Seminar Fox-IT Acquire – Deployment und portable Collector-Builds

Ein Collector muss schnell verfügbar, technisch reproduzierbar und hinsichtlich seiner Veränderungen am Zielsystem bewertbar sein. Das Seminar verbindet Build-Technik, Einsatzvorbereitung und Betriebsprozesse zu einem kontrollierten Deploymentmodell.

Inhaltsverzeichnis

1. Einordnung und Lernziele
2. Zielgruppe
3. Vorausgesetzte Kenntnisse
4. Seminarinhalte
5. Tag 1: Installationsmodelle und kontrollierte Build-Umgebung
6. Tag 2: PyInstaller und PyOxidizer
7. Tag 3: Verteilung, Einsatz und Lifecycle
8. Praxisübungen
9. Arbeitsweise und Unterlagen

Einordnung und Lernziele

Das Seminar ist auf praktische Anwendung, nachvollziehbare Entscheidungen und technisch prüfbare Erfassungsergebnisse ausgerichtet.

• Installations- und Buildvarianten nach Einsatzszenario auswählen.
• Portable Collector-Builds mit vollständiger Pluginliste erzeugen und prüfen.
• Forensische Seiteneffekte verschiedener Paketierungsverfahren bewerten.
• Verteilung, Integritätskontrolle, Update und Rollback organisatorisch absichern.

Zielgruppe

Incident-Response-Engineers, DFIR-Plattformteams, Softwarepaketierer, Security-Administratoren und Laborverantwortliche.

Vorausgesetzte Kenntnisse

Acquire-Grundkenntnisse, sichere Kommandozeilenbedienung sowie Basiswissen zu Python-Paketen und Windows- beziehungsweise Linux-Administration.

Seminarinhalte

Die Inhalte werden in aufeinander aufbauenden Schritten vermittelt. Jeder Themenblock endet mit einer technischen Kontrolle des erzeugten Ergebnisses.

Tag 1: Installationsmodelle und kontrollierte Build-Umgebung

Der Seminartag verbindet konzeptionelle Einordnung, geführte Demonstration und eigenständige Laborarbeit.

Modul 1: Einsatzanforderungen und Plattformmatrix

1. Schritt 1: Zielbetriebssysteme, Prozessorarchitektur, Berechtigungen und Netzwerkbedingungen werden inventarisiert.
2. Schritt 2: Online-, Offline- und vollständig portable Bereitstellung werden gegeneinander abgegrenzt.
3. Schritt 3: Benötigte Acquire-Module und optionale Abhängigkeiten werden festgelegt.
4. Schritt 4: Für jede Plattform wird ein reproduzierbarer Build- und Testpfad definiert.

Modul 2: Isolierte Python-Installation

1. Schritt 1: Eine getrennte Umgebung wird mit festgelegter Python- und Paketversion aufgebaut.
2. Schritt 2: Acquire und benötigte Dissect-Komponenten werden installiert und mit einem Testtarget geprüft.
3. Schritt 3: Paketstände und Prüfsummen werden in einem Buildmanifest erfasst.
4. Schritt 4: Abhängigkeiten werden für eine Offline-Installation vorbereitet.

Modul 3: Pluginliste und Buildvorbereitung

1. Schritt 1: Die Dissect-Pluginliste wird vor der Paketierung vollständig erzeugt.
2. Schritt 2: Nicht benötigte Entwicklungsdateien werden von Laufzeitbestandteilen getrennt.
3. Schritt 3: Standardkonfiguration, Logging und Ausgabeziele werden nicht hart mit Falldaten verknüpft.
4. Schritt 4: Ein minimaler Funktionstest wird als fester Bestandteil des Buildprozesses angelegt.

Tag 2: PyInstaller und PyOxidizer

Der Seminartag verbindet konzeptionelle Einordnung, geführte Demonstration und eigenständige Laborarbeit.

Modul 4: PyInstaller-Build

1. Schritt 1: Hidden Imports und Dissect-Unterpakete werden vollständig in den Build aufgenommen.
2. Schritt 2: Ein Ein-Datei-Build und ein Mehrdatei-Build werden erstellt und funktional verglichen.
3. Schritt 3: Temporäre Dateiextraktion und mögliche Änderungen am Zielsystem werden im Einsatzkonzept berücksichtigt.
4. Schritt 4: Start, Profilauswahl, Bericht und Containererzeugung werden auf einem sauberen Testsystem geprüft.

Modul 5: PyOxidizer-Build

1. Schritt 1: Eine Grundkonfiguration wird erzeugt und auf den Start des Acquire-Moduls ausgerichtet.
2. Schritt 2: Ressourcenablage und benötigte Pakete werden für den Laufzeitkontext konfiguriert.
3. Schritt 3: Der speicherorientierte Ausführungsansatz wird hinsichtlich Footprint und Dateisystemartefakten bewertet.
4. Schritt 4: Buildgröße, Startzeit und Modulfunktion werden mit der PyInstaller-Variante verglichen.

Modul 6: Integrität und Vertrauensstellung

1. Schritt 1: Jeder Build erhält eine eindeutige Versions- und Buildkennung.
2. Schritt 2: Hashwerte werden außerhalb des Verteilungspakets dokumentiert.
3. Schritt 3: Malware-Schutz, Applikationskontrolle und Signaturanforderungen werden vor dem Einsatz getestet.
4. Schritt 4: Abweichende oder unbekannte Builds werden im Einsatzprozess blockiert.

Tag 3: Verteilung, Einsatz und Lifecycle

Der Seminartag verbindet konzeptionelle Einordnung, geführte Demonstration und eigenständige Laborarbeit.

Modul 7: Sichere Distribution

1. Schritt 1: Collector, Konfiguration und Schlüsselmaterial werden als getrennte Objekte behandelt.
2. Schritt 2: Übertragungswege werden nach Vertraulichkeit, Integrität und Rückkanal bewertet.
3. Schritt 3: Vor Ort erfolgt eine Hashprüfung vor dem ersten Start.
4. Schritt 4: Die eingesetzte Buildkennung wird dem konkreten Target und Fall zugeordnet.

Modul 8: Testmatrix und Abnahmekriterien

1. Schritt 1: Windows-, Linux-, macOS- und Hypervisor-Testfälle werden mit repräsentativen Artefakten vorbereitet.
2. Schritt 2: Profile, explizite Module, volatile Sammlung, Verschlüsselung und große Dateien werden geprüft.
3. Schritt 3: Laufzeit, Datenmenge, Fehlermeldungen und zurückgelassene Dateien werden gemessen.
4. Schritt 4: Ein Build wird nur bei erfüllten Musskriterien für den Einsatz freigegeben.

Modul 9: Update und Rollback

1. Schritt 1: Neue Acquire-Stände werden gegen bestehende Profile und Automatisierungen getestet.
2. Schritt 2: Änderungen an Modulen, CLI-Optionen und Abhängigkeiten werden in einer Migrationsliste erfasst.
3. Schritt 3: Alte und neue Builds bleiben für eine definierte Übergangszeit eindeutig unterscheidbar.
4. Schritt 4: Bei Regressionen wird auf einen geprüften Vorgängerstand zurückgerollt und der Einsatz dokumentiert.

Praxisübungen

• Aufbau eines reproduzierbaren Offline-Installationspakets.
• Erstellung und Vergleich eines PyInstaller- und PyOxidizer-Collectors.
• Messung des Collector-Footprints auf einem Testsystem.
• Ausarbeitung einer Plattform-Testmatrix mit Freigabe- und Rollbackkriterien.

Arbeitsweise und Unterlagen

Vortrag, Live-Demonstrationen, angeleitete Schrittfolgen, eigenständige Übungen, Fehlerdiagnose und fallbezogene Checklisten werden kombiniert. Alle Übungen arbeiten mit klar getrennten Testtargets, Ausgabeverzeichnissen und Prüfprotokollen.