Seminar Joe Sandbox – Live Interaction und manuelle Analyse

Das Seminar vermittelt die kontrollierte manuelle Arbeit in laufenden Analyseumgebungen. Benutzerinteraktionen, benutzerdefinierte Startparameter, zusätzliche Werkzeuge, Systemänderungen, Echtzeit-Signaturen, IOCs, Prozessdaten und Evidenz werden so eingesetzt, dass komplexe Malware- und Phishing-Szenarien reproduzierbar untersucht werden können.

Inhaltsübersicht

• Lernziele und fachliche Einordnung
• Schrittweise Seminarinhalte
• Praxisübungen und Laborszenarien
• Zielgruppe und Voraussetzungen
• Didaktik und Arbeitsweise

Lernziele

• Interaktive Analysen sicher vorbereiten und begrenzen.
• Komplexe Benutzeraktionen, Installationen, Kommandozeilen und Schutzmechanismen manuell bearbeiten.
• Echtzeitdaten zu Prozessen, Signaturen und IOCs während der Untersuchung nutzen.
• Zusatzwerkzeuge und Testdateien kontrolliert einsetzen.
• Evidenz, Reproduzierbarkeit und Analystenübergabe gewährleisten.

Schrittweise Seminarinhalte

1. Sicherheitsmodell und Sitzungsplanung

Schwerpunkt: isolierte Umgebung, Testdaten, Benutzerkonten, Internetmodus, Zeitbudget, Werkzeugfreigabe, Stop-Kriterien und Beweisanforderungen.

1. Analyseziel, Ausgangslage und Abnahmekriterien für den Themenblock „Sicherheitsmodell und Sitzungsplanung“ festlegen.
2. Relevante Objekte, Datenquellen, Rollen und Einstellungen anhand von isolierte Umgebung, Testdaten, Benutzerkonten, Internetmodus, Zeitbudget, Werkzeugfreigabe, Stop-Kriterien und Beweisanforderungen strukturiert vorbereiten.
3. Den vorgesehenen Analyse-, Konfigurations- oder Integrationsablauf in der Laborumgebung schrittweise durchführen und Zwischenergebnisse sichern.
4. Ergebnisqualität, Fehlerszenarien, Berechtigungen und Sicherheitswirkung mit definierten Positiv- und Negativtests prüfen.
5. Als Arbeitsergebnis einen kontrollierten Live-Interaction-Testplan dokumentieren, fachlich prüfen und in einen wiederholbaren Standard überführen.

2. Manuelle Malware-Ausführung

Schwerpunkt: benutzerdefinierte Kommandozeilen, Abhängigkeiten, Installer, Konfigurationsdateien, Dienststart, Rechtekontext und alternative Ausführungspfade.

1. Analyseziel, Ausgangslage und Abnahmekriterien für den Themenblock „Manuelle Malware-Ausführung“ festlegen.
2. Relevante Objekte, Datenquellen, Rollen und Einstellungen anhand von benutzerdefinierte Kommandozeilen, Abhängigkeiten, Installer, Konfigurationsdateien, Dienststart, Rechtekontext und alternative Ausführungspfade strukturiert vorbereiten.
3. Den vorgesehenen Analyse-, Konfigurations- oder Integrationsablauf in der Laborumgebung schrittweise durchführen und Zwischenergebnisse sichern.
4. Ergebnisqualität, Fehlerszenarien, Berechtigungen und Sicherheitswirkung mit definierten Positiv- und Negativtests prüfen.
5. Als Arbeitsergebnis einen reproduzierbaren manuellen Detonationsablauf dokumentieren, fachlich prüfen und in einen wiederholbaren Standard überführen.

3. Manuelle Phishing- und Browseranalyse

Schwerpunkt: Navigation, Downloads, eingebettete Links, Formulare, Schutzmechanismen, Weiterleitungen, Testeingaben und Seitenzustände.

1. Analyseziel, Ausgangslage und Abnahmekriterien für den Themenblock „Manuelle Phishing- und Browseranalyse“ festlegen.
2. Relevante Objekte, Datenquellen, Rollen und Einstellungen anhand von Navigation, Downloads, eingebettete Links, Formulare, Schutzmechanismen, Weiterleitungen, Testeingaben und Seitenzustände strukturiert vorbereiten.
3. Den vorgesehenen Analyse-, Konfigurations- oder Integrationsablauf in der Laborumgebung schrittweise durchführen und Zwischenergebnisse sichern.
4. Ergebnisqualität, Fehlerszenarien, Berechtigungen und Sicherheitswirkung mit definierten Positiv- und Negativtests prüfen.
5. Als Arbeitsergebnis einen kontrollierten manuellen Webanalyseablauf dokumentieren, fachlich prüfen und in einen wiederholbaren Standard überführen.

4. Echtzeitdaten und Signaturtreffer

Schwerpunkt: Prozessbaum, Verdikt, IOCs, YARA, Sigma, Suricata, Verhaltenssignaturen, Zeitlinie und laufende Hypothesenanpassung.

1. Analyseziel, Ausgangslage und Abnahmekriterien für den Themenblock „Echtzeitdaten und Signaturtreffer“ festlegen.
2. Relevante Objekte, Datenquellen, Rollen und Einstellungen anhand von Prozessbaum, Verdikt, IOCs, YARA, Sigma, Suricata, Verhaltenssignaturen, Zeitlinie und laufende Hypothesenanpassung strukturiert vorbereiten.
3. Den vorgesehenen Analyse-, Konfigurations- oder Integrationsablauf in der Laborumgebung schrittweise durchführen und Zwischenergebnisse sichern.
4. Ergebnisqualität, Fehlerszenarien, Berechtigungen und Sicherheitswirkung mit definierten Positiv- und Negativtests prüfen.
5. Als Arbeitsergebnis ein Live-Analyseprotokoll mit Hypothesen und Befunden dokumentieren, fachlich prüfen und in einen wiederholbaren Standard überführen.

5. Zusatzwerkzeuge und Systemänderungen

Schwerpunkt: Werkzeug-Upload, Konfiguration, Netzwerkdiagnose, Dateiextraktion, Systemparameter, Softwareinstallation und sichere Rücksetzung.

1. Analyseziel, Ausgangslage und Abnahmekriterien für den Themenblock „Zusatzwerkzeuge und Systemänderungen“ festlegen.
2. Relevante Objekte, Datenquellen, Rollen und Einstellungen anhand von Werkzeug-Upload, Konfiguration, Netzwerkdiagnose, Dateiextraktion, Systemparameter, Softwareinstallation und sichere Rücksetzung strukturiert vorbereiten.
3. Den vorgesehenen Analyse-, Konfigurations- oder Integrationsablauf in der Laborumgebung schrittweise durchführen und Zwischenergebnisse sichern.
4. Ergebnisqualität, Fehlerszenarien, Berechtigungen und Sicherheitswirkung mit definierten Positiv- und Negativtests prüfen.
5. Als Arbeitsergebnis einen freigegebenen Werkzeug- und Änderungskatalog dokumentieren, fachlich prüfen und in einen wiederholbaren Standard überführen.

6. Laufzeitsteuerung und Fehlerfälle

Schwerpunkt: Analyse verlängern oder stoppen, abgestürzte Prozesse, blockierte Interaktion, Netzwerkfehler, falsche Umgebung, erneute Submission und Alternativpfade.

1. Analyseziel, Ausgangslage und Abnahmekriterien für den Themenblock „Laufzeitsteuerung und Fehlerfälle“ festlegen.
2. Relevante Objekte, Datenquellen, Rollen und Einstellungen anhand von Analyse verlängern oder stoppen, abgestürzte Prozesse, blockierte Interaktion, Netzwerkfehler, falsche Umgebung, erneute Submission und Alternativpfade strukturiert vorbereiten.
3. Den vorgesehenen Analyse-, Konfigurations- oder Integrationsablauf in der Laborumgebung schrittweise durchführen und Zwischenergebnisse sichern.
4. Ergebnisqualität, Fehlerszenarien, Berechtigungen und Sicherheitswirkung mit definierten Positiv- und Negativtests prüfen.
5. Als Arbeitsergebnis einen Diagnose- und Eskalationsbaum für interaktive Analysen dokumentieren, fachlich prüfen und in einen wiederholbaren Standard überführen.

7. Evidenz, Dokumentation und Reproduzierbarkeit

Schwerpunkt: Screenshots, Video, PCAP, Speicher, Dateien, DOM, Zeitstempel, Analystennotizen, Prüfsummen und Wiederholungsanleitung.

1. Analyseziel, Ausgangslage und Abnahmekriterien für den Themenblock „Evidenz, Dokumentation und Reproduzierbarkeit“ festlegen.
2. Relevante Objekte, Datenquellen, Rollen und Einstellungen anhand von Screenshots, Video, PCAP, Speicher, Dateien, DOM, Zeitstempel, Analystennotizen, Prüfsummen und Wiederholungsanleitung strukturiert vorbereiten.
3. Den vorgesehenen Analyse-, Konfigurations- oder Integrationsablauf in der Laborumgebung schrittweise durchführen und Zwischenergebnisse sichern.
4. Ergebnisqualität, Fehlerszenarien, Berechtigungen und Sicherheitswirkung mit definierten Positiv- und Negativtests prüfen.
5. Als Arbeitsergebnis ein vollständiges und reproduzierbares Evidenzpaket dokumentieren, fachlich prüfen und in einen wiederholbaren Standard überführen.

Praxisübungen und Laborszenarien

• Manuelle Ausführung einer Probe mit benutzerdefinierten Parametern und Begleitdateien.
• Interaktive Analyse einer mehrstufigen Phishing-Seite mit Echtzeitbefunden.
• Erstellung eines Evidenzpakets und einer unabhängigen Wiederholungsanleitung.

Zielgruppe und Voraussetzungen

Zielgruppe: Malware-Analysten, SOC, CERT, DFIR, Threat Hunter und Detection Engineering.

Voraussetzungen: Praxiskenntnisse in Malware- oder Phishing-Analyse sowie Joe-Sandbox-Grundlagen.

Didaktik und Arbeitsweise

Kurze Fachimpulse werden unmittelbar durch Demonstrationen, strukturierte Analyseschritte, praktische Übungen und kontrollierte Fehlerfälle vertieft. Jede Übung verwendet definierte Ausgangswerte, Prüfpunkte und Dokumentationsanforderungen, damit die erarbeiteten Abläufe als Analyse-, Integrations- oder Betriebsstandard wiederholbar bleiben.