Seminar Dissect – Artefaktabfragen mit target-query

Dieses Seminar vertieft das zentrale Abfragewerkzeug des Frameworks. Behandelt werden Loader-Auswahl, Plugin-Ermittlung, Funktionsmuster, Multi-Target-Abfragen, Ausgabearten, Caching und reproduzierbare Abfragesätze für forensische Untersuchungen.

Inhaltsverzeichnis

1. Targets, Loader und automatische Erkennung
2. Plugin-Inventar und Kompatibilität
3. Präzise Artefaktabfragen
4. Ausgabearten und Weiterverarbeitung
5. Multi-Target-Abfragen und Inventarisierung
6. Eigene Plugins, Caching und Betriebsparameter

Lernziele

• Targets und Loader für unterschiedliche Beweismittelformate korrekt auswählen
• Kompatible Plugins, Namespaces und Funktionsparameter systematisch ermitteln
• Einzelne und kombinierte Artefaktabfragen reproduzierbar ausführen
• Record-, Text- und Zeilenausgaben passend zum weiteren Analyseweg einsetzen
• Mehrere Targets effizient inventarisieren, filtern und vergleichen

Seminarinhalte

1. Targets, Loader und automatische Erkennung

1. Schritt 1: Quelltyp, Dateiformat und erwartete innere Struktur des Beweismittels bestimmen.
2. Schritt 2: Automatische Loader-Erkennung kontrollieren und bei Bedarf einen Loader explizit festlegen.
3. Schritt 3: Geteilte Images, mehrere Datenträger und lose Logdateien korrekt als Target formulieren.
4. Schritt 4: Fehlermeldungen zu unbekannten Formaten oder fehlenden Segmenten systematisch eingrenzen.

2. Plugin-Inventar und Kompatibilität

1. Schritt 1: Verfügbare Funktionen ohne Target als vollständiges Plugin-Inventar anzeigen.
2. Schritt 2: Mit einem konkreten Target nur kompatible Funktionen und Loader ermitteln.
3. Schritt 3: Hilfetexte, Ausgabeart und Parameter einer Funktion vor der Ausführung prüfen.
4. Schritt 4: Betriebssystemspezifische, generische und namespaced Plugins voneinander unterscheiden.

3. Präzise Artefaktabfragen

1. Schritt 1: Einzelne Funktionen mit klarer Fragestellung und dokumentiertem Target ausführen.
2. Schritt 2: Mehrere kompatible Funktionen in einer Abfrage kombinieren.
3. Schritt 3: Namespaces und Glob-Muster nutzen, um zusammengehörige Artefakte vollständig zu erfassen.
4. Schritt 4: Dry-Run und Ausschlussmuster einsetzen, bevor umfangreiche Abfragesätze produktiv gestartet werden.

4. Ausgabearten und Weiterverarbeitung

1. Schritt 1: Records, Zeilenausgaben und Textausgaben anhand ihrer Eigenschaften unterscheiden.
2. Schritt 2: Ergebnismengen begrenzen und Warnmeldungen für automatisierte Läufe kontrolliert unterdrücken.
3. Schritt 3: JSON-Ausgabe oder suchbare String-Ausgabe entsprechend dem Folgewerkzeug wählen.
4. Schritt 4: Binäre Record-Streams unverändert an rdump oder andere kompatible Verarbeitungsschritte übergeben.

5. Multi-Target-Abfragen und Inventarisierung

1. Schritt 1: Ein Verzeichnis mit mehreren Targets anhand konsistenter Benennung und Struktur vorbereiten.
2. Schritt 2: Hostname, Domäne, Betriebssystem, Version und Netzwerkdaten als einfache CMDB erfassen.
3. Schritt 3: Abfragen hostübergreifend ausführen und inkompatible Targets nachvollziehbar behandeln.
4. Schritt 4: Ergebnisse nach Host, Domäne, Systemrolle und Zeitbezug für Vergleiche gruppieren.

6. Eigene Plugins, Caching und Betriebsparameter

1. Schritt 1: Zusätzliche Plugin-Pfade nur aus freigegebenen, versionierten Verzeichnissen laden.
2. Schritt 2: Dateibasiertes Caching für wiederkehrende, aufwendige Abfragen konfigurieren.
3. Schritt 3: Cache-Lesen, Neuberechnung und Cache-Verzicht fallbezogen auswählen.
4. Schritt 4: Abfragesätze, Parameter, Frameworkstand und Ausgabepfade als wiederverwendbares Runbook dokumentieren.

Praxisübungen

• Öffnen mehrerer Image- und Logformate mit automatischer und expliziter Loader-Auswahl
• Entwicklung eines wiederverwendbaren Abfragesatzes für Benutzer, Persistenz und Netzwerkdaten
• Erstellung einer CMDB aus mehreren Targets und Vergleich ausgewählter Artefakte
• Fehleranalyse eines inkompatiblen Plugins und kontrollierte Wiederholung mit angepassten Parametern

Zielgruppe

Forensische Analysten, Incident Responder, SOC-Analysten und technische Ermittler, die Dissect systematisch einsetzen

Voraussetzungen

Grundlagen digitaler Forensik, sichere Kommandozeilenbedienung und eine funktionsfähige Dissect-Arbeitsumgebung