Seminar Turbinia – Beweismittel, Evidence-Typen und Verarbeitungspipelines

Die Qualität einer Turbinia-Verarbeitung hängt wesentlich von der korrekten Modellierung und Übergabe der Evidence ab. Das Seminar behandelt Evidence-Typen, Metadaten, Pfade, Kopierbarkeit, Cloud-Bezug, Vor- und Nachverarbeitung sowie die Entstehung mehrstufiger forensischer Pipelines.

Inhaltsübersicht

• Zielsetzung
• Zielgruppe
• Voraussetzungen
• Seminarinhalte
• Praxisübungen
• Methodik

Zielsetzung

• Evidence-Metadaten und eigentliche Beweisdaten sauber voneinander trennen
• Lokale, kopierbare, nicht kopierbare und cloudgebundene Evidence korrekt behandeln
• Pre- und Post-Processor für kontrollierte Verarbeitungspipelines einsetzen
• Erzeugte Evidence nachvollziehbar an nachfolgende Jobs übergeben

Zielgruppe

DFIR-Analysten, technische Fallverantwortliche, Entwickler eigener Tasks und Evidence-Typen sowie Plattformteams mit Verantwortung für Beweismittelzugriff und Speicher.

Voraussetzungen

Turbinia-Grundlagen, sicherer Umgang mit Dateisystemen und Images sowie allgemeine Kenntnisse forensischer Beweismittelkette und Integritätsprüfung.

Seminarinhalte

1. Schritt 1: Evidence als Datenmodell verstehen

   Typ, Name, Quelle, lokale Pfade, Attribute und Beziehungen werden von den eigentlichen Beweisdaten getrennt betrachtet.

2. Schritt 2: Evidence-Typ passend auswählen

   Datenträgerabbilder, Cloud-Datenträger, Verzeichnisse, Plaso-Dateien, Textausgaben und weitere Typen werden nach Verarbeitungsziel zugeordnet.

3. Schritt 3: Speicherzugriff planen

   Gemeinsame Ablage, lokaler Worker-Pfad, Objekt- oder Cloud-Speicher und temporäre Arbeitsverzeichnisse werden auf Erreichbarkeit und Berechtigung geprüft.

4. Schritt 4: Kopierbarkeit und Lebensdauer festlegen

   Copyable-, nicht kopierbare und cloudgebundene Evidence werden hinsichtlich Transferkosten, Datenschutz, Laufzeit und Wiederverwendung bewertet.

5. Schritt 5: Pre-Processor einsetzen

   Vorbereitungsschritte wie Bereitstellung, Abbildzugriff, Mounting oder Metadatenanreicherung werden vor der eigentlichen Task-Ausführung kontrolliert.

6. Schritt 6: Task-Ausgabe als Evidence modellieren

   Ergebnisse werden nicht nur als Dateien, sondern mit Typ, Herkunft, Kontext und Weiterverarbeitungsfähigkeit beschrieben.

7. Schritt 7: Post-Processor anwenden

   Aufräumen, Persistieren, Upload, Integritätsprüfung und Metadatenabschluss werden nach der Task-Ausführung nachvollziehbar durchgeführt.

8. Schritt 8: Pipeline-Ketten entwerfen

   Erzeugte Evidence löst passende Folge-Jobs aus; Schleifen, Doppelverarbeitung und ungeplante Task-Explosion werden durch klare Regeln verhindert.

9. Schritt 9: Integrität und Nachvollziehbarkeit sichern

   Hashwerte, Zeitstempel, Request- und Task-Bezug, Protokolle und Übergabepunkte werden in einem prüfbaren Nachweis zusammengeführt.

10. Schritt 10: Fehler- und Sonderfälle behandeln

    Fehlende Pfade, nicht erreichbare Cloud-Ressourcen, unvollständige Images, volle Speicher und fehlerhafte Prozessoren werden mit definierten Reaktionen versehen.

Praxisübungen

• Evidence-Metadaten für ein Datenträgerabbild vollständig modellieren
• Eine zweistufige Pipeline aus Ausgangsevidence und erzeugter Timeline skizzieren
• Kopier- und Speicherstrategie für einen hybriden Betrieb bewerten
• Fehlerfälle in Pre- und Post-Processing anhand eines Entscheidungsbaums bearbeiten

Methodik

Datenmodelle, Ablaufdiagramme und praktische Pipeline-Übungen werden miteinander verbunden. Jede Übung endet mit einer Prüfung von Herkunft, Integrität, Speicherort und nächstem Verarbeitungsschritt.