Seminar DFIR-ORC – Registry-, Objekt- und Systemartefakte mit RegInfo und ObjInfo

Das Seminar behandelt Registry- und Windows-Objektartefakte als wichtige Ergänzung zu Datei- und NTFS-Sammlungen. RegInfo und ObjInfo werden gezielt eingesetzt, damit nachgelagerte Analysen auf reproduzierbare, klar begrenzte Ausgangsdaten zugreifen können.

Seminarziel

Ziel ist ein kombiniertes Profil für ausgewählte System- und Benutzer-Hives sowie relevante Windows-Objekte. Kontext, Rechte, Filter, Datenmengen und Kontrollartefakte werden so festgelegt, dass fehlende oder unvollständige Ergebnisse erkennbar bleiben.

Inhaltsverzeichnis

1. Registry-Modell und Kontext
2. RegInfo-Grundkonfiguration
3. Benutzerbezogene Registry-Artefakte
4. ObjInfo und Windows-Objekte
5. Rechte, Flüchtigkeit und Zeitbezug
6. Datenbegrenzung und Ergebnisstruktur
7. Kombiniertes Registry- und Objektprofil

Seminarinhalte

1. Registry-Modell und Kontext

System-, Benutzer- und anwendungsbezogene Hives werden hinsichtlich Speicherort, Ladezustand, Berechtigung und Untersuchungskontext unterschieden.

1. Schritt 1: Relevante Hives und Benutzerprofile aus der Fragestellung ableiten.
2. Schritt 2: Live-, offline- und nicht geladene Bereiche kennzeichnen.
3. Schritt 3: Erwartete Zugriffslücken und Ersatzwege vor dem Lauf dokumentieren.

2. RegInfo-Grundkonfiguration

Schlüssel, Werte, Pfade und Ausgaben werden mit präzisen Filtern und eindeutiger Hive-Zuordnung erfasst.

1. Schritt 1: Zielpfade und Werttypen in einer Sammelliste festlegen.
2. Schritt 2: Filter und Rekursion so eng wie möglich konfigurieren.
3. Schritt 3: Kontrollschlüssel und erwartete Werte für die Funktionsprüfung anlegen.

3. Benutzerbezogene Registry-Artefakte

Mehrere Benutzerprofile, aktuell angemeldete Konten und nicht geladene Hives erfordern eine klare Zuordnung und Fehlermeldung.

1. Schritt 1: Benutzerinventar und vorhandene Profilpfade erfassen.
2. Schritt 2: Sammelstrategie für geladene und nicht geladene Hives definieren.
3. Schritt 3: Ausgabe pro Benutzer eindeutig benennen und auf Vollständigkeit prüfen.

4. ObjInfo und Windows-Objekte

Named Objects, Pipes, Mutexe und weitere Objektklassen werden kontrolliert erfasst und nach Geltungsbereich getrennt.

1. Schritt 1: Relevante Objektklassen aus dem Vorfalltyp auswählen.
2. Schritt 2: Namens- und Bereichsfilter mit bekannten Kontrollobjekten testen.
3. Schritt 3: Ausgabe auf Rechtefehler, flüchtige Änderungen und Wiederholbarkeit bewerten.

5. Rechte, Flüchtigkeit und Zeitbezug

Registry- und Objektzustände können sich während des Laufs ändern und sind vom Ausführungskontext abhängig.

1. Schritt 1: Erforderlichen Benutzer- oder Systemkontext festlegen.
2. Schritt 2: Startzeit, Laufzeit und mögliche Zustandsänderungen protokollieren.
3. Schritt 3: Fehlende Daten als Zugriffslücke oder flüchtige Abwesenheit kenntlich machen.

6. Datenbegrenzung und Ergebnisstruktur

Breite Registry-Rekursion und ungezielte Objektlisten werden durch Profile, Filter und getrennte Archive beherrscht.

1. Schritt 1: Minimal- und Vertiefungsbereich unterscheiden.
2. Schritt 2: Maximale Ausgabegröße und Zeitgrenzen je Sammelschritt setzen.
3. Schritt 3: Ergebnisnamen, Systembezug und Profilversion in der Ablage verankern.

7. Kombiniertes Registry- und Objektprofil

RegInfo, ObjInfo und ergänzende Systeminformationen werden mit klaren Abhängigkeiten und Kontrollartefakten verbunden.

1. Schritt 1: Ausführungsreihenfolge und gemeinsame Begleitinformationen bestimmen.
2. Schritt 2: Erfolgs-, Teil- und Fehlerzustände in Outcome und Logs abbilden.
3. Schritt 3: Gesamtprofil auf mehreren Benutzer- und Systemkonstellationen abnehmen.

Praxisübungen

• RegInfo-Profil für System- und Benutzer-Hives mit Kontrollwerten erstellen
• ObjInfo-Sammlung für ausgewählte Objektklassen und Namensmuster konfigurieren
• Kombiniertes Profil auf mehreren Benutzerkontexten testen und Ergebnislücken dokumentieren

Zielgruppe und Voraussetzungen

Zielgruppe: DFIR-Fachkräfte, Incident-Response-Teams, Threat-Hunting-Teams und Windows-Administratoren mit forensischem Schwerpunkt.

Voraussetzungen: Gute Windows-Kenntnisse, Verständnis von Registry-Hives, Benutzerprofilen, Diensten und Windows-Objektkonzepten.