fortsetzung oder Rücknahme durchführen.
5. Artefakte, Logs, Statusdaten und Befunde auf Vollständigkeit, Integrität, Zeitkonsistenz und Zugriffsrechte prüfen.
6. Eine ausführbare Arbeitsanweisung mit Rollen, Prüfpunkten, Eskalationen und Abschlusskriterien erstellen.

Zielgruppe und Voraussetzungen

Zielgruppe: Digitale Forensik, Incident Response, SOC-Analyse, Windows- und Linux-Administration sowie Cloud Security.

Voraussetzungen: Gute Administrationskenntnisse in mindestens einem der beiden Betriebssysteme, EC2- und EBS-Grundlagen sowie forensisches Basiswissen.

Didaktisches Vorgehen

Fachliche Erläuterungen werden unmittelbar mit Architekturarbeit, Demonstrationen, geführten Übungen, Analyseaufgaben und dokumentierter Fallarbeit verbunden. Jeder technische Schritt wird zunächst geplant, anschließend in einer isolierten Umgebung ausgeführt und danach anhand von Logs, Artefakten und Prüfkriterien bewertet.

Qualitätssicherung

• Vorbedingungen, Rollen und Berechtigungen werden vor jedem Labor geprüft.
• Alle Zeitangaben werden einheitlich in UTC dokumentiert.
• Beweis- und Konfigurationsobjekte erhalten eindeutige Kennungen und einen nachvollziehbaren Bearbeitungsstatus.
• Fehlerfälle werden nicht übersprungen, sondern mit Ursache, Auswirkung, Korrektur und Wiederholungsprüfung erfasst.
• Arbeitsanweisungen werden durch einen zweiten Prüfpfad auf Vollständigkeit und Ausführbarkeit kontrolliert.