Seminar Dissect – Kompaktseminar vom Target zur Analyse

Das Kompaktseminar vermittelt die wichtigsten Dissect-Arbeitsabläufe in verdichteter Form. Eine vorbereitete Beweismittelquelle wird geprüft, als Target geöffnet, mit Plugins und Dateisystemwerkzeugen untersucht, in Record- und Timeline-Ausgaben überführt und in einem kompakten Incident-Fall ausgewertet.

Inhaltsverzeichnis

1. Installation und Fallvorbereitung
2. Target-Erkennung und Schichtenmodell
3. Artefaktabfragen mit target-query
4. Shell, Mount und Dateiextraktion
5. Records und rdump
6. Timeline und Korrelation
7. Windows- und Linux-Triage
8. Kompakte Fallstudie

Lernziele

• Eine funktionsfähige Dissect-Arbeitsumgebung aufbauen und prüfen
• Targets und Verarbeitungsschichten sicher identifizieren
• Artefakte mit target-query, Shell- und Dateisystemwerkzeugen untersuchen
• Records filtern, exportieren und zu einer fokussierten Timeline verbinden
• Einen kompakten Windows- und Linux-Fall reproduzierbar bearbeiten

Seminarinhalte

1. Installation und Fallvorbereitung

1. Schritt 1: Isolierte Umgebung installieren und Versionsstände dokumentieren.
2. Schritt 2: Fall-, Beweismittel-, Export- und Protokollverzeichnisse anlegen.
3. Schritt 3: Quelle, Prüfinformationen, Zeitzone und Untersuchungsfrage erfassen.
4. Schritt 4: Installation und Lesbarkeit anhand eines Testtargets kontrollieren.

2. Target-Erkennung und Schichtenmodell

1. Schritt 1: Quelle mit target-info öffnen und erkannte Formate prüfen.
2. Schritt 2: Container, Volumes, Dateisysteme und Betriebssystemschicht zuordnen.
3. Schritt 3: Mehrere Datenträger und verschachtelte Targets inventarisieren.
4. Schritt 4: Warnungen und Datenlücken für die weitere Analyse bewerten.

3. Artefaktabfragen mit target-query

1. Schritt 1: Verfügbare Plugins für das Zielsystem ermitteln.
2. Schritt 2: System-, Benutzer-, Ausführungs- und Persistenzdaten abfragen.
3. Schritt 3: Ergebnisse nach Feldern, Werten und Zeiträumen eingrenzen.
4. Schritt 4: Abfragen und Rohausgaben für die Reproduktion speichern.

4. Shell, Mount und Dateiextraktion

1. Schritt 1: Virtuelle Pfade und Mountpunkte innerhalb des Targets nachvollziehen.
2. Schritt 2: Verdächtige Dateien und Verzeichnisse in der Target-Shell prüfen.
3. Schritt 3: Ausgewählte Artefakte mit Metadaten kontrolliert exportieren.
4. Schritt 4: Extrakte durch Prüfsummen und Quellvergleich validieren.

5. Records und rdump

1. Schritt 1: Record-Felder und Datentypen fachlich lesen.
2. Schritt 2: Benötigte Records mit rdump auswählen und normalisieren.
3. Schritt 3: Rohdaten und bearbeitete Ausgaben getrennt speichern.
4. Schritt 4: Ein wiederverwendbares Exportformat für die Fallanalyse erzeugen.

6. Timeline und Korrelation

1. Schritt 1: Geeignete Zeitquellen aus mehreren Artefaktgruppen auswählen.
2. Schritt 2: Zeitzonen und unterschiedliche Zeitsemantiken kontrollieren.
3. Schritt 3: Eine fokussierte Timeline um einen bekannten Indikator erstellen.
4. Schritt 4: Ereignisse mit Benutzer-, Prozess-, Datei- und Systemkontext verbinden.

7. Windows- und Linux-Triage

1. Schritt 1: Windows-Registry, Eventlogs, Dienste und Aufgaben auf Auffälligkeiten prüfen.
2. Schritt 2: Linux-Authentifizierung, Journal, Shell-Historien und Dienste untersuchen.
3. Schritt 3: Betriebssystemübergreifende Indikatoren mit konsistenten Begriffen erfassen.
4. Schritt 4: Vertiefungsbedarf und verbleibende Datenlücken priorisieren.

8. Kompakte Fallstudie

1. Schritt 1: Eine Erstmeldung in konkrete Untersuchungsfragen übersetzen.
2. Schritt 2: Windows- und Linux-Targets mit einem abgestuften Ablauf triagieren.
3. Schritt 3: Eine belastbare Ereigniskette mit Quellnachweisen rekonstruieren.
4. Schritt 4: Befunde, offene Fragen und technische Maßnahmen geordnet übergeben.

Praxisübungen

• Installation und Prüfung einer vollständigen Arbeitsumgebung
• Target-Triage mit target-query und Dateisystemwerkzeugen
• Record-Export und Aufbau einer fokussierten Timeline
• Kompakte Fallstudie mit Windows- und Linux-Artefakten

Zielgruppe

Incident Responder, SOC-Analysten, Administratoren und Forensikeinsteiger mit Bedarf an einem kompakten, praxisorientierten Gesamtüberblick

Voraussetzungen

Sichere Kommandozeilenkenntnisse sowie Grundverständnis von Windows und Linux; erste forensische Kenntnisse sind hilfreich