Seminar Fox-IT Acquire – Datenträgerabbilder, Loader und verschlüsselte Targets

Datenträgerabbilder und verschlüsselte Volumes erfordern eine saubere Trennung zwischen Quellformat, Loader, Volume-Struktur, Dateisystem und Erfassungsprofil. Das Seminar führt diese Ebenen in einem reproduzierbaren Arbeitsablauf zusammen.

Inhaltsverzeichnis

1. Einordnung und Lernziele
2. Zielgruppe
3. Vorausgesetzte Kenntnisse
4. Seminarinhalte
5. Tag 1: Target-Erkennung, Imageformate und Loader
6. Tag 2: Verschlüsselung, Fallback und Containerprüfung
7. Praxisübungen
8. Arbeitsweise und Unterlagen

Einordnung und Lernziele

Das Seminar ist auf praktische Anwendung, nachvollziehbare Entscheidungen und technisch prüfbare Erfassungsergebnisse ausgerichtet.

• Geeignete Loader für lokale Datenträger und forensische Images auswählen.
• Verschachtelte Targets und Child-Systeme kontrolliert erfassen.
• BitLocker- und LUKS-Schlüssel über Keychain-Dateien oder Einzelwerte bereitstellen.
• Fallback-Verfahren und Qualitätsprüfungen risikobewusst einsetzen.

Zielgruppe

Digitale Forensiker, Incident Responder, eDiscovery-Techniker und Administratoren forensischer Laborumgebungen.

Vorausgesetzte Kenntnisse

Grundkenntnisse zu Datenträgern, Partitionen, Dateisystemen und Acquire-Basisbedienung.

Seminarinhalte

Die Inhalte werden in aufeinander aufbauenden Schritten vermittelt. Jeder Themenblock endet mit einer technischen Kontrolle des erzeugten Ergebnisses.

Tag 1: Target-Erkennung, Imageformate und Loader

Der Seminartag verbindet konzeptionelle Einordnung, geführte Demonstration und eigenständige Laborarbeit.

Modul 1: Quelltypen und Target-Modell

1. Schritt 1: Das Zielmedium wird als lokales System, physischer Datenträger, Raw-Image, E01-Abbild oder virtuelles Laufwerk klassifiziert.
2. Schritt 2: Datenträger, Volumes und Dateisysteme werden als getrennte Ebenen erfasst.
3. Schritt 3: Vor der Sammlung werden Schreibschutz, verfügbare Kopie und Arbeitsverzeichnis festgelegt.
4. Schritt 4: Ein kurzer Vorabtest prüft, ob das Target vollständig und ohne unerwartete Seiteneffekte geladen wird.

Modul 2: Automatische und explizite Loader-Auswahl

1. Schritt 1: Zunächst wird die automatische Erkennung mit ausführlicher Protokollierung getestet.
2. Schritt 2: Bei Mehrdeutigkeit wird ein spezifischer Loader vorgegeben und das Ergebnis verglichen.
3. Schritt 3: Fehlerhafte Formatannahmen werden anhand von Signaturen, Dateierweiterung und Strukturhinweisen eingegrenzt.
4. Schritt 4: Die gewählte Loader-Entscheidung wird im Fallprotokoll festgehalten.

Modul 3: Child-Targets in Abbildern und virtuellen Strukturen

1. Schritt 1: Enthaltene Systeme werden mit der Child-Auflistung inventarisiert.
2. Schritt 2: Ein einzelnes Child wird über Index oder Pfad für eine Testsammlung ausgewählt.
3. Schritt 3: Rekursive Strukturen werden nur nach kontrollierter Größen- und Laufzeitabschätzung aktiviert.
4. Schritt 4: Parent- und Child-Erfassung werden abhängig vom Untersuchungsziel getrennt oder kombiniert.

Tag 2: Verschlüsselung, Fallback und Containerprüfung

Der Seminartag verbindet konzeptionelle Einordnung, geführte Demonstration und eigenständige Laborarbeit.

Modul 4: Keychain und Schlüsselbereitstellung

1. Schritt 1: Benötigte Passphrasen, Recovery Keys oder Schlüsseldateien werden fallbezogen inventarisiert.
2. Schritt 2: Mehrere Werte werden in einer strukturierten Keychain-Datei abgelegt.
3. Schritt 3: Einzelwerte werden nur für kontrollierte Tests direkt übergeben.
4. Schritt 4: Fehlerhafte oder unpassende Schlüssel werden anhand der Lade- und Mountmeldungen erkannt.

Modul 5: BitLocker- und LUKS-Targets

1. Schritt 1: Die Volume-Struktur wird vor der Schlüsselübergabe dokumentiert.
2. Schritt 2: Nach erfolgreicher Entschlüsselung werden Dateisystem und relevante Artefaktpfade stichprobenartig geprüft.
3. Schritt 3: Das Erfassungsprofil wird an Zweck, Zeitbudget und Datenmenge angepasst.
4. Schritt 4: Schlüsselmaterial wird getrennt vom Ergebniscontainer behandelt und geschützt abgelegt.

Modul 6: Fallback, Nachsammlung und Validierung

1. Schritt 1: Nicht unterstützte oder fehlerhaft geladene Dateisysteme werden zunächst ohne Fallback diagnostiziert.
2. Schritt 2: Fallback oder erzwungener Fallback wird nur beim lokalen Target und mit dokumentierter Begründung eingesetzt.
3. Schritt 3: Bericht, Protokoll und Containerinhalt werden auf ausgelassene Pfade geprüft.
4. Schritt 4: Fehlende Artefakte werden in einer gezielten Nachsammlung ergänzt, statt unkontrolliert eine Vollsammlung zu starten.

Praxisübungen

• Erfassung aus Raw-, E01- und virtuellem Datenträgerabbild.
• Loadervergleich bei einem absichtlich mehrdeutigen Target.
• Öffnen eines verschlüsselten Volumes mit Keychain-Werten.
• Child-Auswahl und gezielte Nachsammlung aus einem verschachtelten Target.

Arbeitsweise und Unterlagen

Vortrag, Live-Demonstrationen, angeleitete Schrittfolgen, eigenständige Übungen, Fehlerdiagnose und fallbezogene Checklisten werden kombiniert. Alle Übungen arbeiten mit klar getrennten Testtargets, Ausgabeverzeichnissen und Prüfprotokollen.