Seminar Velociraptor – macOS-Forensik und Endpoint-Triage

Beschreibung

Das Seminar behandelt die strukturierte Triage und forensische Auswertung von macOS-Endpunkten. System- und Benutzerkontext, Prozesse, LaunchAgents, LaunchDaemons, Unified Logs, FSEvents, Quarantäneinformationen, Browser- und Persistenzspuren werden fallbezogen erhoben.

Inhaltsverzeichnis

1. Beschreibung
2. Lernziele
3. Zielgruppe
4. Voraussetzungen
5. Themen und Lernschritte
6. Praktische Übungen
7. Einordnung in den Lernpfad

Lernziele

Nach dem Seminar können macOS-Endpunkte mit geeigneten Artefakten untersucht, plattformspezifische Schutz- und Berechtigungsgrenzen berücksichtigt und Befunde aus mehreren Datenquellen nachvollziehbar korreliert werden.

Zielgruppe

DFIR-Analysten, Incident Responder, Threat Hunter, macOS-Administratoren und SOC-Analysten.

Voraussetzungen

Grundkenntnisse von macOS, Dateisystemen und digitaler Forensik sowie Erfahrung mit Velociraptor-Collections.

Themen und Lernschritte

Tag 1: Triage, Prozesse und Persistenz

1. Schritt 1: Geräteidentität, Betriebssystem, Zeitbezug, Benutzer und Sicherheitskontext erfassen.
2. Schritt 2: Prozesse, Eltern-Kind-Beziehungen, Pfade und Signaturinformationen auswerten.
3. Schritt 3: LaunchAgents, LaunchDaemons, Login Items und weitere Startpunkte untersuchen.
4. Schritt 4: Quarantäneinformationen und Downloadkontexte mit verdächtigen Dateien verbinden.
5. Schritt 5: Berechtigungs- und Datenschutzgrenzen bei Datenerhebung und Interpretation berücksichtigen.

Tag 2: Logs, Dateispuren und Korrelation

1. Schritt 1: Unified Logs nach Zeitraum, Prozess, Benutzer und Ereignistyp filtern.
2. Schritt 2: FSEvents und relevante Dateisystemmetadaten für Aktivitätsfolgen auswerten.
3. Schritt 3: Browser-, Benutzer- und Anwendungsdaten fallbezogen ergänzen.
4. Schritt 4: Funde über Zeit, Prozess, Datei, Persistenz und Benutzerkontext korrelieren.
5. Schritt 5: Befund, Datenlücken und erforderliche Nachfassmaßnahmen in einem Fallprotokoll dokumentieren.

Praktische Übungen

1. Eine macOS-Schnelltriage mit System-, Benutzer- und Prozessdaten durchführen.
2. Persistenz über LaunchAgents, LaunchDaemons und Login Items untersuchen.
3. Unified-Log- und FSEvents-Funde zeitlich korrelieren.
4. Einen plattformspezifischen Befund mit Grenzen und Nachfassabfragen dokumentieren.

Einordnung in den Lernpfad

Empfohlen nach „Grundlagen und Admin-GUI“. Für skalierte Untersuchungen folgt „Hunts und Threat Hunting im großen Maßstab“, für Berichte „Notebooks, Timelines und Reporting“.