Seminar Dissect – Virtualisierung und Hypervisor-Forensik

Der Kurs behandelt die forensische Untersuchung virtueller Infrastrukturen mit Dissect. Konfigurationen, virtuelle Datenträger, Snapshots, registrierte Gäste, Hypervisorartefakte und Child Targets werden inventarisiert und in eine eindeutige Host-Gast-Zeitlinie überführt.

Inhaltsverzeichnis

1. Untersuchungsmodell virtueller Infrastrukturen
2. Inventarisierung von VM-Konfigurationen
3. Virtuelle Datenträger und Formate
4. Snapshots und Zustandsbezüge
5. Targets aus virtuellen Maschinen öffnen
6. Child Targets und verschachtelte Systeme
7. Hypervisorartefakte und Ereignisse
8. Host-Gast-Korrelation
9. Priorisierung und Scoping
10. Befund und Infrastrukturübersicht

Lernziele

• Virtuelle Maschinen, Datenträger, Snapshots und Hypervisorbezüge vollständig inventarisieren
• Aktive, ältere, verwaiste und differenzierende Datenträgerstände unterscheiden
• Child Targets sicher erkennen und eindeutig ihrer Quelle zuordnen
• Host- und Gastartefakte zu Start, Migration, Snapshot und Zugriff korrelieren
• Eine priorisierte Infrastrukturübersicht für weitere Analysen erstellen

Seminarinhalte

1. Untersuchungsmodell virtueller Infrastrukturen

1. Schritt 1: Hypervisor, Managementebene, virtuelle Maschine, Datenträger und Gastbetriebssystem abgrenzen.
2. Schritt 2: Untersuchungsfragen nach Host-, Gast- und Steuerungsebene strukturieren.
3. Schritt 3: Benötigte Konfigurationen, Logs, Datenträger und Snapshotdaten identifizieren.
4. Schritt 4: Zeit- und Zustandsbezug jeder Quelle vor der Analyse dokumentieren.

2. Inventarisierung von VM-Konfigurationen

1. Schritt 1: Konfigurationsdateien und registrierte virtuelle Maschinen erfassen.
2. Schritt 2: VM-Kennung, Name, Gasttyp, Ressourcen und zugeordnete Datenträger normalisieren.
3. Schritt 3: Abweichungen zwischen Konfiguration, Inventar und vorhandenen Dateien markieren.
4. Schritt 4: Verwaiste oder nicht registrierte Maschinen als eigene Untersuchungskandidaten führen.

3. Virtuelle Datenträger und Formate

1. Schritt 1: Virtuelle Datenträger anhand von Format, Größe und Zuordnung inventarisieren.
2. Schritt 2: Basis-, Differenz- und Snapshotdatenträger voneinander unterscheiden.
3. Schritt 3: Ketten und Abhängigkeiten vor dem Öffnen plausibilisieren.
4. Schritt 4: Fehlende Segmente oder widersprüchliche Elternbezüge dokumentieren.

4. Snapshots und Zustandsbezüge

1. Schritt 1: Snapshotbaum, Erstellungszeit und zugehörige Datenträgerstände erfassen.
2. Schritt 2: Aktuellen Zustand von älteren Snapshotständen trennen.
3. Schritt 3: Zeitliche Aussagegrenzen bei zusammengeführten oder konsolidierten Snapshots bewerten.
4. Schritt 4: Relevanten Zustand anhand der Incident-Frage priorisieren.

5. Targets aus virtuellen Maschinen öffnen

1. Schritt 1: Virtuellen Datenträger mit passendem Loader öffnen.
2. Schritt 2: Volumes, Dateisysteme und erkanntes Gastbetriebssystem kontrollieren.
3. Schritt 3: Gasttarget mit VM-Kennung, Datenträger und Snapshotstand eindeutig benennen.
4. Schritt 4: Mehrere Gasttargets in einer konsistenten Fallstruktur ablegen.

6. Child Targets und verschachtelte Systeme

1. Schritt 1: Automatisch oder pluginbasiert erkannte Child Targets inventarisieren.
2. Schritt 2: Quelle, Pfad und Eltern-Kind-Beziehung für jedes Target erhalten.
3. Schritt 3: Duplikate und mehrfach erreichbare Gäste identifizieren.
4. Schritt 4: Rekursive Erkennung mit klaren Tiefen- und Fehlergrenzen durchführen.

7. Hypervisorartefakte und Ereignisse

1. Schritt 1: Hostinformationen, registrierte Gäste und relevante Verwaltungsprotokolle auswählen.
2. Schritt 2: Start, Stopp, Suspend, Migration und Snapshotereignisse zeitlich ordnen.
3. Schritt 3: Administrativen Zugriff und Konfigurationsänderungen mit Identitäten verbinden.
4. Schritt 4: Loglücken und Zeitabweichungen zwischen Management- und Hostebene kennzeichnen.

8. Host-Gast-Korrelation

1. Schritt 1: VM-, Host-, Datenträger- und Netzwerkkennungen normalisieren.
2. Schritt 2: Hypervisorereignisse mit Gastbetriebssystemspuren zeitlich verbinden.
3. Schritt 3: Dateiübertragung, Mount oder Snapshotzugriff als mögliche Übergangspunkte prüfen.
4. Schritt 4: Korrelationen durch mindestens eine unabhängige Quelle gegenvalidieren.

9. Priorisierung und Scoping

1. Schritt 1: Gäste nach Kritikalität, Exposition und Indikatornähe gruppieren.
2. Schritt 2: Aktuelle und historische Zustände für die vertiefte Analyse auswählen.
3. Schritt 3: Datenlücken und notwendige Nachforderungen pro VM dokumentieren.
4. Schritt 4: Massentriage und Tiefenanalyse in einen abgestuften Ablauf überführen.

10. Befund und Infrastrukturübersicht

1. Schritt 1: Host, VM, Datenträger, Snapshot und Target in einer eindeutigen Matrix zusammenführen.
2. Schritt 2: Befunde mit genauer Quelle und Zustandszeit kennzeichnen.
3. Schritt 3: Unsichere Zuordnungen und konkurrierende Snapshotstände sichtbar halten.
4. Schritt 4: Priorisierte Gäste, relevante Zeitpunkte und nächste Analyseschritte übergeben.

Praxisübungen

• Inventarisierung einer virtualisierten Umgebung mit mehreren Gästen und Datenträgern
• Rekonstruktion einer Snapshot- und Differenzdatenträgerkette
• Öffnen und eindeutige Zuordnung mehrerer Gast- und Child Targets
• Korrelation eines Hypervisorereignisses mit Betriebssystemspuren im Gast

Zielgruppe

DFIR-Analysten, Incident Responder, Virtualisierungsadministratoren und Infrastrukturforensiker

Voraussetzungen

Grundlagen digitaler Forensik, Verständnis virtueller Maschinen und Datenträger sowie sichere Administration mindestens einer Virtualisierungsplattform