Seminar iLEAPP Intensivseminar: iOS-Forensik, Artefakte, Automatisierung und Parser-Entwicklung

Dieses Intensivseminar bündelt die wesentlichen iLEAPP-Themen zu einem geschlossenen fünftägigen Programm. Es beginnt bei Installation und sicherer Bedienung, führt über iOS-Artefakte, Plists, SQLite-Datenbanken, Timeline-Arbeit und Viewer-Auswertung bis zur Automatisierung und Entwicklung eigener Parser-Erweiterungen. Die Dauer ist bewusst auf fünf Tage begrenzt: mehr wäre bequem, fünf Tage zwingen zu sauberer Priorisierung.

Inhaltsverzeichnis

• Grundlagen und erste Verarbeitung
• iOS-Artefakte und Datenquellen
• Plists, SQLite und Zeitstempel
• Berichtsauswertung und LAVA-Arbeitsweise
• Validierung und Befundqualität
• Kommandozeile, Profile und Wiederholbarkeit
• Parser-Struktur und eigene Erweiterungen
• Abschlussübung mit zusammenhängendem Fall

Seminarprofil

Das Seminar ist als durchgehender Laborlehrgang aufgebaut. Jeder Abschnitt baut auf dem vorherigen auf. Nach der ersten Verarbeitung werden die erzeugten Artefakte nicht nur betrachtet, sondern technisch hinterfragt: Woher stammt ein Wert, welcher Parser hat ihn erzeugt, welche Zeitbasis liegt zugrunde, welche Artefakte stützen dieselbe Aussage und wo entstehen typische Fehlinterpretationen?

Zielgruppe

Geeignet ist das Seminar für Teams, die iLEAPP nicht nur ausprobieren, sondern im professionellen Untersuchungsalltag einsetzen wollen. Angesprochen sind digitale Forensik, Ermittlungsunterstützung, Incident Response, interne Revision, technische Gutachten und Laborbetrieb.

Voraussetzungen

Erforderlich sind solide IT-Grundlagen. Hilfreich sind Erfahrungen mit mobilen Extraktionen, Datenträgerstrukturen, Logdateien, Tabellenformaten und einfachen Skriptaufrufen. Für den Parser-Teil sind Grundkenntnisse in Python nützlich, aber nicht zwingend.

Seminarinhalte

• Installation, Umgebung und erste Verarbeitungsläufe
• Unterschiedliche Eingabeformen und ihre Auswirkungen auf die Auswertung
• Geräteinformationen, App-Informationen, Benachrichtigungen, Standort- und Kommunikationsspuren
• Analyse von Plist-Strukturen, SQLite-Tabellen und generierten Exporten
• Arbeit mit Zeitstempeln, Zeitzonen und Ereignisfolgen
• Navigation in HTML- und Viewer-Berichten
• Qualitätssicherung durch Gegenprüfung und Artefaktvergleich
• Kommandozeilenbetrieb, Profile, Ordnerstandards und Wiederholbarkeit
• Aufbau vorhandener Parser-Module und Erweiterung um eigene Artefakte
• Dokumentierte Fallbearbeitung von der Eingabe bis zur technischen Befundnotiz

Praxisübungen

Die Übungen beginnen mit Einzelaufgaben und enden in einer zusammenhängenden Fallbearbeitung. Verarbeitet werden vorbereitete Datensätze mit typischen Artefakten, leeren Bereichen, Mehrdeutigkeiten und bewusst eingebauten Prüfpunkten. So wird nicht nur Bedienung trainiert, sondern forensisches Arbeiten: prüfen, abgleichen, dokumentieren.

Didaktik und Arbeitsweise

Das Seminar kombiniert Demonstration, geführte Übung, eigenständige Analyse und technische Besprechung. Der Anspruch ist bewusst höher als in einem Überblickskurs. Es wird nicht nur gezeigt, was iLEAPP ausgibt, sondern wie mit diesen Ausgaben fachlich belastbar gearbeitet wird.