Seminar OpenRelik – Ereignisprotokolle und Timeline-Analyse

Das Seminar verbindet die Verarbeitung heterogener Ereignisprotokolle mit einer methodisch sauberen Timeline-Analyse. Im Fokus stehen Quelleninventar, Parserauswahl, Zeitnormalisierung, Plaso-basierte Verarbeitung, Korrelation, Filterung, Anomalieprüfung und reproduzierbare Befundketten.

Inhaltsübersicht

1. Zielsetzung und Kompetenzziele
2. Zielgruppe und Voraussetzungen
3. Didaktischer Aufbau
4. Seminarinhalte mit schrittweisen Praxisaufträgen
5. Praxisübungen
6. Methodik

Zielsetzung

Das Seminar verbindet fachliche Einordnung, geführte Demonstrationen und eigenständige Arbeit am System. Jeder Themenblock führt von der Planung über die kontrollierte Ausführung bis zur Prüfung und Dokumentation. Damit entstehen nicht nur Bedienkenntnisse, sondern reproduzierbare Arbeitsweisen für den Einsatz im DFIR-Umfeld.

Kompetenzziele

• Log- und Timeline-Quellen systematisch inventarisieren
• Parser- und Workflow-Pfade passend zur Quelle auswählen
• Zeitstempel normalisieren und bekannte Fehlerquellen erkennen
• Ereignisse korrelieren und eine prüfbare Zeitachse erstellen

Zielgruppe

Forensische Analysten, Incident Responder, SOC-Analysten und Mitarbeitende, die Zeitachsen aus Log- und Systemartefakten erstellen oder auswerten.

Voraussetzungen

Grundkenntnisse von Logformaten, Zeitstempeln, Zeitzonen und digitaler Forensik. Erste OpenRelik-Bedienkenntnisse werden vorausgesetzt.

Didaktischer Aufbau

Zwei Tage sind notwendig, weil belastbare Timeline-Arbeit neben der technischen Verarbeitung umfangreiche Qualitätsprüfung, Zeitnormalisierung, Korrelation und Hypothesenbildung erfordert. Die Lernabschnitte bauen aufeinander auf; nach jeder Demonstration folgt eine angeleitete Umsetzung, anschließend eine eigenständige Prüfung anhand definierter Qualitätskriterien. Fehlerbilder und Grenzfälle werden bewusst einbezogen, damit Entscheidungen im späteren Betrieb nachvollziehbar bleiben.

Seminarinhalte

Modul 1: Quelleninventar und Fragestellung

Eine Timeline ist nur so belastbar wie ihr Quellenbestand und die dokumentierten Lücken.

1. Schritt 1: Untersuchungszeitraum, Systeme, Konten und relevante Ereignisklassen festlegen.
2. Schritt 2: Verfügbare Log-, Dateisystem- und Anwendungsquellen inventarisieren.
3. Schritt 3: Abdeckung, Aufbewahrungsgrenzen und erkennbare Datenlücken dokumentieren.

Praxisauftrag: Erstellung einer Quellen- und Abdeckungsmatrix.

Modul 2: Parsing- und Verarbeitungsstrategie

Unterschiedliche Formate benötigen angepasste Parser und gegebenenfalls Vorverarbeitung.

1. Schritt 1: Dateityp, Kodierung, Kompression und Formatversion prüfen.
2. Schritt 2: Geeignete Log- oder Timeline-Worker auswählen und Parameter festlegen.
3. Schritt 3: Stichproben definieren, mit denen Parserausgaben gegen Rohdaten kontrolliert werden.

Praxisauftrag: Planung eines mehrstufigen Parsing-Workflows.

Modul 3: Plaso-basierte Timeline-Erstellung

Plaso verarbeitet zahlreiche Artefaktarten zu normalisierten Ereignissen, verlangt aber kontrollierte Eingaben und Qualitätsprüfung.

1. Schritt 1: Eingabesatz und Parserumfang auf die Untersuchungsfrage begrenzen.
2. Schritt 2: Verarbeitung starten und Laufzeit, Warnungen und Output überwachen.
3. Schritt 3: Erzeugte Ereignisse auf erwartete Quellen und Felder prüfen.

Praxisauftrag: Erstellung einer Timeline aus einem kuratierten Artefaktsatz.

Modul 4: Zeitnormalisierung und Zeitzonen

Lokale Zeit, UTC, Sommerzeit und anwendungsspezifische Epochen können Ereignisse scheinbar widersprüchlich machen.

1. Schritt 1: Zeitformat und Zeitzonenbezug je Quelle bestimmen.
2. Schritt 2: Normalisierungsregel anwenden und Originalwert zusätzlich erhalten.
3. Schritt 3: Unklare oder widersprüchliche Zeitangaben markieren statt stillschweigend zu korrigieren.

Praxisauftrag: Korrektur einer Timeline mit mehreren Zeitzonenfehlern.

Modul 5: Filterung, Suche und Korrelation

Große Zeitachsen werden durch Hypothesen, Entitäten und Ereignismuster auf untersuchbare Teilmengen reduziert.

1. Schritt 1: Konten, Hosts, Pfade, Hashwerte, Domains und Prozessbezüge als Pivotpunkte wählen.
2. Schritt 2: Zeitfenster schrittweise verengen und relevante Ereigniscluster bilden.
3. Schritt 3: Quellenübergreifende Ketten auf Konsistenz und Gegenbelege prüfen.

Praxisauftrag: Rekonstruktion einer Aktivitätssequenz aus drei Quelltypen.

Modul 6: Qualitätssicherung und Befund

Timeline-Treffer sind Beobachtungen, deren Herkunft, Parserlogik und Kontext überprüft werden müssen.

1. Schritt 1: Kritische Ereignisse bis zur Rohquelle zurückverfolgen.
2. Schritt 2: Parserwarnungen, fehlende Felder und doppelte Ereignisse bewerten.
3. Schritt 3: Befund, Interpretation, Unsicherheit und alternative Erklärung getrennt dokumentieren.

Praxisauftrag: Peer-Review einer ausgewählten Ereigniskette.

Praxisübungen

• Aufbau eines Quelleninventars und eines validierbaren Parsing-Plans
• Erstellung und Normalisierung einer mehrquelligen Timeline
• Korrelation einer Ereigniskette mit Rohdaten- und Qualitätsprüfung

Methodik

Kurze Fachimpulse werden unmittelbar mit Live-Demonstrationen, geführten Konfigurations- und Analyseschritten, eigenständigen Laboraufgaben sowie strukturierten Reviews verbunden. Für jede Übung werden Ausgangslage, Arbeitsschritte, erwartete Kontrollpunkte und typische Fehlerbilder festgelegt. Die verwendeten Beispiele sind so aufgebaut, dass sie als Vorlage für interne Standards, Checklisten und Testfälle weiterverwendet werden können.