Seminar Fox-IT Acquire – Incident-Response-Workflows und skalierbare Datenerfassung

Bei größeren Vorfällen entscheidet nicht der einzelne Toolaufruf, sondern die Reihenfolge der Targets, die Geschwindigkeit der Triage und die kontrollierte Datenlogistik. Das Seminar entwickelt daraus einen skalierbaren operativen Ablauf.

Inhaltsverzeichnis

1. Einordnung und Lernziele
2. Zielgruppe
3. Vorausgesetzte Kenntnisse
4. Seminarinhalte
5. Tag 1: Scope, Hypothesen und Erfassungsstrategie
6. Tag 2: Mehrzielbetrieb und Datenlogistik
7. Tag 3: Entscheidungsstellen, Dissect-Übergabe und Großfall
8. Praxisübungen
9. Arbeitsweise und Unterlagen

Einordnung und Lernziele

Das Seminar ist auf praktische Anwendung, nachvollziehbare Entscheidungen und technisch prüfbare Erfassungsergebnisse ausgerichtet.

• Incident-Hypothesen in abgestufte Erfassungspläne überführen.
• Targets nach Kritikalität, Exposition und Indikatoren priorisieren.
• Datenmenge, Parallelität, Speicher und Übergabewege skalierbar planen.
• Qualitätskontrollen und Nachsammlung als feste Entscheidungsstellen verankern.

Zielgruppe

Incident-Response-Leads, DFIR-Analysten, SOC-Teams, Krisenstäbe mit Technikbezug und Verantwortliche für forensische Plattformen.

Vorausgesetzte Kenntnisse

Acquire-Grundlagen, Verständnis typischer Incident-Response-Phasen und grundlegende Kenntnisse von Windows- und Unix-Artefakten.

Seminarinhalte

Die Inhalte werden in aufeinander aufbauenden Schritten vermittelt. Jeder Themenblock endet mit einer technischen Kontrolle des erzeugten Ergebnisses.

Tag 1: Scope, Hypothesen und Erfassungsstrategie

Der Seminartag verbindet konzeptionelle Einordnung, geführte Demonstration und eigenständige Laborarbeit.

Modul 1: Vom Intake zur Erfassungsfrage

1. Schritt 1: Bekannte Fakten, Annahmen und offene Fragen werden getrennt erfasst.
2. Schritt 2: Die mögliche Angriffskette wird in Host- und Artefaktfragen übersetzt.
3. Schritt 3: Für jede Frage werden Minimaldaten, Vertiefungsdaten und Ausschlüsse bestimmt.
4. Schritt 4: Zeitkritische volatile Daten werden vor umfangreichen persistenten Sammlungen priorisiert.

Modul 2: Targetpriorisierung

1. Schritt 1: Systeme werden nach Identität, Rolle, Kritikalität, Exposition und Indikatornähe bewertet.
2. Schritt 2: Patient-Zero-Kandidaten, Identitätssysteme und Managementsysteme erhalten eigene Prioritätsklassen.
3. Schritt 3: Nicht erreichbare oder besonders sensible Targets werden in separate Eskalationspfade gelegt.
4. Schritt 4: Die Priorisierung wird regelmäßig anhand neuer Erkenntnisse aktualisiert.

Modul 3: Profilmatrix nach Systemrolle

1. Schritt 1: Workstation, Server, Domänencontroller, Webserver, Unix-Host und Hypervisor erhalten eigene Baselines.
2. Schritt 2: Default- oder Minimalprofile werden um rollenbezogene Module ergänzt.
3. Schritt 3: Volumenintensive und sensible Module werden an Freigabeschwellen gebunden.
4. Schritt 4: Die Matrix wird als ausführbare Checkliste für das Erfassungsteam aufbereitet.

Tag 2: Mehrzielbetrieb und Datenlogistik

Der Seminartag verbindet konzeptionelle Einordnung, geführte Demonstration und eigenständige Laborarbeit.

Modul 4: Wellenbasierte Erfassung

1. Schritt 1: Eine erste Welle sammelt wenige hochpriorisierte Systeme mit kurzem Profil.
2. Schritt 2: Ergebnisse werden früh geprüft, um die zweite Welle gezielter auszurichten.
3. Schritt 3: Weitere Targets werden nach Erkenntnisgewinn statt ausschließlich nach Inventarliste ausgewählt.
4. Schritt 4: Vollständige Images werden nur für Systeme mit begründetem Vertiefungsbedarf angefordert.

Modul 5: Kapazitäts- und Parallelitätsplanung

1. Schritt 1: Erwartete Containergrößen werden aus Profil, Betriebssystem und Serverrolle abgeschätzt.
2. Schritt 2: CPU-, I/O-, Netzwerk- und Speichergrenzen werden für parallele Läufe festgelegt.
3. Schritt 3: Zwischenablagen erhalten Quoten, Warnschwellen und Bereinigungsregeln.
4. Schritt 4: Laufzeiten und Fehlerquoten werden pro Welle gemessen und für die nächste Planung genutzt.

Modul 6: Sichere Datenwege

1. Schritt 1: Collector, Schlüssel, Ergebniscontainer und Logs werden als getrennte Datenklassen behandelt.
2. Schritt 2: Lokale Ablage, Transferzone, Beweisablage und Analysezone werden funktional getrennt.
3. Schritt 3: Jeder Transfer erhält Größen- und Hashprüfung.
4. Schritt 4: Unterbrochene Uploads werden wiederaufgenommen oder kontrolliert neu gestartet.

Tag 3: Entscheidungsstellen, Dissect-Übergabe und Großfall

Der Seminartag verbindet konzeptionelle Einordnung, geführte Demonstration und eigenständige Laborarbeit.

Modul 7: Qualitätsentscheidung nach jedem Lauf

1. Schritt 1: Bericht und Logs werden auf fehlgeschlagene Module und nicht gelesene Pfade geprüft.
2. Schritt 2: Container werden auf Lesbarkeit, Betriebssystemerkennung und Kernartefakte getestet.
3. Schritt 3: Lücken werden als Nachsammlung, Imageanforderung oder akzeptierte Einschränkung klassifiziert.
4. Schritt 4: Nur freigegebene Ergebnisse gelangen in die Analysewarteschlange.

Modul 8: Übergabe an Dissect und Analysepriorisierung

1. Schritt 1: Container erhalten eindeutige Case-, Target- und Wellenmetadaten.
2. Schritt 2: Basisabfragen bestätigen, dass die erwarteten Artefakte verfügbar sind.
3. Schritt 3: Analysejobs werden nach Incident-Hypothese und Targetpriorität gebildet.
4. Schritt 4: Neue Analyseerkenntnisse fließen als aktualisierte Erfassungsaufträge zurück.

Modul 9: Skalierbares Incident-Labor

1. Schritt 1: Ein Vorfall mit Workstations, Servern und Hypervisor wird in mehrere Erfassungswellen zerlegt.
2. Schritt 2: Profile, volatile Optionen und Child-Targets werden pro Systemrolle festgelegt.
3. Schritt 3: Speicherengpass und fehlerhafte Berechtigungen werden während des Laufs behandelt.
4. Schritt 4: Die Falllage wird nach den ersten Ergebnissen neu priorisiert und durch Nachsammlungen verdichtet.

Praxisübungen

• Erstellung einer rollenbasierten Profilmatrix.
• Priorisierung eines Inventars mit mehreren hundert Systemen.
• Kapazitätsrechnung für drei parallele Erfassungswellen.
• Großfallübung mit Rückkopplung zwischen Erfassung und Analyse.

Arbeitsweise und Unterlagen

Vortrag, Live-Demonstrationen, angeleitete Schrittfolgen, eigenständige Übungen, Fehlerdiagnose und fallbezogene Checklisten werden kombiniert. Alle Übungen arbeiten mit klar getrennten Testtargets, Ausgabeverzeichnissen und Prüfprotokollen.