Seminar Fox-IT Acquire – ESXi, Proxmox und Child-Target-Akquisition

Hypervisor verbinden Hostartefakte, virtuelle Datenträger und mehrere eingebettete Systeme. Das Seminar vermittelt eine kontrollierte Reihenfolge, die zuerst den Parent dokumentiert und anschließend die relevanten Child-Targets priorisiert.

Inhaltsverzeichnis

1. Einordnung und Lernziele
2. Zielgruppe
3. Vorausgesetzte Kenntnisse
4. Seminarinhalte
5. Tag 1: Hypervisor-Parent und Hostartefakte
6. Tag 2: Proxmox und Child-Target-Strategien
7. Praxisübungen
8. Arbeitsweise und Unterlagen

Einordnung und Lernziele

Das Seminar ist auf praktische Anwendung, nachvollziehbare Entscheidungen und technisch prüfbare Erfassungsergebnisse ausgerichtet.

• Hypervisor-Hosts als Parent-Targets strukturiert erfassen.
• ESXi-, VMFS- und Proxmox-Artefakte nach Incident-Ziel auswählen.
• Child-Targets auflisten, einzeln oder rekursiv sammeln und priorisieren.
• Ressourcen, Datenmenge und Ausfallrisiko vor großflächigen Läufen bewerten.

Zielgruppe

Virtualisierungsforensiker, Incident Responder, Infrastrukturteams und SOC-Analysten mit Verantwortung für ESXi- oder Proxmox-Umgebungen.

Vorausgesetzte Kenntnisse

Acquire-Grundkenntnisse sowie Basiswissen zu Virtualisierung, Datastores und virtuellen Datenträgern.

Seminarinhalte

Die Inhalte werden in aufeinander aufbauenden Schritten vermittelt. Jeder Themenblock endet mit einer technischen Kontrolle des erzeugten Ergebnisses.

Tag 1: Hypervisor-Parent und Hostartefakte

Der Seminartag verbindet konzeptionelle Einordnung, geführte Demonstration und eigenständige Laborarbeit.

Modul 1: Vorbereitung und Ressourcenprüfung

1. Schritt 1: Managementzugang, Wartungszustand und zulässige Belastung werden mit dem Betrieb abgestimmt.
2. Schritt 2: Freier Speicher, Arbeitsspeicher, Datastore-Last und Ausgabepfad werden geprüft.
3. Schritt 3: Host- und VM-Zeitzonen werden dokumentiert.
4. Schritt 4: Eine Minimalerfassung validiert Berechtigungen und Ausgabe, bevor umfangreiche Module gestartet werden.

Modul 2: ESXi-Bootbanks, Konfiguration und SSH

1. Schritt 1: Bootbank- und Systempfade werden automatisch beziehungsweise explizit erfasst.
2. Schritt 2: Konfiguration, Authentifizierung, Shell- und SSH-Artefakte werden getrennt ausgewertet.
3. Schritt 3: Rotierte Logs und persistente Scratch-Pfade werden auf Vollständigkeit geprüft.
4. Schritt 4: Ungewöhnliche Pfade werden mit kontrollierten Ergänzungen aufgenommen.

Modul 3: VMFS-Metadaten und Datastore-Kontext

1. Schritt 1: Datastores und VMFS-Strukturen werden inventarisiert.
2. Schritt 2: VMFS-Metadaten werden für Zuordnung und Zeitbezug erfasst.
3. Schritt 3: Virtuelle Maschinen, Snapshots und Datenträgerpfade werden als Child-Kandidaten dokumentiert.
4. Schritt 4: Eine erste Priorisierung erfolgt nach Kritikalität, Indikatoren und zeitlicher Nähe.

Tag 2: Proxmox und Child-Target-Strategien

Der Seminartag verbindet konzeptionelle Einordnung, geführte Demonstration und eigenständige Laborarbeit.

Modul 4: Proxmox-Hostartefakte

1. Schritt 1: Cluster-, Knoten-, Storage- und Gastkonfigurationen werden lokalisiert.
2. Schritt 2: System-, Authentifizierungs-, Netzwerk- und Virtualisierungsprotokolle werden kombiniert.
3. Schritt 3: QEMU- und Containerkontexte werden eindeutig getrennt.
4. Schritt 4: Abweichende Storage-Pfade und verteilte Konfiguration werden in der Erfassungsplanung berücksichtigt.

Modul 5: Child-Auflistung und gezielte Auswahl

1. Schritt 1: Children werden zunächst nicht gesammelt, sondern vollständig aufgelistet.
2. Schritt 2: Index, Pfad, Typ und geschätzte Größe werden in einer Auswahlliste erfasst.
3. Schritt 3: Ein einzelnes Child wird testweise gesammelt und auf erwartete Betriebssystemartefakte geprüft.
4. Schritt 4: Erst danach werden mehrere oder rekursive Children mit Begrenzungen gestartet.

Modul 6: Parent-/Child-Falllabor

1. Schritt 1: Ein Hypervisorvorfall wird in Host-, Management- und Gastfragen zerlegt.
2. Schritt 2: Der Parent wird mit einem schlanken Hostprofil erfasst.
3. Schritt 3: Zwei priorisierte Guests werden als Children mit unterschiedlichen Profilen gesammelt.
4. Schritt 4: Container und Berichte werden zu einer gemeinsamen, aber klar getrennten Fallstruktur zusammengeführt.

Praxisübungen

• ESXi-Hostsammlung mit Bootbanks, ESXi-, SSH- und VMFS-Modulen.
• Inventarisierung und Auswahl von Child-Targets.
• Proxmox-orientierte Sammlung von Host- und Gastkontexten.
• Ressourcen- und Priorisierungsplan für einen Hypervisor mit mehreren Gästen.

Arbeitsweise und Unterlagen

Vortrag, Live-Demonstrationen, angeleitete Schrittfolgen, eigenständige Übungen, Fehlerdiagnose und fallbezogene Checklisten werden kombiniert. Alle Übungen arbeiten mit klar getrennten Testtargets, Ausgabeverzeichnissen und Prüfprotokollen.