Seminar Velociraptor – Forensische Dateisammlung und Beweissicherung

Beschreibung

Das Seminar behandelt die zielgerichtete Sammlung forensisch relevanter Dateien und Metadaten von Endpunkten. Auswahl, Umfangsbegrenzung, Hashing, Übertragung, Verpackung, Zugriffsschutz und lückenlose Nachweisführung werden als kontrollierter Prozess geübt.

Inhaltsverzeichnis

1. Beschreibung
2. Lernziele
3. Zielgruppe
4. Voraussetzungen
5. Themen und Lernschritte
6. Praktische Übungen
7. Einordnung in den Lernpfad

Lernziele

Nach dem Seminar können Sammlungsaufträge risikobasiert geplant, Datenintegrität geprüft, Übertragungs- und Speichergrenzen eingehalten sowie Beweis- und Bearbeitungsschritte nachvollziehbar dokumentiert werden.

Zielgruppe

Incident Responder, Forensiker, DFIR-Analysten, SOC-Analysten und technische Ermittler.

Voraussetzungen

Grundlagen der digitalen Forensik und praktische Erfahrung mit Collections oder dem Velociraptor-Client.

Themen und Lernschritte

Tag 1: Sammlungsplanung und Durchführung

1. Schritt 1: Ermittlungsfrage, Rechts- und Freigaberahmen, Zielsysteme und benötigte Datenarten festlegen.
2. Schritt 2: Pfade, Dateimuster, Größen- und Altersgrenzen so definieren, dass Übererhebung vermieden wird.
3. Schritt 3: Metadaten, Zeitstempel und Hashwerte vor oder während der Sammlung erfassen.
4. Schritt 4: Collection mit Bandbreiten-, Laufzeit- und Ressourcenlimits sicher ausführen.
5. Schritt 5: Übertragung, Abbrüche, Teilresultate und fehlende Dateien während des Flows kontrollieren.

Tag 2: Integrität, Verpackung und Nachweiskette

1. Schritt 1: Empfangene Dateien gegen erfasste Hashwerte und erwartete Anzahl prüfen.
2. Schritt 2: Sammlung mit Fallkennung, Endpunkt, Zeitraum, Auftrag und Bearbeiterkontext verknüpfen.
3. Schritt 3: Zugriffsschutz, Verschlüsselung, Aufbewahrung und kontrollierte Weitergabe anwenden.
4. Schritt 4: Unvollständige oder fehlerhafte Sammlungen mit klaren Nachfassregeln behandeln.
5. Schritt 5: Ein Übergabepaket mit Manifest, Prüfsummen, Parametern und Prüfprotokoll erstellen.

Praktische Übungen

1. Eine eng begrenzte Dateisammlung für einen definierten Incident planen.
2. Dateien mit Metadaten und Hashwerten sammeln und den Flow überwachen.
3. Integrität und Vollständigkeit der übertragenen Daten kontrollieren.
4. Ein revisionsfähiges Manifest und Übergabeprotokoll erstellen.

Einordnung in den Lernpfad

Empfohlen nach „Grundlagen und Admin-GUI“ oder einem Plattformseminar. Danach folgen je nach Fall „Datenträgeranalyse, E01 und Remapping“ oder „Notebooks, Timelines und Reporting“.