Seminar Turbinia – Entwicklung eigener Tasks, Jobs und Evidence-Typen

Dieses Entwicklerseminar behandelt die Kern-Erweiterungspunkte von Turbinia. Ausgehend von einer fachlichen Anforderung entstehen eigene Evidence-Typen, Jobs und Tasks einschließlich Vor- und Nachverarbeitung, Ergebnisobjekten, Registrierung, Tests, Paketierung und kontrollierter Bereitstellung.

Inhaltsübersicht

• Zielsetzung
• Zielgruppe
• Voraussetzungen
• Seminarinhalte
• Praxisübungen
• Methodik

Zielsetzung

• Erweiterungsanforderungen sauber zwischen Task, Job, Evidence und Analysator aufteilen
• Eigene Evidence-Typen mit belastbaren Metadaten und Prozessoren entwickeln
• Jobs und Tasks mit klarer Auswahl-, Ausführungs- und Ergebnislogik implementieren
• Erweiterungen automatisiert testen, dokumentieren und releasefähig bereitstellen

Zielgruppe

Erfahrene Python-Entwickler, DFIR-Engineering-Teams, Plattformentwickler und technische Architekturverantwortliche für individuelle Turbinia-Erweiterungen.

Voraussetzungen

Sehr gute Python-Kenntnisse, Git, automatisierte Tests, Linux und Container. Die Seminare „Architektur und Grundlagen“ sowie „Beweismittel, Evidence-Typen und Verarbeitungspipelines“ oder vergleichbare Kenntnisse werden vorausgesetzt.

Seminarinhalte

1. Schritt 1: Erweiterungsschnitt festlegen

   Fachliche Anforderung, Eingabe, Verarbeitung, Ergebnis und Folgeprozess werden analysiert; Zuständigkeiten von Evidence, Job und Task werden eindeutig getrennt.

2. Schritt 2: Entwicklungsprojekt aufsetzen

   Branching, virtuelle Umgebung, Abhängigkeiten, Konfiguration, Testdaten, Linting und Testausführung werden reproduzierbar vorbereitet.

3. Schritt 3: Evidence-Typ modellieren

   Attribute, Pfade, Herkunft, Kopierbarkeit, Cloud-Eigenschaften, Darstellung und Serialisierung werden als stabiles Datenmodell umgesetzt.

4. Schritt 4: Pre- und Post-Processor entwickeln

   Bereitstellung, Mounting, Kopieren, Upload, Integritätsprüfung und Cleanup werden als klar testbare Schritte implementiert.

5. Schritt 5: Task-Klasse implementieren

   Eingabeprüfung, Arbeitsverzeichnis, Werkzeugaufruf, Logging, Fehlerpfade, Ergebnisobjekt und erzeugte Evidence werden in der Task-Laufzeit sauber behandelt.

6. Schritt 6: Job-Logik entwickeln

   Unterstützte Evidence, Task-Erzeugung, Konfigurationsübernahme, Priorität, Abhängigkeiten und Ausschlussbedingungen werden im Job definiert.

7. Schritt 7: Ergebnisse und Befunde strukturieren

   Status, Summary, Report, Warnungen, Dateiverweise und weiterverarbeitbare Evidence werden konsistent und maschinenlesbar ausgegeben.

8. Schritt 8: Konfiguration und Recipes anbinden

   Globale und taskspezifische Parameter werden validiert, mit sicheren Standardwerten versehen und in Recipes nachvollziehbar nutzbar gemacht.

9. Schritt 9: Registrierung und Discovery prüfen

   Neue Typen, Jobs und Tasks werden so registriert, dass Server, Worker und Client sie konsistent erkennen.

10. Schritt 10: Unit-Tests schreiben

    Evidence-Serialisierung, Prozessoren, Jobauswahl, Task-Erfolg, erwartete Fehler und erzeugte Evidence werden isoliert geprüft.

11. Schritt 11: Integrationstests durchführen

    Ein vollständiger Request wird mit Referenzdaten über Queue und Worker ausgeführt; Status, Logs, Ausgaben und Folge-Tasks werden kontrolliert.

12. Schritt 12: Container- und Abhängigkeitsstrategie festlegen

    Externe Werkzeuge werden nativ oder containerisiert angebunden; Versionen, Ressourcen, Mounts und Sicherheitsgrenzen werden dokumentiert.

13. Schritt 13: Release vorbereiten

    Versionierung, Changelog, Kompatibilität, Migration bestehender Konfiguration, Rollback und Betriebsübergabe werden in einen Freigabeprozess eingebunden.

14. Schritt 14: Wartbarkeit absichern

    Code-Review, Dokumentation, Telemetrie, Deprecation, Eigentümerschaft und Testdatenpflege werden für den gesamten Lebenszyklus geregelt.

Praxisübungen

• Eigenen Evidence-Typ mit Serialisierung und Validierung implementieren
• Job und Task für einen kleinen forensischen Verarbeitungsschritt entwickeln
• Erzeugte Evidence in einen Folge-Job übergeben und Pipeline-Verhalten prüfen
• Unit- und Integrationstests einschließlich Fehlerfällen erstellen
• Releasepaket mit Changelog, Rollback und Betriebscheckliste vorbereiten

Methodik

Ein durchgängiges Entwicklungsprojekt wird in vier Tagesetappen aufgebaut. Architekturentscheidungen, Code-Reviews, automatisierte Tests und Betriebsübergabe sind gleichwertige Bestandteile des Seminars.