Seminar Joe Sandbox – Supply-Chain- und Softwarepaket-Analyse

Das Seminar behandelt die kontrollierte Analyse von Installern, Softwarepaketen, Updates, Skripten und mehrstufigen Lieferketten. Vertrauensquelle, Signatur, Abhängigkeiten, Installationsverhalten, Persistenz, Netzwerkzugriffe, nachgeladene Komponenten, Versionsvergleich und Freigabekriterien werden mit Joe Sandbox reproduzierbar geprüft.

Inhaltsübersicht

• Lernziele und fachliche Einordnung
• Schrittweise Seminarinhalte
• Praxisübungen und Laborszenarien
• Zielgruppe und Voraussetzungen
• Didaktik und Arbeitsweise

Lernziele

• Softwarepakete und Lieferkettenrisiken strukturiert erfassen.
• Geeignete Analyseumgebungen, Abhängigkeiten und Installationspfade vorbereiten.
• Installations-, Persistenz-, Netzwerk- und Updateverhalten bewerten.
• Versionen, Herausgeber, Signaturen und Folgeartefakte vergleichen.
• Ein reproduzierbares Freigabe- und Abweichungsverfahren erstellen.

Schrittweise Seminarinhalte

1. Prüfumfang und Vertrauensmodell

Schwerpunkt: Herausgeber, Quelle, Hash, Signatur, Zertifikat, Downloadweg, SBOM-Bezug, Version, Lizenz, Risiko und Freigabekriterien.

1. Analyseziel, Ausgangslage und Abnahmekriterien für den Themenblock „Prüfumfang und Vertrauensmodell“ festlegen.
2. Relevante Objekte, Datenquellen, Rollen und Einstellungen anhand von Herausgeber, Quelle, Hash, Signatur, Zertifikat, Downloadweg, SBOM-Bezug, Version, Lizenz, Risiko und Freigabekriterien strukturiert vorbereiten.
3. Den vorgesehenen Analyse-, Konfigurations- oder Integrationsablauf in der Laborumgebung schrittweise durchführen und Zwischenergebnisse sichern.
4. Ergebnisqualität, Fehlerszenarien, Berechtigungen und Sicherheitswirkung mit definierten Positiv- und Negativtests prüfen.
5. Als Arbeitsergebnis einen dokumentierten Supply-Chain-Prüfauftrag dokumentieren, fachlich prüfen und in einen wiederholbaren Standard überführen.

2. Analyseumgebung und Abhängigkeiten

Schwerpunkt: Betriebssystem, Patchstand, Laufzeit, Frameworks, Rechte, Netzwerk, Proxy, Begleitdateien, Konfiguration und reproduzierbare Baseline.

1. Analyseziel, Ausgangslage und Abnahmekriterien für den Themenblock „Analyseumgebung und Abhängigkeiten“ festlegen.
2. Relevante Objekte, Datenquellen, Rollen und Einstellungen anhand von Betriebssystem, Patchstand, Laufzeit, Frameworks, Rechte, Netzwerk, Proxy, Begleitdateien, Konfiguration und reproduzierbare Baseline strukturiert vorbereiten.
3. Den vorgesehenen Analyse-, Konfigurations- oder Integrationsablauf in der Laborumgebung schrittweise durchführen und Zwischenergebnisse sichern.
4. Ergebnisqualität, Fehlerszenarien, Berechtigungen und Sicherheitswirkung mit definierten Positiv- und Negativtests prüfen.
5. Als Arbeitsergebnis ein geeignetes Paket-Analyseprofil dokumentieren, fachlich prüfen und in einen wiederholbaren Standard überführen.

3. Installer, Skripte und mehrstufige Ausführung

Schwerpunkt: MSI, EXE, PKG, DMG, Archive, Shell, PowerShell, Child Installer, Downloads, Parameter, Benutzerinteraktion und Neustart.

1. Analyseziel, Ausgangslage und Abnahmekriterien für den Themenblock „Installer, Skripte und mehrstufige Ausführung“ festlegen.
2. Relevante Objekte, Datenquellen, Rollen und Einstellungen anhand von MSI, EXE, PKG, DMG, Archive, Shell, PowerShell, Child Installer, Downloads, Parameter, Benutzerinteraktion und Neustart strukturiert vorbereiten.
3. Den vorgesehenen Analyse-, Konfigurations- oder Integrationsablauf in der Laborumgebung schrittweise durchführen und Zwischenergebnisse sichern.
4. Ergebnisqualität, Fehlerszenarien, Berechtigungen und Sicherheitswirkung mit definierten Positiv- und Negativtests prüfen.
5. Als Arbeitsergebnis eine vollständige Installations- und Ausführungskette dokumentieren, fachlich prüfen und in einen wiederholbaren Standard überführen.

4. Systemänderungen und Persistenz

Schwerpunkt: Dateien, Registry, Services, Tasks, Treiber, Benutzer, Rechte, Browsererweiterungen, Autostart und Deinstallation.

1. Analyseziel, Ausgangslage und Abnahmekriterien für den Themenblock „Systemänderungen und Persistenz“ festlegen.
2. Relevante Objekte, Datenquellen, Rollen und Einstellungen anhand von Dateien, Registry, Services, Tasks, Treiber, Benutzer, Rechte, Browsererweiterungen, Autostart und Deinstallation strukturiert vorbereiten.
3. Den vorgesehenen Analyse-, Konfigurations- oder Integrationsablauf in der Laborumgebung schrittweise durchführen und Zwischenergebnisse sichern.
4. Ergebnisqualität, Fehlerszenarien, Berechtigungen und Sicherheitswirkung mit definierten Positiv- und Negativtests prüfen.
5. Als Arbeitsergebnis eine priorisierte Änderungs- und Persistenzbewertung dokumentieren, fachlich prüfen und in einen wiederholbaren Standard überführen.

5. Netzwerk, Telemetrie und nachgeladene Komponenten

Schwerpunkt: Domains, IPs, URLs, TLS, Telemetrie, Updates, C2-ähnliche Muster, Drittanbieter, Payloads, Exfiltration und Datenschutz.

1. Analyseziel, Ausgangslage und Abnahmekriterien für den Themenblock „Netzwerk, Telemetrie und nachgeladene Komponenten“ festlegen.
2. Relevante Objekte, Datenquellen, Rollen und Einstellungen anhand von Domains, IPs, URLs, TLS, Telemetrie, Updates, C2-ähnliche Muster, Drittanbieter, Payloads, Exfiltration und Datenschutz strukturiert vorbereiten.
3. Den vorgesehenen Analyse-, Konfigurations- oder Integrationsablauf in der Laborumgebung schrittweise durchführen und Zwischenergebnisse sichern.
4. Ergebnisqualität, Fehlerszenarien, Berechtigungen und Sicherheitswirkung mit definierten Positiv- und Negativtests prüfen.
5. Als Arbeitsergebnis eine kommentierte Netzwerk- und Abhängigkeitskarte dokumentieren, fachlich prüfen und in einen wiederholbaren Standard überführen.

6. Versionsvergleich und Anomalieerkennung

Schwerpunkt: Vorversion, neue Version, Hashes, Signaturen, Dateiliste, Verhalten, Netzwerkziele, Berechtigungen, neue Komponenten und Regression.

1. Analyseziel, Ausgangslage und Abnahmekriterien für den Themenblock „Versionsvergleich und Anomalieerkennung“ festlegen.
2. Relevante Objekte, Datenquellen, Rollen und Einstellungen anhand von Vorversion, neue Version, Hashes, Signaturen, Dateiliste, Verhalten, Netzwerkziele, Berechtigungen, neue Komponenten und Regression strukturiert vorbereiten.
3. Den vorgesehenen Analyse-, Konfigurations- oder Integrationsablauf in der Laborumgebung schrittweise durchführen und Zwischenergebnisse sichern.
4. Ergebnisqualität, Fehlerszenarien, Berechtigungen und Sicherheitswirkung mit definierten Positiv- und Negativtests prüfen.
5. Als Arbeitsergebnis einen nachvollziehbaren Differenz- und Anomaliebericht dokumentieren, fachlich prüfen und in einen wiederholbaren Standard überführen.

7. Freigabe, Ausnahmen und kontinuierliche Prüfung

Schwerpunkt: Akzeptanz, Ablehnung, Restbedingung, Herstellerklärung, kompensierende Maßnahmen, Re-Analyse, Updatezyklus und Nachweisführung.

1. Analyseziel, Ausgangslage und Abnahmekriterien für den Themenblock „Freigabe, Ausnahmen und kontinuierliche Prüfung“ festlegen.
2. Relevante Objekte, Datenquellen, Rollen und Einstellungen anhand von Akzeptanz, Ablehnung, Restbedingung, Herstellerklärung, kompensierende Maßnahmen, Re-Analyse, Updatezyklus und Nachweisführung strukturiert vorbereiten.
3. Den vorgesehenen Analyse-, Konfigurations- oder Integrationsablauf in der Laborumgebung schrittweise durchführen und Zwischenergebnisse sichern.
4. Ergebnisqualität, Fehlerszenarien, Berechtigungen und Sicherheitswirkung mit definierten Positiv- und Negativtests prüfen.
5. Als Arbeitsergebnis einen wiederholbaren Softwarefreigabeprozess dokumentieren, fachlich prüfen und in einen wiederholbaren Standard überführen.

Praxisübungen und Laborszenarien

• Analyse eines Installers mit mehreren nachgeladenen Komponenten.
• Vergleich zweier Softwareversionen hinsichtlich Verhalten und Netzwerkzielen.
• Erstellung eines Freigabeberichts mit Abweichungen und Auflagen.

Zielgruppe und Voraussetzungen

Zielgruppe: Softwarefreigabe, DevSecOps, CERT, Malware-Analyse, Endpoint Engineering, Einkauf, Qualitätssicherung und Informationssicherheit.

Voraussetzungen: Grundkenntnisse in Softwarepaketierung, Signaturen, Windows- oder Linux-Installation und Sicherheitsprüfung.

Didaktik und Arbeitsweise

Kurze Fachimpulse werden unmittelbar durch Demonstrationen, strukturierte Analyseschritte, praktische Übungen und kontrollierte Fehlerfälle vertieft. Jede Übung verwendet definierte Ausgangswerte, Prüfpunkte und Dokumentationsanforderungen, damit die erarbeiteten Abläufe als Analyse-, Integrations- oder Betriebsstandard wiederholbar bleiben.