Seminar Dissect – Shell, Mount und Dateiextraktion

Der Kurs konzentriert sich auf den kontrollierten Zugriff auf virtuelle Dateisysteme innerhalb eines Dissect-Targets. Target-Shell, Dateisystemansicht, Mount-Verfahren und Extraktionswerkzeuge werden so eingesetzt, dass Pfadbezug, Metadaten, Integrität und Reproduzierbarkeit erhalten bleiben.

Inhaltsverzeichnis

1. Schichten, Pfade und Mountpunkte
2. Target-Shell vorbereiten
3. Dateisystemnavigation und Metadaten
4. Suche und gezielte Auswahl
5. Kontrollierte Dateiextraktion
6. Target-Dump und Bereichsextraktion
7. Mount für externe Werkzeuge
8. Besonderheiten mehrerer Dateisysteme
9. Integrität und Qualitätssicherung

Lernziele

• Virtuelle Pfade, Mountpunkte und Dateisystemschichten sicher navigieren
• Dateien und Verzeichnisse mit Target-Shell und Dateisystemwerkzeugen untersuchen
• Targets kontrolliert für externe Werkzeuge bereitstellen
• Relevante Dateien und Bereiche mit Herkunftsmetadaten extrahieren
• Integrität, Zugriffsgrenzen und Dokumentation bei jeder Extraktion wahren

Seminarinhalte

1. Schichten, Pfade und Mountpunkte

1. Schritt 1: Container, Volume, Dateisystem und Betriebssystempfad voneinander unterscheiden.
2. Schritt 2: Erkannte Dateisysteme und Mountpunkte mit target-info inventarisieren.
3. Schritt 3: Virtuelle Pfade auf ihre zugrunde liegende Quelle zurückführen.
4. Schritt 4: Mehrdeutige oder fehlende Pfadauflösungen im Fallprotokoll kennzeichnen.

2. Target-Shell vorbereiten

1. Schritt 1: Target und gewünschtes Dateisystem schreibgeschützt öffnen.
2. Schritt 2: Arbeitsverzeichnis, Ausgabeprotokoll und Fallkontext festlegen.
3. Schritt 3: Grundlegende Navigations- und Informationsbefehle anhand eines Testpfads prüfen.
4. Schritt 4: Shell-Sitzung mit Parametern und Versionen nachvollziehbar dokumentieren.

3. Dateisystemnavigation und Metadaten

1. Schritt 1: Verzeichnisse, versteckte Einträge und relevante Systembereiche auflisten.
2. Schritt 2: Dateigröße, Zeiten, Besitzer und weitere verfügbare Metadaten erfassen.
3. Schritt 3: Symbolische oder alternative Pfadbezüge korrekt einordnen.
4. Schritt 4: Auffällige Objekte in eine priorisierte Untersuchungsliste übernehmen.

4. Suche und gezielte Auswahl

1. Schritt 1: Dateinamen, Erweiterungen, Pfadmuster und Größen für die Fragestellung definieren.
2. Schritt 2: Suchraum auf relevante Volumes, Benutzer und Zeitfenster eingrenzen.
3. Schritt 3: Trefferlisten vor der Extraktion auf Dubletten und Kontext prüfen.
4. Schritt 4: Auswahlkriterien im Fallprotokoll festhalten.

5. Kontrollierte Dateiextraktion

1. Schritt 1: Zielverzeichnis nach Fall, Host, Quelle und Artefaktgruppe strukturieren.
2. Schritt 2: Dateien unter Erhalt des nachvollziehbaren Quellpfads exportieren.
3. Schritt 3: Metadaten und Prüfsummen zusammen mit dem Extrakt speichern.
4. Schritt 4: Fehlgeschlagene oder teilweise Exporte eindeutig markieren.

6. Target-Dump und Bereichsextraktion

1. Schritt 1: Geeignete Werkzeuge für Datei-, Verzeichnis-, Volume- oder Rohbereichsextraktion auswählen.
2. Schritt 2: Größe, freien Speicher und erwartete Laufzeit vor dem Start kontrollieren.
3. Schritt 3: Ausgabe während des Laufs überwachen und Abbrüche dokumentieren.
4. Schritt 4: Ergebnis anhand von Größe, Prüfsumme und Stichprobe validieren.

7. Mount für externe Werkzeuge

1. Schritt 1: Zweck und Zugriffsanforderungen des externen Werkzeugs vorab klären.
2. Schritt 2: Target schreibgeschützt in eine kontrollierte Mountstruktur bereitstellen.
3. Schritt 3: Pfadabbildung und Dateisicht mit einer bekannten Referenz vergleichen.
4. Schritt 4: Mount nach der Nutzung geordnet lösen und Sitzung protokollieren.

8. Besonderheiten mehrerer Dateisysteme

1. Schritt 1: Gleichnamige Pfade auf unterschiedlichen Volumes eindeutig kennzeichnen.
2. Schritt 2: Betriebssystem-, Daten- und Wiederherstellungsbereiche getrennt behandeln.
3. Schritt 3: Verschachtelte oder virtuelle Dateisysteme als eigene Untersuchungsebenen führen.
4. Schritt 4: Extrakte stets der exakten Quellschicht zuordnen.

9. Integrität und Qualitätssicherung

1. Schritt 1: Schreibschutz und unveränderte Beweismittelquelle während der Arbeit kontrollieren.
2. Schritt 2: Exportlisten, Fehler und Prüfsummen automatisiert oder stichprobenartig prüfen.
3. Schritt 3: Extraktion mit einer unabhängigen Lesemethode gegenvalidieren.
4. Schritt 4: Übergabeverzeichnis mit Herkunft, Umfang und Einschränkungen abschließen.

Praxisübungen

• Navigation in einem Target mit mehreren Volumes und Betriebssystempfaden
• Gezielte Suche und Extraktion einer Artefaktgruppe mit Metadaten und Prüfsummen
• Schreibgeschützte Bereitstellung eines Targets für ein externes Analysewerkzeug
• Validierung einer Datei- und Bereichsextraktion gegen die Quelle

Zielgruppe

DFIR-Analysten, Incident Responder, Datenaufbereiter und Spezialisten für Dateisystem- oder Artefaktanalyse

Voraussetzungen

Grundlagen digitaler Forensik, sichere Kommandozeilenbedienung und Grundverständnis von Datenträgern und Dateisystemen