Seminar iLEAPP Parser-Entwicklung und Artefakt-Erweiterung

Dieses Seminar behandelt die Erweiterung von iLEAPP um eigene Artefakte. Der Schwerpunkt liegt auf der technischen Struktur von Parsern, dem sicheren Einlesen typischer iOS-Dateiformate, der Ausgabe verwertbarer Tabellen und der Qualitätssicherung. Drei Tage sind notwendig, weil Entwicklung ohne Testen nur Basteln wäre. Und Basteln gehört in den Keller, nicht in die Forensik.

Inhaltsverzeichnis

• Aufbau der iLEAPP-Parserstruktur
• Artefaktidentifikation und Pfadmuster
• Einlesen von Plists, SQLite und Textquellen
• Ausgabeformate und Felddefinitionen
• Fehlerbehandlung und robuste Parserlogik
• Test, Validierung und Dokumentation

Seminarprofil

Der Kurs beginnt mit dem Lesen vorhandener Modulstrukturen und führt Schritt für Schritt zur eigenen Erweiterung. Behandelt werden Dateisuche, Datenextraktion, Normalisierung, Zeitumrechnung, Tabellenaufbau und Dokumentation. Der Fokus liegt auf wartbaren Erweiterungen, die in einem Laborprozess nachvollziehbar eingesetzt werden können.

Zielgruppe

Das Seminar richtet sich an technische Forensiker, Analysten mit Skripterfahrung, Laborverantwortliche und Entwickler, die iLEAPP für eigene Artefakte oder interne Prüfprozesse erweitern möchten.

Voraussetzungen

Erforderlich sind Python-Grundkenntnisse. Zusätzlich hilfreich sind Kenntnisse zu SQLite, Plist-Strukturen, JSON, CSV und Zeitstempeln. iLEAPP sollte bereits grundsätzlich bedient werden können.

Seminarinhalte

• Einordnung von Parsern, Artefakten und Ausgabeobjekten
• Analyse bestehender Parser als Vorlage für eigene Arbeiten
• Definition von Suchpfaden und Eingabedateien
• Auslesen von Plists, SQLite-Datenbanken und einfachen Textformaten
• Umgang mit fehlenden Feldern, beschädigten Daten und uneinheitlichen Strukturen
• Normalisierung von Zeitwerten und eindeutige Feldbenennung
• Erzeugung prüfbarer Ausgaben für Bericht und Viewer
• Testdatensätze, Kontrollwerte und technische Dokumentation
• Pflege eigener Erweiterungen ohne unübersichtlichen Wildwuchs

Praxisübungen

Die Teilnehmenden analysieren vorbereitete Artefakte, erstellen ein eigenes Parser-Modul, erzeugen strukturierte Ausgaben und prüfen diese gegen bekannte Kontrollwerte. Fehlerfälle werden bewusst eingebaut, damit robuste Behandlung nicht nur besprochen, sondern geübt wird.

Didaktik und Arbeitsweise

Der Kurs ist ein technischer Workshop. Kurze Architekturabschnitte wechseln mit Entwicklungsphasen und Review-Runden. Code wird nicht als Selbstzweck geschrieben, sondern als Werkzeug für belastbare Artefaktauswertung.