Seminar Turbinia – Architektur und Grundlagen

Das Grundlagenseminar vermittelt das Architekturmodell und die zentrale Begriffswelt von Turbinia. An einem vollständigen Beispiel wird nachvollzogen, wie ein forensisches Beweismittel vom Request über Jobs und Tasks zu Worker-Ausführung, Ergebnissen und neu erzeugter Evidence gelangt.

Inhaltsübersicht

• Zielsetzung
• Zielgruppe
• Voraussetzungen
• Seminarinhalte
• Praxisübungen
• Methodik

Zielsetzung

• Aufgabe und Einsatzgrenzen einer verteilten forensischen Verarbeitung erklären
• Client, Server, API, Worker, Queue und Speicher eindeutig zuordnen
• Jobs, Tasks, Evidence, Prozessoren und Task Manager im Ablauf unterscheiden
• Lokale, Cloud- und hybride Architekturvarianten fundiert bewerten

Zielgruppe

Neue Mitglieder in DFIR-, SOC-, Plattform- und Entwicklungsteams, technische Projektleitung, Architekturverantwortliche und Personen, die den weiteren Lernpfad planen.

Voraussetzungen

Allgemeine IT- und Linux-Grundkenntnisse. Vorkenntnisse in Turbinia oder Python sind nicht erforderlich.

Seminarinhalte

1. Schritt 1: Forensische Arbeitslast einordnen

   Typische Mengen-, Laufzeit- und Parallelisierungsprobleme werden beschrieben und der Nutzen eines verteilten Frameworks daraus abgeleitet.

2. Schritt 2: Komponentenmodell aufbauen

   Client, API, Server, Message Broker, Worker, Speicher und optionale Oberfläche werden in einem gemeinsamen Architekturdiagramm verknüpft.

3. Schritt 3: Job und Task unterscheiden

   Ein Job erzeugt abhängig von Evidence und Konfiguration einzelne Tasks; der Task bildet die kleinste plan- und ausführbare Arbeitseinheit.

4. Schritt 4: Evidence-Lebenszyklus verstehen

   Metadaten, Datenpfade, lokale beziehungsweise entfernte Evidence und neu erzeugte Evidence werden vom Eingang bis zur Weiterverarbeitung verfolgt.

5. Schritt 5: Task Manager nachvollziehen

   Jobauswahl, Task-Erzeugung, Priorisierung, Worker-Ausführung, Ergebnisverarbeitung und erneute Jobbewertung werden als Regelkreis betrachtet.

6. Schritt 6: Worker-Ausführung beobachten

   Ein Beispielauftrag wird eingereicht; Worker-Zuordnung, Laufzeit, Logs und Abschlusszustand werden Schritt für Schritt ausgewertet.

7. Schritt 7: Architekturvarianten vergleichen

   Lokale, Cloud- und hybride Bereitstellung werden nach Skalierung, Speicherzugriff, Netzwerk, Kosten und Betriebsaufwand bewertet.

8. Schritt 8: Einsatz- und Wartungsstrategie festlegen

   Bestehender Betrieb, begrenzte Erweiterung und geordnete Migrationsplanung werden als getrennte Entscheidungsbereiche dokumentiert.

Praxisübungen

• Komponenten und Datenflüsse in einem Architekturmodell beschriften
• Aus einem Beispiel-Job die erwarteten Tasks und Evidence-Beziehungen ableiten
• Lokale und hybride Bereitstellung anhand eines Kriterienrasters vergleichen
• Einen persönlichen Lernpfad aus den weiterführenden Seminaren zusammenstellen

Methodik

Das Seminar kombiniert Architekturvisualisierung, begriffliche Übungen, eine geführte Demonstration und kurze Entscheidungsszenarien. Die Inhalte werden ohne unnötige Implementierungsdetails aufgebaut.