Seminar John the Ripper Forensik und Incident Response

Inhaltsübersicht

• Beschreibung und Einordnung
• Zielgruppe
• Voraussetzungen
• Seminarinhalte als Schrittfolge
• Praxisübungen
• Dokumentation und sichere Nutzung

Beschreibung und Einordnung

Dieses Seminar behandelt den Einsatz von John the Ripper in forensischen und reaktiven Situationen. Der Schwerpunkt liegt auf Beweissicherung, Ketten der Nachvollziehbarkeit, Labortrennung, Wiederherstellung berechtigt benötigter Passwörter und Bewertung von kompromittierten Zugangsdaten. Es wird konsequent zwischen technischer Möglichkeit und zulässigem Untersuchungsauftrag getrennt. In der Forensik ist ein sauberer Prozess wichtiger als ein schneller Treffer.

Alle Übungen sind auf freigegebene Laborbeispiele beschränkt. Produktive Systeme, fremde Datenbestände und nicht genehmigte Prüfungen sind kein Bestandteil des Seminars.

Zielgruppe

Forensiker, Incident-Response-Teams, Security Operations, Administratoren in Notfallrollen und Ermittlungsunterstützung innerhalb autorisierter Mandate.

Voraussetzungen

Grundlagen in digitaler Forensik, Dateisystemen, Hashverfahren und sicherer Beweismittelbehandlung.

Seminarinhalte als Schrittfolge

Schritt 1: Untersuchungsauftrag abgrenzen

Fragestellung, Berechtigung, Datenumfang und Verantwortlichkeiten werden dokumentiert. Ohne saubere Freigabe findet keine technische Prüfung statt.

Schritt 2: Beweismittel und Arbeitskopien trennen

Originaldaten, Arbeitskopien, Hashdateien und Auswertungsergebnisse werden sauber separiert. Änderungen an Ausgangsdaten werden vermieden.

Schritt 3: Relevante Passwortartefakte identifizieren

Lokale Konten, Dokumente, Archive, Schlüsseldateien und Container werden auf ihre Prüf- und Wiederherstellungsrelevanz eingeordnet.

Schritt 4: Laborprüfung kontrolliert durchführen

Prüfläufe werden nachvollziehbar gestartet, überwacht, unterbrochen und fortgesetzt. Jede Phase erhält eine klare Dokumentation.

Schritt 5: Funde forensisch bewerten

Treffer werden nicht isoliert betrachtet, sondern mit Zeitbezug, Systemkontext, Benutzerrolle und Untersuchungsziel abgeglichen.

Schritt 6: Sensible Informationen schützen

Gefundene Passwörter und personenbezogene Informationen werden minimiert, geschützt und nur zweckgebunden weitergegeben.

Schritt 7: Berichtsspur erstellen

Die technische Durchführung, eingesetzte Daten, Ergebnisse und Grenzen werden so beschrieben, dass sie später überprüfbar bleiben.

Praxisübungen

• Aufbau einer Beweismittel- und Arbeitskopienstruktur
• Prüfung freigegebener Laborartefakte
• Dokumentation eines reproduzierbaren Prüfpfads
• Bewertung sensibler Funde im Incident-Kontext

Dokumentation und sichere Nutzung

Die erarbeiteten Abläufe werden so dokumentiert, dass spätere Prüfungen wiederholbar, nachvollziehbar und auf den freigegebenen Zweck begrenzt bleiben. Sensible Treffer werden minimiert dargestellt und nicht unnötig verteilt.