Seminar Fox-IT Acquire – Intensivseminar – vollständige DFIR-Akquisition

Das Intensivseminar fasst das gesamte Seminarprogramm in einer kompakten, aufeinander aufbauenden Arbeitswoche zusammen. Die Inhalte werden gegenüber den Spezialseminaren verdichtet, bleiben jedoch durch tägliche Laborphasen und einen vollständigen Abschlussfall praxisorientiert.

Inhaltsverzeichnis

1. Einordnung und Lernziele
2. Zielgruppe
3. Vorausgesetzte Kenntnisse
4. Seminarinhalte
5. Tag 1: Installation, CLI, Profile und Erstakquisition
6. Tag 2: Windows- und volatile Erfassung
7. Tag 3: Unix, Images, Verschlüsselung und Hypervisor
8. Tag 4: Sichere Ausgabe, Deployment und Skalierung
9. Tag 5: Dissect-Integration, Automatisierung und Abschlussfall
10. Praxisübungen
11. Arbeitsweise und Unterlagen

Einordnung und Lernziele

Das Seminar ist auf praktische Anwendung, nachvollziehbare Entscheidungen und technisch prüfbare Erfassungsergebnisse ausgerichtet.

• Acquire von Installation und Profilplanung bis zur geprüften Übergabe sicher betreiben.
• Windows-, Unix-, Image-, volatile und Hypervisor-Targets passend erfassen.
• Verschlüsselung, Hashing, Berichte und sichere Datenwege kontrollieren.
• Deployment, Mehrzielbetrieb, Dissect-Integration und Automatisierung in einem Gesamtprozess verbinden.

Zielgruppe

Incident Responder, digitale Forensiker, SOC-Analysten, DFIR-Engineers und technische Einsatzleitungen mit Bedarf an einer vollständigen Qualifizierung.

Vorausgesetzte Kenntnisse

Sichere Betriebssystem- und Kommandozeilenkenntnisse; Grundverständnis von Incident Response und digitalen Artefakten. Python-Kenntnisse sind für den Automatisierungsteil hilfreich.

Seminarinhalte

Die Inhalte werden in aufeinander aufbauenden Schritten vermittelt. Jeder Themenblock endet mit einer technischen Kontrolle des erzeugten Ergebnisses.

Tag 1: Installation, CLI, Profile und Erstakquisition

Der Seminartag verbindet konzeptionelle Einordnung, geführte Demonstration und eigenständige Laborarbeit.

Modul 1: Arbeitsumgebung und Basisbetrieb

1. Schritt 1: Systemvoraussetzungen und Berechtigungen werden geprüft.
2. Schritt 2: Acquire wird isoliert installiert und mit Hilfe, Version und Testlauf verifiziert.
3. Schritt 3: Ausgabe, Bericht und Logging werden in einen Fallordner eingebunden.
4. Schritt 4: Typische Start-, Pfad- und Speicherfehler werden diagnostiziert.

Modul 2: Profile, Module und Custom Paths

1. Schritt 1: Minimal-, Default-, Full- und None-Profil werden nach Zweck verglichen.
2. Schritt 2: Explizite Module ergänzen ein Standardprofil.
3. Schritt 3: Dateien, Verzeichnisse und Glob-Muster werden kontrolliert gesammelt.
4. Schritt 4: Ein Erfassungsplan wird aus einer Incident-Hypothese abgeleitet.

Modul 3: Erster vollständiger Triagefall

1. Schritt 1: Ein Windows-Target wird vorbereitet und mit einem angemessenen Profil erfasst.
2. Schritt 2: Bericht und Logs werden auf Fehler und Fallback-Nutzung geprüft.
3. Schritt 3: Containerinhalt und Kernartefakte werden stichprobenartig validiert.
4. Schritt 4: Eine gezielte Nachsammlung schließt erkannte Lücken.

Tag 2: Windows- und volatile Erfassung

Der Seminartag verbindet konzeptionelle Einordnung, geführte Demonstration und eigenständige Laborarbeit.

Modul 4: Windows-Kernartefakte

1. Schritt 1: NTFS-Metadaten, Registry, Event Logs und Tasks werden erfasst.
2. Schritt 2: PowerShell, Prefetch, AppCompat und PCA werden für Ausführungsspuren kombiniert.
3. Schritt 3: Benutzeraktivität, Browserhistorie, Recents, BITS und Recycle Bin ergänzen das Bild.
4. Schritt 4: Artefaktgruppen werden nach Ermittlungsfrage priorisiert.

Modul 5: Server- und Sicherheitsmodule

1. Schritt 1: AD, NTDS, DNS, DHCP und Webserverrollen werden gezielt ausgewählt.
2. Schritt 2: AV-, EDR-, Quarantäne- und Remote-Access-Artefakte werden kontrolliert ergänzt.
3. Schritt 3: Sensible und große Module erhalten eigene Freigaben.
4. Schritt 4: Bericht und Datenmenge werden rollenbezogen bewertet.

Modul 6: Volatile Live Response

1. Schritt 1: Netzwerkverbindungen, Prozesse, Umgebungsvariablen, ARP, RDP und DNS-Cache werden gesammelt.
2. Schritt 2: Offene Handles und optionaler Speicherbezug werden nach Bedarf ergänzt.
3. Schritt 3: Reihenfolge und Seiteneffekte werden dokumentiert.
4. Schritt 4: Volatile und persistente Daten werden gemeinsam, aber nachvollziehbar abgelegt.

Tag 3: Unix, Images, Verschlüsselung und Hypervisor

Der Seminartag verbindet konzeptionelle Einordnung, geführte Demonstration und eigenständige Laborarbeit.

Modul 7: Linux, BSD und macOS

1. Schritt 1: System-, Boot-, Home-, Var-, SSH- und Historienartefakte werden plattformgerecht erfasst.
2. Schritt 2: Proc-, Sys- und Netzwerkdaten ergänzen die Live Response auf Unix-Systemen.
3. Schritt 3: macOS-Anwendungsinformationen und benutzerspezifische Artefakte werden geprüft.
4. Schritt 4: Docker- und Webhosting-Module werden rollenbezogen eingesetzt.

Modul 8: Images, Loader und Schlüssel

1. Schritt 1: Raw-, E01- und virtuelle Datenträger werden als Targets geladen.
2. Schritt 2: Loader werden automatisch erkannt oder explizit gesetzt.
3. Schritt 3: BitLocker- und LUKS-Schlüssel werden über eine Keychain bereitgestellt.
4. Schritt 4: Child-Targets und verschachtelte Strukturen werden inventarisiert.

Modul 9: ESXi und Proxmox

1. Schritt 1: Hostkonfiguration, Bootbanks, SSH- und VMFS-Artefakte werden erfasst.
2. Schritt 2: Proxmox-Host- und Gastkontexte werden getrennt dokumentiert.
3. Schritt 3: Children werden aufgelistet und priorisiert gesammelt.
4. Schritt 4: Ressourcen- und Datenmengenbegrenzungen werden vor rekursiven Läufen gesetzt.

Tag 4: Sichere Ausgabe, Deployment und Skalierung

Der Seminartag verbindet konzeptionelle Einordnung, geführte Demonstration und eigenständige Laborarbeit.

Modul 10: Container, Kompression und Verschlüsselung

1. Schritt 1: TAR-, ZIP- und Verzeichnisausgabe werden nach Workflow ausgewählt.
2. Schritt 2: Kompression wird gegen Laufzeit und Datenmenge getestet.
3. Schritt 3: Container werden verschlüsselt und mit getrenntem Schlüssel geprüft.
4. Schritt 4: Hashing und Bericht bilden die technische Freigabe.

Modul 11: Portable Collector-Builds

1. Schritt 1: Eine reproduzierbare Buildumgebung und Pluginliste werden vorbereitet.
2. Schritt 2: PyInstaller- und PyOxidizer-Ansätze werden praktisch verglichen.
3. Schritt 3: Forensischer Footprint, Integrität und Plattformtests werden bewertet.
4. Schritt 4: Verteilung, Update und Rollback werden in eine Betriebscheckliste überführt.

Modul 12: Mehrziel- und Incident-Response-Betrieb

1. Schritt 1: Targets werden nach Rolle, Kritikalität und Indikatornähe priorisiert.
2. Schritt 2: Erfassungswellen, Parallelität und Speicher werden geplant.
3. Schritt 3: Container werden sicher übertragen und technisch validiert.
4. Schritt 4: Nachsammlung und Imageanforderung werden als Entscheidungsstellen verankert.

Tag 5: Dissect-Integration, Automatisierung und Abschlussfall

Der Seminartag verbindet konzeptionelle Einordnung, geführte Demonstration und eigenständige Laborarbeit.

Modul 13: Übergabe an Dissect

1. Schritt 1: Acquire-Container werden eindeutig registriert und auf Lesbarkeit geprüft.
2. Schritt 2: Verfügbare Artefaktfunktionen werden gegen den Erfassungszweck abgeglichen.
3. Schritt 3: Analyseprioritäten werden aus Target- und Incident-Priorität gebildet.
4. Schritt 4: Analyseerkenntnisse fließen als neue Erfassungsaufträge zurück.

Modul 14: Automatisierung und Qualitätssicherung

1. Schritt 1: Parametrisierte CLI-Aufrufe werden aus einer Targetliste gesteuert.
2. Schritt 2: Protokolle, Rückgabecodes und Wiederanlauf werden automatisiert verarbeitet.
3. Schritt 3: Testmatrix und Baseline prüfen neue Profile und Builds.
4. Schritt 4: Messwerte zu Laufzeit, Datenmenge und Fehlern unterstützen die Skalierung.

Modul 15: Durchgängiger Abschlussfall

1. Schritt 1: Ein gemischter Vorfall wird in Hypothesen, Targets und Erfassungswellen zerlegt.
2. Schritt 2: Windows-, Unix-, volatile, Image- und Hypervisor-Daten werden mit passenden Profilen gesammelt.
3. Schritt 3: Fehlerhafte Berechtigungen, falscher Schlüssel und Speicherengpass werden behoben.
4. Schritt 4: Geprüfte Container werden an Dissect übergeben und die nächste Ermittlungsrunde geplant.

Praxisübungen

• Tägliche Laboraufgaben zu Installation, Profilen und Plattformmodulen.
• Verschlüsseltes Image und Hypervisor mit Child-Targets.
• Portable Collector- und Mehrzielübung.
• Abschlussfall von Intake und Priorisierung bis zur Dissect-Übergabe.

Arbeitsweise und Unterlagen

Vortrag, Live-Demonstrationen, angeleitete Schrittfolgen, eigenständige Übungen, Fehlerdiagnose und fallbezogene Checklisten werden kombiniert. Alle Übungen arbeiten mit klar getrennten Testtargets, Ausgabeverzeichnissen und Prüfprotokollen.