Seminar Dissect – Windows-Artefaktforensik

Der Kurs vermittelt die vertiefte Windows-Forensik mit Dissect. Registry, Eventlogs, Benutzerprofile, Ausführungsartefakte, Dienste, geplante Aufgaben, Dateisystem- und Sicherheitsdaten werden in reproduzierbaren Abfragen ausgewertet und zu einer belastbaren Host- und Incident-Timeline verbunden.

Inhaltsverzeichnis

1. Windows-Target und Systemaufnahme
2. Registry-Grundlagen und Hives
3. Systemkonfiguration und Gerätebezug
4. Benutzerprofile und Kontoaktivität
5. Windows Eventlogs
6. Programmausführung und Nutzungsartefakte
7. Persistenz: Dienste, Aufgaben und Autostarts
8. Dateisystem- und Dateiaktivität
9. Remotezugriff und laterale Bewegung
10. Sicherheits- und Schutzartefakte
11. Windows-Hosttimeline
12. Befundprüfung und Fallabschluss

Lernziele

• Windows-Targets und zentrale Artefaktgruppen vollständig inventarisieren
• Registry- und Eventlogdaten gezielt nach System-, Benutzer- und Sicherheitsfragen auswerten
• Ausführung, Persistenz, Anmeldung und laterale Bewegung aus mehreren Quellen rekonstruieren
• Datei-, Prozess-, Konto- und Zeitbezüge in einer Hosttimeline korrelieren
• Befunde gegen Quellartefakte prüfen und nachvollziehbar dokumentieren

Seminarinhalte

1. Windows-Target und Systemaufnahme

1. Schritt 1: Target öffnen und erkannte Windows-Version, Hostname, Zeitzone und Architektur prüfen.
2. Schritt 2: System-, Benutzer- und zusätzliche Volumes inventarisieren.
3. Schritt 3: Verfügbarkeit zentraler Registry-, Eventlog- und Profilquellen kontrollieren.
4. Schritt 4: Unvollständige Hives, Logs oder Benutzerbereiche im Fallprotokoll kennzeichnen.

2. Registry-Grundlagen und Hives

1. Schritt 1: System- und Benutzerhives ihren Aufgaben und Zeitbezügen zuordnen.
2. Schritt 2: Schlüssel, Werte und verfügbare Änderungszeiten strukturiert abfragen.
3. Schritt 3: Control Sets, Benutzerzuordnung und Profilpfade plausibilisieren.
4. Schritt 4: Registrybefunde mit Dateisystem- und Ereignisquellen gegenprüfen.

3. Systemkonfiguration und Gerätebezug

1. Schritt 1: Computername, Netzwerkkonfiguration, Zeitzone und Systemparameter erfassen.
2. Schritt 2: Installierte Software, Dienste und relevante Geräteartefakte untersuchen.
3. Schritt 3: Änderungen an Sicherheits- oder Remotezugriffskonfigurationen priorisieren.
4. Schritt 4: Konfigurationsstand mit bekannter Systemrolle oder Baseline vergleichen.

4. Benutzerprofile und Kontoaktivität

1. Schritt 1: Lokale Konten, Profile, Gruppen und Anmeldeinformationen inventarisieren.
2. Schritt 2: Profilnutzung und benutzerspezifische Registryspuren zeitlich einordnen.
3. Schritt 3: Interaktive, Remote- und Dienstkontenaktivität unterscheiden.
4. Schritt 4: Auffällige Konten oder Profile mit Eventlogs und Dateispuren verbinden.

5. Windows Eventlogs

1. Schritt 1: Verfügbare Logs, Kanäle und Zeiträume erfassen.
2. Schritt 2: Anmelde-, Prozess-, Dienst-, Aufgaben- und Sicherheitsereignisse auswählen.
3. Schritt 3: Ereignisfelder in ein konsistentes Analysemodell normalisieren.
4. Schritt 4: Loglücken, Rotation, Deaktivierung oder Zeitabweichungen dokumentieren.

6. Programmausführung und Nutzungsartefakte

1. Schritt 1: Verfügbare Ausführungsartefakte für System und Benutzer abfragen.
2. Schritt 2: Programmname, Pfad, Benutzer und Zeitbezug aus mehreren Quellen korrelieren.
3. Schritt 3: Einmalige, wiederholte und bloß registrierte Programmnachweise unterscheiden.
4. Schritt 4: Verdächtige Ausführung mit Datei-, Download- und Prozessereignissen bestätigen.

7. Persistenz: Dienste, Aufgaben und Autostarts

1. Schritt 1: Dienste nach Binärpfad, Starttyp, Konto und Änderungsbezug untersuchen.
2. Schritt 2: Geplante Aufgaben und zugehörige Dateien oder Registrydaten korrelieren.
3. Schritt 3: Runkeys, Startup-Bereiche und weitere Autostartmechanismen prüfen.
4. Schritt 4: Legitime Administration von unerwarteter Persistenz anhand Baseline und Kontext trennen.

8. Dateisystem- und Dateiaktivität

1. Schritt 1: Relevante System-, Benutzer-, temporäre und Programmdatenpfade eingrenzen.
2. Schritt 2: Dateimetadaten, alternative Datenbezüge und Löschhinweise fallbezogen untersuchen.
3. Schritt 3: Verdächtige Dateien mit Herkunftspfad, Größe und Prüfsumme exportieren.
4. Schritt 4: Dateiaktivität mit Registry-, Eventlog- und Ausführungsartefakten verbinden.

9. Remotezugriff und laterale Bewegung

1. Schritt 1: Anmeldearten, Quellinformationen und verwendete Konten auswerten.
2. Schritt 2: Remoteverwaltung, Dienstinstallation und Aufgabenplanung als mögliche Wege prüfen.
3. Schritt 3: Quell- und Zielsystemereignisse zeitlich und anhand gemeinsamer Entitäten verbinden.
4. Schritt 4: Administrative Routineaktivität durch Change- und Baselineinformationen abgrenzen.

10. Sicherheits- und Schutzartefakte

1. Schritt 1: Verfügbare Schutz-, Erkennungs- und Richtlinienartefakte auswählen.
2. Schritt 2: Erkennungen, Ausnahmen und Konfigurationsänderungen zeitlich einordnen.
3. Schritt 3: Hinweise auf Deaktivierung oder Umgehung mit Systemereignissen korrelieren.
4. Schritt 4: Fehlende Telemetrie nicht als Beweis für fehlende Aktivität interpretieren.

11. Windows-Hosttimeline

1. Schritt 1: Relevante Records nach Untersuchungsfrage und Zeitfenster auswählen.
2. Schritt 2: Zeitstempel und Entitäten in ein gemeinsames Schema normalisieren.
3. Schritt 3: Ausführung, Persistenz, Anmeldung und Dateiaktivität als Ereigniskette verbinden.
4. Schritt 4: Alternative Erklärungen und Datenlücken explizit prüfen.

12. Befundprüfung und Fallabschluss

1. Schritt 1: Jeden Befund mit Quelle, Abfrage, Filter und Interpretation dokumentieren.
2. Schritt 2: Kritische Befunde gegen Originalartefakte oder zweite Quellen validieren.
3. Schritt 3: Bestätigte, wahrscheinliche und offene Punkte getrennt darstellen.
4. Schritt 4: Technische Maßnahmen und weitere Erhebungen nach Dringlichkeit priorisieren.

Praxisübungen

• Vollständige Windows-Systemaufnahme mit Registry- und Eventlogprüfung
• Rekonstruktion einer Programmausführung aus mehreren unabhängigen Artefakten
• Analyse einer Persistenzkette über Dienst, Aufgabe und Autostart
• Aufbau einer Windows-Hosttimeline mit möglicher lateraler Bewegung

Zielgruppe

DFIR-Analysten, Incident Responder, SOC-Analysten und Windows-Administratoren mit forensischen Aufgaben

Voraussetzungen

Sichere Windows-Grundkenntnisse, Verständnis von Registry, Diensten und Ereignisprotokollen sowie Grundlagen digitaler Forensik