Seminar AWS AFO Beweissicherung und Chain of Custody

Inhaltsübersicht

1. Einordnung und Einsatzkontext
2. Lernziele
3. Seminarinhalte
4. Praxislabor
5. Zielgruppe und Voraussetzungen
6. Didaktisches Vorgehen
7. Qualitätssicherung

Einordnung und Einsatzkontext

Das Seminar entwickelt einen überprüfbaren Prozess für Fallanlage, Erfassung, Schutz, Zugriff, Übergabe, Aufbewahrung und kontrollierte Löschung forensischer Artefakte.

Der fachliche Schwerpunkt liegt auf nachvollziehbare Beweissicherung und technische Chain of Custody in AFO. Die Inhalte werden an EC2- und EKS-bezogenen Vorfallszenarien, klaren Rollen, nachvollziehbaren Entscheidungen und überprüfbaren technischen Nachweisen ausgerichtet. Zwei Tage sind notwendig, um Governance, technische Umsetzung, Prüfpfade und eine praktische Beweisübergabe zusammenzuführen; ein einzelner Tag würde die Validierung der vollständigen Kette nicht erlauben.

Lernziele

Nach Abschluss des Seminars können die behandelten Aufgaben strukturiert vorbereitet, durchgeführt, geprüft und dokumentiert werden.

• Anforderungen und Schutzbedarf für nachvollziehbare Beweissicherung und technische Chain of Custody in AFO fachlich einordnen;
• Beweisstrategie und Rollenmodell in einen kontrollierten AFO-Prozess überführen;
• Fallkennung und Metadatenstandard mit geeigneten AWS-Diensten und Sicherheitskontrollen umsetzen;
• Flüchtige und persistente Daten erfassen anhand definierter Eingaben, Ausgaben und Prüfkriterien verifizieren;
• Fehler, Abweichungen und Beweislücken bei Speicherung, Verschlüsselung und Zugriffsschutz systematisch analysieren;
• Konfigurationen, Befunde, Entscheidungen und Wiederholungsanweisungen nachvollziehbar dokumentieren.

Seminarinhalte

1. Beweisstrategie und Rollenmodell

Zweck, Beweisumfang, Freigaben, Verantwortlichkeiten, Vier-Augen-Prinzip und Trennung von Erfassung und Untersuchung werden festgelegt.

Arbeitsschritte

1. Ausgangslage erfassen: Für das Lernfeld „Beweisstrategie und Rollenmodell“ werden betroffene Konten, Regionen, Ressourcen, Rollen, Datenquellen und Abhängigkeiten vollständig aufgenommen.
2. Vorgehen planen: Der fachliche Fokus wird in konkrete Eingaben, Prüfkriterien, Berechtigungen, Schutzmaßnahmen, erwartete Ausgaben und Abbruchbedingungen übersetzt.
3. Umsetzung durchführen: Die Konfiguration oder Analyse wird in kontrollierten Trainingsressourcen schrittweise ausgeführt; jede relevante Aktion erhält Fallbezug und UTC-Zeitstempel.
4. Kontrolle vornehmen: Status, Protokolle, Artefakte, Berechtigungen, Integrität, Nebenwirkungen und Fehlerpfade werden gegen die zuvor festgelegten Kriterien geprüft.
5. Dokumentation erstellen: Entscheidungen, Befehle oder Konfigurationswerte, Ergebnisse, Abweichungen, Unsicherheiten und sichere Wiederholungs- beziehungsweise Rückfallverfahren werden festgehalten.

Prüfpunkt: Das Lernfeld gilt als bearbeitet, wenn zweck, Beweisumfang, Freigaben, Verantwortlichkeiten, Vier-Augen-Prinzip und Trennung von Erfassung und Untersuchung werden festgelegt. und die zugehörigen Nachweise durch eine zweite Rolle nachvollzogen werden können.

2. Fallkennung und Metadatenstandard

Eindeutige Fall- und Artefaktkennungen, UTC-Zeitstempel, Quellressourcen, Erfassungsmethode, Bearbeitungsstatus und Verknüpfungen werden modelliert.

Arbeitsschritte

1. Ausgangslage erfassen: Für das Lernfeld „Fallkennung und Metadatenstandard“ werden betroffene Konten, Regionen, Ressourcen, Rollen, Datenquellen und Abhängigkeiten vollständig aufgenommen.
2. Vorgehen planen: Der fachliche Fokus wird in konkrete Eingaben, Prüfkriterien, Berechtigungen, Schutzmaßnahmen, erwartete Ausgaben und Abbruchbedingungen übersetzt.
3. Umsetzung durchführen: Die Konfiguration oder Analyse wird in kontrollierten Trainingsressourcen schrittweise ausgeführt; jede relevante Aktion erhält Fallbezug und UTC-Zeitstempel.
4. Kontrolle vornehmen: Status, Protokolle, Artefakte, Berechtigungen, Integrität, Nebenwirkungen und Fehlerpfade werden gegen die zuvor festgelegten Kriterien geprüft.
5. Dokumentation erstellen: Entscheidungen, Befehle oder Konfigurationswerte, Ergebnisse, Abweichungen, Unsicherheiten und sichere Wiederholungs- beziehungsweise Rückfallverfahren werden festgehalten.

Prüfpunkt: Das Lernfeld gilt als bearbeitet, wenn eindeutige Fall- und Artefaktkennungen, UTC-Zeitstempel, Quellressourcen, Erfassungsmethode, Bearbeitungsstatus und Verknüpfungen werden modelliert. und die zugehörigen Nachweise durch eine zweite Rolle nachvollzogen werden können.

3. Flüchtige und persistente Daten erfassen

Reihenfolge, Risiken und Qualitätskontrollen für Arbeitsspeicher, EBS-Volumes, Snapshots, Systeminformationen und EKS-Kontextdaten werden geplant.

Arbeitsschritte

1. Ausgangslage erfassen: Für das Lernfeld „Flüchtige und persistente Daten erfassen“ werden betroffene Konten, Regionen, Ressourcen, Rollen, Datenquellen und Abhängigkeiten vollständig aufgenommen.
2. Vorgehen planen: Der fachliche Fokus wird in konkrete Eingaben, Prüfkriterien, Berechtigungen, Schutzmaßnahmen, erwartete Ausgaben und Abbruchbedingungen übersetzt.
3. Umsetzung durchführen: Die Konfiguration oder Analyse wird in kontrollierten Trainingsressourcen schrittweise ausgeführt; jede relevante Aktion erhält Fallbezug und UTC-Zeitstempel.
4. Kontrolle vornehmen: Status, Protokolle, Artefakte, Berechtigungen, Integrität, Nebenwirkungen und Fehlerpfade werden gegen die zuvor festgelegten Kriterien geprüft.
5. Dokumentation erstellen: Entscheidungen, Befehle oder Konfigurationswerte, Ergebnisse, Abweichungen, Unsicherheiten und sichere Wiederholungs- beziehungsweise Rückfallverfahren werden festgehalten.

Prüfpunkt: Das Lernfeld gilt als bearbeitet, wenn reihenfolge, Risiken und Qualitätskontrollen für Arbeitsspeicher, EBS-Volumes, Snapshots, Systeminformationen und EKS-Kontextdaten werden geplant. und die zugehörigen Nachweise durch eine zweite Rolle nachvollzogen werden können.

4. Speicherung, Verschlüsselung und Zugriffsschutz

S3-Buckets, KMS-Schlüssel, Schlüsselrichtlinien, Objektzugriffe, Snapshots, kontoübergreifende Kopien und restriktive Analysezugänge werden konzipiert.

Arbeitsschritte

1. Ausgangslage erfassen: Für das Lernfeld „Speicherung, Verschlüsselung und Zugriffsschutz“ werden betroffene Konten, Regionen, Ressourcen, Rollen, Datenquellen und Abhängigkeiten vollständig aufgenommen.
2. Vorgehen planen: Der fachliche Fokus wird in konkrete Eingaben, Prüfkriterien, Berechtigungen, Schutzmaßnahmen, erwartete Ausgaben und Abbruchbedingungen übersetzt.
3. Umsetzung durchführen: Die Konfiguration oder Analyse wird in kontrollierten Trainingsressourcen schrittweise ausgeführt; jede relevante Aktion erhält Fallbezug und UTC-Zeitstempel.
4. Kontrolle vornehmen: Status, Protokolle, Artefakte, Berechtigungen, Integrität, Nebenwirkungen und Fehlerpfade werden gegen die zuvor festgelegten Kriterien geprüft.
5. Dokumentation erstellen: Entscheidungen, Befehle oder Konfigurationswerte, Ergebnisse, Abweichungen, Unsicherheiten und sichere Wiederholungs- beziehungsweise Rückfallverfahren werden festgehalten.

Prüfpunkt: Das Lernfeld gilt als bearbeitet, wenn s3-Buckets, KMS-Schlüssel, Schlüsselrichtlinien, Objektzugriffe, Snapshots, kontoübergreifende Kopien und restriktive Analysezugänge werden konzipiert. und die zugehörigen Nachweise durch eine zweite Rolle nachvollzogen werden können.

5. Integrität und Prüfpfad

Prüfsummen, unveränderliche Protokolle, CloudTrail-Ereignisse, Workflow-Status, Fehlversuche und manuelle Eingriffe werden zu einem belastbaren Nachweis verbunden.

Arbeitsschritte

1. Ausgangslage erfassen: Für das Lernfeld „Integrität und Prüfpfad“ werden betroffene Konten, Regionen, Ressourcen, Rollen, Datenquellen und Abhängigkeiten vollständig aufgenommen.
2. Vorgehen planen: Der fachliche Fokus wird in konkrete Eingaben, Prüfkriterien, Berechtigungen, Schutzmaßnahmen, erwartete Ausgaben und Abbruchbedingungen übersetzt.
3. Umsetzung durchführen: Die Konfiguration oder Analyse wird in kontrollierten Trainingsressourcen schrittweise ausgeführt; jede relevante Aktion erhält Fallbezug und UTC-Zeitstempel.
4. Kontrolle vornehmen: Status, Protokolle, Artefakte, Berechtigungen, Integrität, Nebenwirkungen und Fehlerpfade werden gegen die zuvor festgelegten Kriterien geprüft.
5. Dokumentation erstellen: Entscheidungen, Befehle oder Konfigurationswerte, Ergebnisse, Abweichungen, Unsicherheiten und sichere Wiederholungs- beziehungsweise Rückfallverfahren werden festgehalten.

Prüfpunkt: Das Lernfeld gilt als bearbeitet, wenn prüfsummen, unveränderliche Protokolle, CloudTrail-Ereignisse, Workflow-Status, Fehlversuche und manuelle Eingriffe werden zu einem belastbaren Nachweis verbunden. und die zugehörigen Nachweise durch eine zweite Rolle nachvollzogen werden können.

6. Übergabe, Aufbewahrung und Löschung

Freigabe, Export, Empfängerbestätigung, Retention, Legal Hold, Wiederherstellbarkeit und nachweisbare Löschung werden als kontrollierte Verfahren beschrieben.

Arbeitsschritte

1. Ausgangslage erfassen: Für das Lernfeld „Übergabe, Aufbewahrung und Löschung“ werden betroffene Konten, Regionen, Ressourcen, Rollen, Datenquellen und Abhängigkeiten vollständig aufgenommen.
2. Vorgehen planen: Der fachliche Fokus wird in konkrete Eingaben, Prüfkriterien, Berechtigungen, Schutzmaßnahmen, erwartete Ausgaben und Abbruchbedingungen übersetzt.
3. Umsetzung durchführen: Die Konfiguration oder Analyse wird in kontrollierten Trainingsressourcen schrittweise ausgeführt; jede relevante Aktion erhält Fallbezug und UTC-Zeitstempel.
4. Kontrolle vornehmen: Status, Protokolle, Artefakte, Berechtigungen, Integrität, Nebenwirkungen und Fehlerpfade werden gegen die zuvor festgelegten Kriterien geprüft.
5. Dokumentation erstellen: Entscheidungen, Befehle oder Konfigurationswerte, Ergebnisse, Abweichungen, Unsicherheiten und sichere Wiederholungs- beziehungsweise Rückfallverfahren werden festgehalten.

Prüfpunkt: Das Lernfeld gilt als bearbeitet, wenn freigabe, Export, Empfängerbestätigung, Retention, Legal Hold, Wiederherstellbarkeit und nachweisbare Löschung werden als kontrollierte Verfahren beschrieben. und die zugehörigen Nachweise durch eine zweite Rolle nachvollzogen werden können.

7. Qualitätssicherung der Beweiskette

Vollständigkeit, Plausibilität, Zeitkonsistenz, Berechtigungen und Reproduzierbarkeit werden mit einer standardisierten Prüfliste abgenommen.

Arbeitsschritte

1. Ausgangslage erfassen: Für das Lernfeld „Qualitätssicherung der Beweiskette“ werden betroffene Konten, Regionen, Ressourcen, Rollen, Datenquellen und Abhängigkeiten vollständig aufgenommen.
2. Vorgehen planen: Der fachliche Fokus wird in konkrete Eingaben, Prüfkriterien, Berechtigungen, Schutzmaßnahmen, erwartete Ausgaben und Abbruchbedingungen übersetzt.
3. Umsetzung durchführen: Die Konfiguration oder Analyse wird in kontrollierten Trainingsressourcen schrittweise ausgeführt; jede relevante Aktion erhält Fallbezug und UTC-Zeitstempel.
4. Kontrolle vornehmen: Status, Protokolle, Artefakte, Berechtigungen, Integrität, Nebenwirkungen und Fehlerpfade werden gegen die zuvor festgelegten Kriterien geprüft.
5. Dokumentation erstellen: Entscheidungen, Befehle oder Konfigurationswerte, Ergebnisse, Abweichungen, Unsicherheiten und sichere Wiederholungs- beziehungsweise Rückfallverfahren werden festgehalten.

Prüfpunkt: Das Lernfeld gilt als bearbeitet, wenn vollständigkeit, Plausibilität, Zeitkonsistenz, Berechtigungen und Reproduzierbarkeit werden mit einer standardisierten Prüfliste abgenommen. und die zugehörigen Nachweise durch eine zweite Rolle nachvollzogen werden können.

Praxislabor

Bearbeitung eines simulierten EC2-Vorfalls vom ersten Finding bis zur dokumentierten Übergabe eines freigegebenen Beweispakets.

1. Trainingsfall anlegen, Ausgangslage protokollieren und Schutzobjekte sowie Zuständigkeiten festlegen.
2. Ereignis- oder Konfigurationsdaten prüfen, den geeigneten AFO-Pfad auswählen und Freigabepunkte dokumentieren.
3. Technische Schritte in der vorgesehenen Reihenfolge ausführen und alle Zwischenstände mit Fallkennung erfassen.
4. Mindestens einen Fehler- oder Sonderfall einspielen, Ursache eingrenzen und eine sichere Fortsetzung oder Rücknahme durchführen.
5. Artefakte, Logs, Statusdaten und Befunde auf Vollständigkeit, Integrität, Zeitkonsistenz und Zugriffsrechte prüfen.
6. Eine ausführbare Arbeitsanweisung mit Rollen, Prüfpunkten, Eskalationen und Abschlusskriterien erstellen.

Zielgruppe und Voraussetzungen

Zielgruppe: Incident Response, digitale Forensik, SOC, Informationssicherheit, Revision, Datenschutz und technische Compliance.

Voraussetzungen: Grundkenntnisse zu Incident Response, Amazon S3, EBS-Snapshots, IAM, KMS und Protokollierung.

Didaktisches Vorgehen

Fachliche Erläuterungen werden unmittelbar mit Architekturarbeit, Demonstrationen, geführten Übungen, Analyseaufgaben und dokumentierter Fallarbeit verbunden. Jeder technische Schritt wird zunächst geplant, anschließend in einer isolierten Umgebung ausgeführt und danach anhand von Logs, Artefakten und Prüfkriterien bewertet.

Qualitätssicherung

• Vorbedingungen, Rollen und Berechtigungen werden vor jedem Labor geprüft.
• Alle Zeitangaben werden einheitlich in UTC dokumentiert.
• Beweis- und Konfigurationsobjekte erhalten eindeutige Kennungen und einen nachvollziehbaren Bearbeitungsstatus.
• Fehlerfälle werden nicht übersprungen, sondern mit Ursache, Auswirkung, Korrektur und Wiederholungsprüfung erfasst.
• Arbeitsanweisungen werden durch einen zweiten Prüfpfad auf Vollständigkeit und Ausführbarkeit kontrolliert.