Seminar Fox-IT Dissect

Das Seminarprogramm behandelt die forensische Datenerfassung, Analyse und Automatisierung mit dem von Fox-IT entwickelten Dissect-Framework. Der Aufbau reicht vom kompakten Einstieg bis zu spezialisierten Kursen für Incident Response, Betriebssystemforensik, Infrastrukturuntersuchungen und Erweiterungsentwicklung.

Inhaltsverzeichnis

1. Einsatzspektrum des Frameworks
2. Aufbau des Seminarportfolios
3. Empfohlene Besuchsreihenfolge
4. Auswahl nach Aufgabenbereich
5. Kompakt- und Intensivformate

Einsatzspektrum

Dissect vereinheitlicht den Zugriff auf forensische Images, virtuelle Datenträger, Dateisysteme, Betriebssystemartefakte und gezielt erhobene Live-Daten. Im Mittelpunkt stehen reproduzierbare Abfragen, nachvollziehbare Datenpipelines, Multi-Target-Analysen und die Erweiterung des Frameworks durch Python-Komponenten.

Aufbau des Seminarportfolios

Die Einzelseminare trennen Bedienung, Datenerfassung, Betriebssystemanalyse, Infrastrukturforensik, Incident-Response-Methodik und Entwicklung. Dadurch lässt sich ein Lernpfad präzise an vorhandene Kenntnisse und den späteren Aufgabenbereich anpassen. Das Kompaktseminar bündelt die wichtigsten Arbeitsabläufe für einen schnellen Einstieg. Vier Intensivseminare fassen die Einzelseminare in vollständigen fachlichen Tracks zusammen.

Empfohlene Besuchsreihenfolge

1. Dissect – Grundlagen, Installation und erster Fall
2. Dissect – Artefaktabfragen mit target-query
3. Dissect – Shell, Mount und Dateiextraktion
4. Dissect – RDump, Records und Datenpipelines
5. Dissect – Timeline-Analyse und Ereigniskorrelation
6. Danach Auswahl eines fachlichen Tracks: Betriebssystemforensik, Datenerfassung und Infrastruktur, Enterprise Incident Response oder Entwicklung und Automatisierung
7. Abschluss durch Dissect – Forensische Fallwerkstatt oder ein passendes Intensivseminar

Auswahl nach Aufgabenbereich

Forensische Analyse

Empfohlen sind Windows-Artefaktforensik, Linux- und Unix-Forensik, macOS- und APFS-Forensik, Timeline-Analyse sowie die Fallwerkstatt.

Incident Response und Threat Hunting

Empfohlen sind Acquire und Live-Datenerfassung, Enterprise Incident Response und Multi-Target-Triage, Active Directory- und NTDS-Forensik, YARA-, IOC- und Anomalieanalyse sowie Datenexport und SIEM-Integration.

Infrastrukturuntersuchungen

Empfohlen sind Container, Volumes und Dateisysteme, Virtualisierung und Hypervisor-Forensik sowie verschlüsselte Datenträger und Keychains.

Entwicklung und Automatisierung

Empfohlen sind Automatisierung mit der Python API, Plugin-Entwicklung für dissect.target und Parserentwicklung mit dissect.cstruct.

Kompakt- und Intensivformate

Das dreitägige Kompaktseminar eignet sich für einen beschleunigten, praxisorientierten Einstieg. Die fünftägigen Intensivseminare ersetzen jeweils mehrere Einzelseminare innerhalb eines zusammenhängenden Tracks. Ein Intensivseminar ist daher als Alternative zu den zugehörigen Einzelkursen gedacht, nicht als zusätzlicher Pflichtbaustein.