Seminar Joe Sandbox – Joe Lab: Bare-Metal-Analyse und Analystenlabor

Das Seminar behandelt die ergänzende manuelle Untersuchung in Joe Lab. Dedizierte Bare-Metal-Systeme, Browser-VNC, Dateisystemzugriff, Images und gespeicherte Zustände, Internet-Ausgänge, simuliertes Internet, PCAP, Werkzeugnutzung, Langzeitbeobachtung, Rücksetzung und Übergabe an Joe-Sandbox- und DFIR-Prozesse werden praxisnah aufgebaut.

Inhaltsübersicht

• Lernziele und fachliche Einordnung
• Schrittweise Seminarinhalte
• Praxisübungen und Laborszenarien
• Zielgruppe und Voraussetzungen
• Didaktik und Arbeitsweise

Lernziele

• Joe Lab gegenüber automatisierter Sandbox-Analyse sachgerecht abgrenzen.
• Bare-Metal-Systeme, Images, Zustände und Netzwerkmodi sicher steuern.
• Werkzeuge und Dateien kontrolliert übertragen und einsetzen.
• PCAP, Screenshots und Langzeitbeobachtung beweissicher durchführen.
• Reproduzierbare Übergaben an Reverse Engineering, DFIR und Detection Engineering erstellen.

Schrittweise Seminarinhalte

1. Joe Lab und Joe Sandbox im Analysemodell

Schwerpunkt: automatisierte Analyse, manuelle Untersuchung, Bare Metal, Langzeitbeobachtung, Endpoint Testing, Eskalationskriterien und Verantwortungsgrenzen.

1. Analyseziel, Ausgangslage und Abnahmekriterien für den Themenblock „Joe Lab und Joe Sandbox im Analysemodell“ festlegen.
2. Relevante Objekte, Datenquellen, Rollen und Einstellungen anhand von automatisierte Analyse, manuelle Untersuchung, Bare Metal, Langzeitbeobachtung, Endpoint Testing, Eskalationskriterien und Verantwortungsgrenzen strukturiert vorbereiten.
3. Den vorgesehenen Analyse-, Konfigurations- oder Integrationsablauf in der Laborumgebung schrittweise durchführen und Zwischenergebnisse sichern.
4. Ergebnisqualität, Fehlerszenarien, Berechtigungen und Sicherheitswirkung mit definierten Positiv- und Negativtests prüfen.
5. Als Arbeitsergebnis eine eindeutige Einsatz- und Eskalationsmatrix dokumentieren, fachlich prüfen und in einen wiederholbaren Standard überführen.

2. Maschinen, Images und gespeicherte Zustände

Schwerpunkt: dedizierte Systeme, verfügbare Images, Golden State, Reset, gespeicherte Investigation States, Integrität und Wiederholbarkeit.

1. Analyseziel, Ausgangslage und Abnahmekriterien für den Themenblock „Maschinen, Images und gespeicherte Zustände“ festlegen.
2. Relevante Objekte, Datenquellen, Rollen und Einstellungen anhand von dedizierte Systeme, verfügbare Images, Golden State, Reset, gespeicherte Investigation States, Integrität und Wiederholbarkeit strukturiert vorbereiten.
3. Den vorgesehenen Analyse-, Konfigurations- oder Integrationsablauf in der Laborumgebung schrittweise durchführen und Zwischenergebnisse sichern.
4. Ergebnisqualität, Fehlerszenarien, Berechtigungen und Sicherheitswirkung mit definierten Positiv- und Negativtests prüfen.
5. Als Arbeitsergebnis einen kontrollierten Image- und Zustandsprozess dokumentieren, fachlich prüfen und in einen wiederholbaren Standard überführen.

3. Browser-VNC und Dateisystemzugriff

Schwerpunkt: Sitzungsstart, Bildschirmzugriff, Dateiupload, Download, Verzeichnisse, Prüfsummen, Quarantäne, Zwischenstände und Beweissicherung.

1. Analyseziel, Ausgangslage und Abnahmekriterien für den Themenblock „Browser-VNC und Dateisystemzugriff“ festlegen.
2. Relevante Objekte, Datenquellen, Rollen und Einstellungen anhand von Sitzungsstart, Bildschirmzugriff, Dateiupload, Download, Verzeichnisse, Prüfsummen, Quarantäne, Zwischenstände und Beweissicherung strukturiert vorbereiten.
3. Den vorgesehenen Analyse-, Konfigurations- oder Integrationsablauf in der Laborumgebung schrittweise durchführen und Zwischenergebnisse sichern.
4. Ergebnisqualität, Fehlerszenarien, Berechtigungen und Sicherheitswirkung mit definierten Positiv- und Negativtests prüfen.
5. Als Arbeitsergebnis einen sicheren manuellen Arbeits- und Dateitransferprozess dokumentieren, fachlich prüfen und in einen wiederholbaren Standard überführen.

4. Netzwerk, Exit Points und Internet-Simulation

Schwerpunkt: anonymisierte Ausgänge, Regionen, DNS, Routing, simuliertes Internet, Isolation, Sperren, Netzwerkzustände und Ausleitungsregeln.

1. Analyseziel, Ausgangslage und Abnahmekriterien für den Themenblock „Netzwerk, Exit Points und Internet-Simulation“ festlegen.
2. Relevante Objekte, Datenquellen, Rollen und Einstellungen anhand von anonymisierte Ausgänge, Regionen, DNS, Routing, simuliertes Internet, Isolation, Sperren, Netzwerkzustände und Ausleitungsregeln strukturiert vorbereiten.
3. Den vorgesehenen Analyse-, Konfigurations- oder Integrationsablauf in der Laborumgebung schrittweise durchführen und Zwischenergebnisse sichern.
4. Ergebnisqualität, Fehlerszenarien, Berechtigungen und Sicherheitswirkung mit definierten Positiv- und Negativtests prüfen.
5. Als Arbeitsergebnis ein dokumentiertes Netzwerk- und Exit-Point-Modell dokumentieren, fachlich prüfen und in einen wiederholbaren Standard überführen.

5. PCAP, Screenshots und Langzeitbeobachtung

Schwerpunkt: Aufzeichnungsstart und -stopp, Zeitbezug, Paketdaten, Screenshots, Beobachtungsfenster, persistentes Verhalten und Speicherbedarf.

1. Analyseziel, Ausgangslage und Abnahmekriterien für den Themenblock „PCAP, Screenshots und Langzeitbeobachtung“ festlegen.
2. Relevante Objekte, Datenquellen, Rollen und Einstellungen anhand von Aufzeichnungsstart und -stopp, Zeitbezug, Paketdaten, Screenshots, Beobachtungsfenster, persistentes Verhalten und Speicherbedarf strukturiert vorbereiten.
3. Den vorgesehenen Analyse-, Konfigurations- oder Integrationsablauf in der Laborumgebung schrittweise durchführen und Zwischenergebnisse sichern.
4. Ergebnisqualität, Fehlerszenarien, Berechtigungen und Sicherheitswirkung mit definierten Positiv- und Negativtests prüfen.
5. Als Arbeitsergebnis einen beweisfähigen Langzeit- und PCAP-Testplan dokumentieren, fachlich prüfen und in einen wiederholbaren Standard überführen.

6. Werkzeuge und analystengesteuerte Untersuchung

Schwerpunkt: Debugger, Disassembler, Netzwerktools, Skripte, Konfiguration, Systemänderungen, kontrollierte Ausführung und Rücksetzung.

1. Analyseziel, Ausgangslage und Abnahmekriterien für den Themenblock „Werkzeuge und analystengesteuerte Untersuchung“ festlegen.
2. Relevante Objekte, Datenquellen, Rollen und Einstellungen anhand von Debugger, Disassembler, Netzwerktools, Skripte, Konfiguration, Systemänderungen, kontrollierte Ausführung und Rücksetzung strukturiert vorbereiten.
3. Den vorgesehenen Analyse-, Konfigurations- oder Integrationsablauf in der Laborumgebung schrittweise durchführen und Zwischenergebnisse sichern.
4. Ergebnisqualität, Fehlerszenarien, Berechtigungen und Sicherheitswirkung mit definierten Positiv- und Negativtests prüfen.
5. Als Arbeitsergebnis einen freigegebenen Werkzeug- und Analystenworkflow dokumentieren, fachlich prüfen und in einen wiederholbaren Standard überführen.

7. Reproduzierbarkeit und Analyseübergabe

Schwerpunkt: Notizen, Zeitlinie, Hashwerte, Zustandsname, Netzwerkmodus, Werkzeugversionen, Ergebnisse, erneute Ausführung und Übergabe an Sandbox oder DFIR.

1. Analyseziel, Ausgangslage und Abnahmekriterien für den Themenblock „Reproduzierbarkeit und Analyseübergabe“ festlegen.
2. Relevante Objekte, Datenquellen, Rollen und Einstellungen anhand von Notizen, Zeitlinie, Hashwerte, Zustandsname, Netzwerkmodus, Werkzeugversionen, Ergebnisse, erneute Ausführung und Übergabe an Sandbox oder DFIR strukturiert vorbereiten.
3. Den vorgesehenen Analyse-, Konfigurations- oder Integrationsablauf in der Laborumgebung schrittweise durchführen und Zwischenergebnisse sichern.
4. Ergebnisqualität, Fehlerszenarien, Berechtigungen und Sicherheitswirkung mit definierten Positiv- und Negativtests prüfen.
5. Als Arbeitsergebnis ein vollständiges Analysten- und Evidenzpaket dokumentieren, fachlich prüfen und in einen wiederholbaren Standard überführen.

Praxisübungen und Laborszenarien

• Aufbau einer Bare-Metal-Untersuchung mit definiertem Image und Netzwerkmodus.
• Durchführung eines Dateitransfers, PCAP-Mitschnitts und kontrollierten Resets.
• Erstellung eines reproduzierbaren Analystenprotokolls mit Übergabepaket.

Zielgruppe und Voraussetzungen

Zielgruppe: Erfahrene Malware-Analysten, Reverse Engineering, DFIR, Threat Research, Detection Engineering und Endpoint Testing.

Voraussetzungen: Praxiskenntnisse in manueller Malware-Analyse, Netzwerkforensik und sicherem Umgang mit Schadsoftware.

Didaktik und Arbeitsweise

Kurze Fachimpulse werden unmittelbar durch Demonstrationen, strukturierte Analyseschritte, praktische Übungen und kontrollierte Fehlerfälle vertieft. Jede Übung verwendet definierte Ausgangswerte, Prüfpunkte und Dokumentationsanforderungen, damit die erarbeiteten Abläufe als Analyse-, Integrations- oder Betriebsstandard wiederholbar bleiben.