Seminar Velociraptor – Offline Collectors und agentenlose Erhebung

Beschreibung

Das Seminar behandelt Erhebungen auf Systemen, die keinen dauerhaft installierten Client erhalten können oder sollen. Offline Collectors werden zielgerichtet konfiguriert, paketiert, ausgeführt, geschützt, zurückgeführt und anschließend zentral oder lokal ausgewertet.

Inhaltsverzeichnis

1. Beschreibung
2. Lernziele
3. Zielgruppe
4. Voraussetzungen
5. Themen und Lernschritte
6. Praktische Übungen
7. Einordnung in den Lernpfad

Lernziele

Nach dem Seminar können Collector-Pakete mit begrenztem Umfang erstellt, sicher verteilt, ohne Dauerinstallation ausgeführt und mit Integritäts-, Datenschutz- und Rückführungsregeln in einen forensischen Prozess eingebunden werden.

Zielgruppe

Incident Responder, Forensiker, Administratoren, Außendienst- und Response-Teams sowie Verantwortliche für isolierte oder regulierte Systeme.

Voraussetzungen

Grundlagen der Endpoint-Forensik und sichere Betriebssystemkenntnisse. Erfahrung mit Artefakten ist hilfreich.

Themen und Lernschritte

Tag 1: Collector-Design und sichere Paketierung

1. Schritt 1: Ermittlungsziel, Zielplattform, Datenumfang und Ausführungsbedingungen festlegen.
2. Schritt 2: Artefakte und Parameter auf minimale notwendige Erhebung begrenzen.
3. Schritt 3: Collector mit Ausgabeformat, Kompression, Verschlüsselung und Ressourcenlimits konfigurieren.
4. Schritt 4: Paket in einer repräsentativen Testumgebung ausführen und Laufzeit sowie Größe messen.
5. Schritt 5: Verteil-, Freigabe- und Identitätsverfahren für isolierte Systeme dokumentieren.

Tag 2: Ausführung, Rückführung und Auswertung

1. Schritt 1: Collector mit kontrolliertem Benutzer- und Rechtekontext starten.
2. Schritt 2: Status, Logs, Teilresultate und Abbruchfälle während der Ausführung behandeln.
3. Schritt 3: Ergebnispaket sicher zurückführen und Hashwerte sowie Vollständigkeit prüfen.
4. Schritt 4: Daten zentral importieren oder lokal mit nachvollziehbaren Parametern auswerten.
5. Schritt 5: Temporäre Dateien, Zugänge und Pakete nach erfolgreicher Übergabe kontrolliert entfernen.

Praktische Übungen

1. Einen Offline Collector für eine definierte Triage zusammenstellen.
2. Ressourcen-, Größen- und Zeitgrenzen messen und anpassen.
3. Ein verschlüsseltes Ergebnispaket zurückführen und auf Integrität prüfen.
4. Collector-Ausführung, Import und Rückbau vollständig protokollieren.

Einordnung in den Lernpfad

Geeignet nach „Grundlagen und Admin-GUI“ oder „Forensische Dateisammlung und Beweissicherung“. Offline-Images werden im Remapping-Seminar vertieft.