Seminar Dissect – Intensivseminar Analyse und Betriebssystemforensik

Das Intensivseminar bündelt den vollständigen Analysepfad von der Target-Erkennung über Artefaktabfragen, Dateisystemzugriff, Record-Pipelines und Timeline-Arbeit bis zur vertieften Windows-, Linux- und macOS-Forensik. Der Schwerpunkt liegt auf wiederholbaren Untersuchungsschritten und systemübergreifender Beweisführung.

Inhaltsverzeichnis

1. Arbeitsumgebung und Fallstruktur
2. Target-Modell und Verarbeitungsschichten
3. Artefaktabfragen mit target-query
4. Shell, Dateisystem und Extraktion
5. Records, rdump und Datenpipelines
6. Timeline-Modell und Zeitqualität
7. Windows-Artefakte
8. Linux- und Unix-Artefakte
9. macOS- und APFS-Artefakte
10. Systemübergreifende Korrelation
11. Qualitätssicherung und Peer Review
12. Integrierte Abschlussfallstudie

Lernziele

• Dissect sicher installieren, Targets prüfen und Analysefehler systematisch eingrenzen
• target-query, Shell-, Dateisystem-, Record- und Timeline-Werkzeuge kombiniert einsetzen
• Windows-, Linux-, Unix- und macOS-Artefakte fachgerecht untersuchen
• Zeit-, Identitäts-, Ausführungs- und Persistenzspuren systemübergreifend korrelieren
• Einen vollständigen Analysefall mit Peer Review und reproduzierbarer Dokumentation abschließen

Seminarinhalte

1. Arbeitsumgebung und Fallstruktur

1. Schritt 1: Isolierte Installation, Beweismittelablage und Exportstruktur vorbereiten.
2. Schritt 2: Versionsstände, Zeitzone, Fallkennung und Prüfinformationen dokumentieren.
3. Schritt 3: Rohdaten, Arbeitskopien, Abfragen und Befunde konsequent trennen.
4. Schritt 4: Ein Referenztarget öffnen und die Umgebung vor dem Fallstart prüfen.

2. Target-Modell und Verarbeitungsschichten

1. Schritt 1: Loader, Container, Volumes, Dateisysteme, Betriebssystemschichten und Plugins unterscheiden.
2. Schritt 2: Automatische Erkennung mit den tatsächlichen Eigenschaften der Quelle vergleichen.
3. Schritt 3: Mehrere Datenträger und verschachtelte Targets inventarisieren.
4. Schritt 4: Warnungen und fehlende Komponenten nach Relevanz für die Untersuchung klassifizieren.

3. Artefaktabfragen mit target-query

1. Schritt 1: Plugins nach Namespaces und Ergebnisarten auffinden.
2. Schritt 2: Einzel- und Sammelabfragen mit einheitlichen Parametern erstellen.
3. Schritt 3: Felder, Zeiträume und Werte fallbezogen filtern.
4. Schritt 4: Abfragefehler, inkompatible Plugins und leere Ergebnisse getrennt behandeln.

4. Shell, Dateisystem und Extraktion

1. Schritt 1: Virtuelle Pfade und Mountpunkte innerhalb eines Targets nachvollziehen.
2. Schritt 2: Dateien und Verzeichnisse mit der Target-Shell untersuchen.
3. Schritt 3: Ausgewählte Artefakte mit Metadaten in eine kontrollierte Exportstruktur übernehmen.
4. Schritt 4: Extraktion durch Prüfsummen und Stichproben gegen die Quelle absichern.

5. Records, rdump und Datenpipelines

1. Schritt 1: Record-Felder, Typen und Deskriptoren lesen und fachlich interpretieren.
2. Schritt 2: Record-Streams mit rdump selektieren, sortieren und konvertieren.
3. Schritt 3: Rohrecords, normalisierte Daten und Analystenanreicherungen getrennt halten.
4. Schritt 4: Wiederverwendbare Pipeline-Schritte für mehrere Targets definieren.

6. Timeline-Modell und Zeitqualität

1. Schritt 1: Zeitquellen nach Entstehung, Semantik und Aussagekraft klassifizieren.
2. Schritt 2: Zeitzonen, Sommerzeit, Zeitdrift und unvollständige Zeitstempel kontrollieren.
3. Schritt 3: Fokussierte Timelines aus ausgewählten Record-Streams erzeugen.
4. Schritt 4: Zeitliche Nähe von belastbarer Ereigniskorrelation unterscheiden.

7. Windows-Artefakte

1. Schritt 1: Registry-Hives, Benutzerprofile und Systemkonfiguration strukturiert erfassen.
2. Schritt 2: Eventlogs, Dienste, Aufgaben und Autostartpunkte untersuchen.
3. Schritt 3: Ausführungs-, Datei- und Anmeldespuren in einer Hosttimeline verbinden.
4. Schritt 4: Persistenz und mögliche laterale Bewegung anhand mehrerer Quellen prüfen.

8. Linux- und Unix-Artefakte

1. Schritt 1: Benutzer-, Gruppen-, Authentifizierungs- und Systeminformationen auswerten.
2. Schritt 2: Journal-, Audit-, Syslog- und Dienstspuren gezielt filtern.
3. Schritt 3: Shell-Historien, Cronjobs, systemd-Einheiten und Paketdaten korrelieren.
4. Schritt 4: Manipulation, Persistenz und Remotezugriffe gegen eine Systembaseline bewerten.

9. macOS- und APFS-Artefakte

1. Schritt 1: APFS-Container, Volumes und relevante Systembereiche inventarisieren.
2. Schritt 2: Benutzer-, Plist-, Launchd-, Quarantäne- und Anwendungsartefakte untersuchen.
3. Schritt 3: Unified-Log- und Dateisystemspuren auf die Untersuchungsfrage eingrenzen.
4. Schritt 4: macOS-Zeit- und Identitätsspuren in die gemeinsame Falltimeline integrieren.

10. Systemübergreifende Korrelation

1. Schritt 1: Host-, Benutzer-, Prozess-, Datei- und Netzwerkbezüge normalisieren.
2. Schritt 2: Einen Indikator über mehrere Betriebssysteme und Datenquellen verfolgen.
3. Schritt 3: Bestätigte Befunde von plausiblen, aber unbewiesenen Hypothesen trennen.
4. Schritt 4: Datenlücken und notwendige Nachforderungen explizit dokumentieren.

11. Qualitätssicherung und Peer Review

1. Schritt 1: Abfragen, Filter, Versionen und Quelldaten für jeden Befund festhalten.
2. Schritt 2: Kritische Befundketten durch eine zweite Analyse reproduzieren lassen.
3. Schritt 3: Fehlalarme und konkurrierende Erklärungen methodisch prüfen.
4. Schritt 4: Ergebnisse nach Bestätigungsgrad und Auswirkung priorisieren.

12. Integrierte Abschlussfallstudie

1. Schritt 1: Mehrere Betriebssystemtargets anhand einer gemeinsamen Erstmeldung triagieren.
2. Schritt 2: Spezialisierte Artefaktabfragen und eine fokussierte Timeline entwickeln.
3. Schritt 3: Angriffsweg, Persistenz und betroffene Identitäten als Befundkette rekonstruieren.
4. Schritt 4: Technische Übergabe mit Belegen, offenen Punkten und Maßnahmenpriorität erstellen.

Praxisübungen

• Durchgängige Analyse eines gemischten Windows-, Linux- und macOS-Datensatzes
• Entwicklung wiederverwendbarer target-query- und rdump-Abfragesätze
• Aufbau einer validierten, systemübergreifenden Ereigniskette
• Peer Review und technische Abschlussdokumentation eines komplexen Falls

Zielgruppe

DFIR-Analysten, Incident Responder, SOC-Spezialisten und technische Fallleiter mit Bedarf an einem vollständigen Analyse- und Betriebssystemtrack

Voraussetzungen

Sichere Kommandozeilenkenntnisse, Grundlagen digitaler Forensik sowie Grundverständnis von Windows, Linux und macOS