Seminar Fox-IT Acquire – Linux, BSD und macOS

Unix-artige Systeme unterscheiden sich stark nach Distribution, Rolle, Paketierung und Logkonfiguration. Das Seminar vermittelt deshalb ein systematisches Vorgehen von der Hostinventarisierung bis zur pfadbezogenen Ergänzung.

Inhaltsverzeichnis

1. Einordnung und Lernziele
2. Zielgruppe
3. Vorausgesetzte Kenntnisse
4. Seminarinhalte
5. Tag 1: Linux-System- und Benutzerartefakte
6. Tag 2: macOS und Anwendungsartefakte
7. Tag 3: BSD, Docker, Webhosting und Cross-Platform-Qualität
8. Praxisübungen
9. Arbeitsweise und Unterlagen

Einordnung und Lernziele

Das Seminar ist auf praktische Anwendung, nachvollziehbare Entscheidungen und technisch prüfbare Erfassungsergebnisse ausgerichtet.

• Linux-, BSD- und macOS-Profile und Module passend auswählen.
• Persistente und volatile Unix-Artefakte kombiniert erfassen.
• Docker-, Webhosting-, SSH- und private Schlüsselbereiche kontrolliert behandeln.
• Abweichende Pfade und Berechtigungsprobleme gezielt diagnostizieren.

Zielgruppe

Linux- und macOS-Administratoren, Incident Responder, digitale Forensiker und SOC-Analysten in heterogenen Umgebungen.

Vorausgesetzte Kenntnisse

Grundkenntnisse der Unix-Kommandozeile, Dateisystemhierarchie und Acquire-Basisbedienung.

Seminarinhalte

Die Inhalte werden in aufeinander aufbauenden Schritten vermittelt. Jeder Themenblock endet mit einer technischen Kontrolle des erzeugten Ergebnisses.

Tag 1: Linux-System- und Benutzerartefakte

Der Seminartag verbindet konzeptionelle Einordnung, geführte Demonstration und eigenständige Laborarbeit.

Modul 1: Hostinventarisierung und Profilwahl

1. Schritt 1: Distribution, Kernel, Dateisysteme, Mounts und Serverrolle werden erfasst.
2. Schritt 2: Minimal-, Default- und Full-Profil werden gegen das Untersuchungsziel abgeglichen.
3. Schritt 3: Ausgabeziel und administrative Ausführung werden geprüft.
4. Schritt 4: Eine kurze Basissammlung validiert Zugriff und Pfadstruktur.

Modul 2: Etc, Boot, Home, Var und History

1. Schritt 1: Systemkonfiguration und Bootartefakte werden mit Etc- und Boot-Modul gesammelt.
2. Schritt 2: Benutzerkontexte, Shellhistorien und anwendungsspezifische Dateien werden aus Home erfasst.
3. Schritt 3: System- und Anwendungslogs aus Var werden nach Rotation und Zeitbereich geprüft.
4. Schritt 4: Fehlende Standardpfade werden als gezielte Ergänzungen dokumentiert.

Modul 3: SSH, Netzwerk und Live-Daten

1. Schritt 1: SSH-Konfiguration, bekannte Hosts und autorisierte Schlüssel werden gesammelt.
2. Schritt 2: Private Schlüssel werden nur nach expliziter Freigabe aufgenommen.
3. Schritt 3: Proc-, Sys- und Proc-Net-Daten erfassen Prozesse, Geräte und Netzwerkzustand.
4. Schritt 4: Persistente und volatile Ergebnisse werden zeitlich und strukturell getrennt geprüft.

Tag 2: macOS und Anwendungsartefakte

Der Seminartag verbindet konzeptionelle Einordnung, geführte Demonstration und eigenständige Laborarbeit.

Modul 4: macOS-Dateisystem und Benutzerkontext

1. Schritt 1: Systemversion, Volumes, Benutzer und Home-Verzeichnisse werden inventarisiert.
2. Schritt 2: Etc-, Home-, Var- und macOS-spezifische Module werden kombiniert.
3. Schritt 3: Berechtigungs- und Datenschutzbeschränkungen werden vor der Sammlung geprüft.
4. Schritt 4: Ein Baseline-Container wird auf erwartete System- und Benutzerpfade kontrolliert.

Modul 5: Application Info und Nutzungsspuren

1. Schritt 1: Informationen installierter Anwendungen werden aus den jeweiligen Property-Listen erfasst.
2. Schritt 2: Browser- und Historienartefakte werden bei Bedarf ergänzt.
3. Schritt 3: SSH- und Remote-Access-Spuren werden plattformgerecht aufgenommen.
4. Schritt 4: Anwendungsdaten werden nach Benutzer und Systemkontext getrennt abgelegt.

Modul 6: macOS-Fallübung

1. Schritt 1: Eine Hypothese zu persistenter Fernwartung wird in relevante Module übersetzt.
2. Schritt 2: System-, Benutzer-, Anwendungs- und Netzwerkdaten werden gesammelt.
3. Schritt 3: Fehlende Rechte werden erkannt und mit einem alternativen Erfassungsplan behandelt.
4. Schritt 4: Der Container wird auf zeitliche und benutzerbezogene Kernartefakte geprüft.

Tag 3: BSD, Docker, Webhosting und Cross-Platform-Qualität

Der Seminartag verbindet konzeptionelle Einordnung, geführte Demonstration und eigenständige Laborarbeit.

Modul 7: BSD-Erfassung

1. Schritt 1: BSD-Variante, Dateisysteme und Systemkonfiguration werden inventarisiert.
2. Schritt 2: Etc-, Boot-, Home-, Var-, SSH- und BSD-Module werden abgestimmt.
3. Schritt 3: Dienst- und Paketpfade werden auf Abweichungen vom Linux-Modell geprüft.
4. Schritt 4: Custom Paths schließen distributionsspezifische Lücken.

Modul 8: Docker und Webhosting

1. Schritt 1: Containerlaufzeit, Logtreiber, Volumes und Konfigurationspfade werden festgestellt.
2. Schritt 2: Docker- und Webhosting-Module werden mit System- und Netzwerkdaten kombiniert.
3. Schritt 3: Host-, Container- und Anwendungskontext werden eindeutig getrennt.
4. Schritt 4: Große Layer- oder Inhaltsdaten werden nur bei begründetem Vertiefungsbedarf erfasst.

Modul 9: Plattformübergreifende Qualitätsprüfung

1. Schritt 1: Berichte werden auf ausgelassene Pfade, Rechtefehler und Fallback-Hinweise geprüft.
2. Schritt 2: Kernartefakte werden je Plattform in einer Abnahmeliste festgelegt.
3. Schritt 3: Containergrößen und Laufzeiten werden mit dem Profilumfang verglichen.
4. Schritt 4: Eine Nachsammlung wird aus dokumentierten Lücken abgeleitet.

Praxisübungen

• Linux-Erfassung mit System-, Benutzer-, SSH- und Proc-Daten.
• macOS-Sammlung mit Application Info und Benutzerartefakten.
• BSD-Profil mit distributionsspezifischen Pfadergänzungen.
• Docker-/Webhosting-Fall mit getrenntem Host- und Anwendungskontext.

Arbeitsweise und Unterlagen

Vortrag, Live-Demonstrationen, angeleitete Schrittfolgen, eigenständige Übungen, Fehlerdiagnose und fallbezogene Checklisten werden kombiniert. Alle Übungen arbeiten mit klar getrennten Testtargets, Ausgabeverzeichnissen und Prüfprotokollen.