Seminar ANSSI – DFIR-ORC

DFIR-ORC ist eine modulare Plattform für die kontrollierte Sammlung von Windows-Artefakten in Incident-Response- und Forensik-Szenarien. Das Seminarprogramm deckt Konzeption, Build, Konfiguration, spezialisierte Artefaktsammlungen, sichere Ergebniswege, skalierbaren Betrieb und den vollständigen Lebenszyklus ab.

Inhaltsverzeichnis

1. Seminarprogramm
2. Empfohlene Lernreihenfolge
3. Auswahl nach Aufgabenbereich
4. Kompakt-, Intensiv- und Praxisformate

Seminarprogramm

Die Fachseminare sind modular aufgebaut und können einzeln oder als abgestimmter Lernpfad besucht werden. Die Seminarauswahl unterhalb dieser Beschreibung verlinkt automatisch auf alle untergeordneten Seminarseiten.

Fachseminare

• DFIR-ORC – Architektur, Einsatzgrenzen und Sammelstrategie
• DFIR-ORC – Archive, Verschlüsselung, Upload und Entschlüsselung
• DFIR-ORC – Build, OrcCapsule und ToolEmbed
• DFIR-ORC – Datei-, IOC- und Sample-Sammlung mit FastFind, GetThis, GetSamples und YARA
• DFIR-ORC – Deployment, Skalierung und Ergebnisrückführung
• DFIR-ORC – FastFind-Auswertung und IOC-Qualifizierung mit FastBurn
• DFIR-ORC – Konfiguration mit WolfLauncher
• DFIR-ORC – Lokale Konfiguration, Kommandozeile und Schlüsselsteuerung
• DFIR-ORC – NTFS- und Dateisystemartefakte mit NTFSInfo, NTFSUtil, USNInfo, FatInfo und GetSectors
• DFIR-ORC – Performance, Ressourcensteuerung und forensisch schonender Betrieb
• DFIR-ORC – Registry-, Objekt- und Systemartefakte mit RegInfo und ObjInfo
• DFIR-ORC – Wartung, Versionswechsel und sichere Betriebsübergabe
• DFIR-ORC – Windows-Sammelprofile für Incident Response und Threat Hunting

Zusammenfassende Formate

• DFIR-ORC – Intensivseminar Gesamtworkflow von Build bis Übergabe
• DFIR-ORC – Kompaktseminar Einsatz, Konfiguration und Artefaktsammlung
• DFIR-ORC – Praxisworkshop produktionsreifes Sammelpaket

Empfohlene Lernreihenfolge

1. Grundlage: Architektur, Einsatzgrenzen und Sammelstrategie.
2. Technische Erstellung: Build, OrcCapsule und ToolEmbed.
3. Konfiguration: WolfLauncher sowie lokale Konfiguration, Kommandozeile und Schlüsselsteuerung.
4. Artefaktspezialisierung: NTFS- und Dateisystemartefakte; Registry-, Objekt- und Systemartefakte; Datei-, IOC- und Sample-Sammlung.
5. Auswertungsvorbereitung: FastFind-Auswertung und IOC-Qualifizierung mit FastBurn.
6. Sicherer Betrieb: Archive, Verschlüsselung, Upload und Entschlüsselung; Performance und Ressourcensteuerung; Deployment und Skalierung.
7. Szenarien und Lebenszyklus: Windows-Sammelprofile sowie Wartung, Versionswechsel und Betriebsübergabe.
8. Anwendung: Praxisworkshop für ein produktionsreifes Sammelpaket oder das fünftägige Intensivseminar als vollständiger Gesamtworkflow.

Auswahl nach Aufgabenbereich

Operatoren und Einsatzteams: Kompaktseminar, lokale Konfiguration, Archive und Upload sowie Deployment.

Konfigurations- und Engineering-Teams: Architektur, Build, WolfLauncher, Performance und Praxisworkshop.

DFIR- und Threat-Hunting-Teams: NTFS, Registry und Objekte, Datei- und IOC-Sammlung, FastBurn sowie Windows-Sammelprofile.

Produkt- und Betriebsverantwortliche: Wartung, Versionswechsel, Release, Rollback und Betriebsübergabe.

Kompakt-, Intensiv- und Praxisformate

Das dreitägige Kompaktseminar vermittelt einen belastbaren Überblick. Das fünftägige Intensivseminar führt alle Themen in einem vollständigen Referenzworkflow zusammen. Der viertägige Praxisworkshop setzt vorhandene Grundlagen voraus und konzentriert sich auf ein freigabefähiges Sammelpaket.