Seminar CHIPSEC – ACPI, SMBIOS, WSMT und S3-Resume analysieren

Das zweitägige Seminar behandelt Firmware- und Plattformtabellen sowie den sicherheitskritischen Wiederanlauf aus dem Schlafzustand. Die Dauer ist erforderlich, weil Tabellenaufnahme, Strukturprüfung, S3-Boot-Script-Analyse und belastbare Negativtests in einer sicheren Laborumgebung aufeinander aufbauen.

Inhaltsübersicht

• Lernziele und fachliche Einordnung
• Schrittweise Seminarinhalte
• Praxisübungen und Laborszenarien
• Zielgruppe und Voraussetzungen
• Didaktik und Arbeitsweise

Lernziele

• ACPI-, SMBIOS- und WSMT-Strukturen erfassen und sicherheitsrelevante Felder einordnen.
• Abweichungen zwischen Firmwaretabellen, Betriebssystemwahrnehmung und realer Hardwarekonfiguration erkennen.
• S3-Boot-Scripts, Wake-Vektoren und Resume-Abhängigkeiten kontrolliert prüfen.
• Manipulationsschutz, Speicherlage und Dispatch-Ziele anhand nachvollziehbarer Kriterien bewerten.
• Prüfergebnisse in einen wiederholbaren Tabellen- und Resume-Assessmentprozess überführen.

Schrittweise Seminarinhalte

1. Tabellenlandschaft und Vertrauensmodell

Schwerpunkt: ACPI Root Tables, DSDT, SSDT, FADT, MCFG, DMAR beziehungsweise IVRS, SMBIOS und WSMT sowie deren Erzeuger und Verbraucher.

1. Prüfziel, Plattformzustand, Schutzbedarf und sichere Grenzen für „Tabellenlandschaft und Vertrauensmodell“ festlegen.
2. Relevante Artefakte, Register, Tabellen und Abhängigkeiten anhand von ACPI Root Tables, DSDT, SSDT, FADT, MCFG, DMAR beziehungsweise IVRS, SMBIOS und WSMT sowie deren Erzeuger und Verbraucher erfassen und ordnen.
3. Geeignete CHIPSEC-Module und read-only Utility-Abfragen schrittweise ausführen; Änderungen bleiben freigegebenen Laborfällen vorbehalten.
4. Ausgaben, Werte, Locks und Fehlerverhalten durch Vergleich, Plausibilitätskontrolle sowie Positiv- und Negativfälle validieren.
5. Als Arbeitsergebnis ein vollständiges Tabellen- und Vertrauensmodell erstellen, Befunde priorisieren und konkrete Retestkriterien festlegen.

2. ACPI- und SMBIOS-Datenerfassung

Schwerpunkt: sichere Dumps, Signaturen, Revisionen, Prüfsummen, OEM-Felder, Speicheradressen und Abgleich mehrerer Erfassungswege.

1. Prüfziel, Plattformzustand, Schutzbedarf und sichere Grenzen für „ACPI- und SMBIOS-Datenerfassung“ festlegen.
2. Relevante Artefakte, Register, Tabellen und Abhängigkeiten anhand von sichere Dumps, Signaturen, Revisionen, Prüfsummen, OEM-Felder, Speicheradressen und Abgleich mehrerer Erfassungswege erfassen und ordnen.
3. Geeignete CHIPSEC-Module und read-only Utility-Abfragen schrittweise ausführen; Änderungen bleiben freigegebenen Laborfällen vorbehalten.
4. Ausgaben, Werte, Locks und Fehlerverhalten durch Vergleich, Plausibilitätskontrolle sowie Positiv- und Negativfälle validieren.
5. Als Arbeitsergebnis einen reproduzierbaren Datenerfassungs- und Inventarprozess erstellen, Befunde priorisieren und konkrete Retestkriterien festlegen.

3. Sicherheitsrelevante ACPI-Tabellen prüfen

Schwerpunkt: SDEV, MCFG, DMAR oder IVRS, FADT, WSMT, Wake-Vektoren, reservierte Bereiche und inkonsistente Adressangaben.

1. Prüfziel, Plattformzustand, Schutzbedarf und sichere Grenzen für „Sicherheitsrelevante ACPI-Tabellen prüfen“ festlegen.
2. Relevante Artefakte, Register, Tabellen und Abhängigkeiten anhand von SDEV, MCFG, DMAR oder IVRS, FADT, WSMT, Wake-Vektoren, reservierte Bereiche und inkonsistente Adressangaben erfassen und ordnen.
3. Geeignete CHIPSEC-Module und read-only Utility-Abfragen schrittweise ausführen; Änderungen bleiben freigegebenen Laborfällen vorbehalten.
4. Ausgaben, Werte, Locks und Fehlerverhalten durch Vergleich, Plausibilitätskontrolle sowie Positiv- und Negativfälle validieren.
5. Als Arbeitsergebnis einen priorisierten Tabellenprüfkatalog erstellen, Befunde priorisieren und konkrete Retestkriterien festlegen.

4. S3-Boot-Script und Resume-Pfad

Schwerpunkt: Boot-Script-Lokalisierung, Opcode-Klassen, Dispatch-Ziele, Speicherlage, Schutzgrenzen und Wiederaufnahme kritischer Registerwerte.

1. Prüfziel, Plattformzustand, Schutzbedarf und sichere Grenzen für „S3-Boot-Script und Resume-Pfad“ festlegen.
2. Relevante Artefakte, Register, Tabellen und Abhängigkeiten anhand von Boot-Script-Lokalisierung, Opcode-Klassen, Dispatch-Ziele, Speicherlage, Schutzgrenzen und Wiederaufnahme kritischer Registerwerte erfassen und ordnen.
3. Geeignete CHIPSEC-Module und read-only Utility-Abfragen schrittweise ausführen; Änderungen bleiben freigegebenen Laborfällen vorbehalten.
4. Ausgaben, Werte, Locks und Fehlerverhalten durch Vergleich, Plausibilitätskontrolle sowie Positiv- und Negativfälle validieren.
5. Als Arbeitsergebnis eine nachvollziehbare Resume-Sicherheitsanalyse erstellen, Befunde priorisieren und konkrete Retestkriterien festlegen.

5. Negativtests und Abweichungsanalyse

Schwerpunkt: fehlende Tabellen, unplausible Längen, fehlerhafte Prüfsummen, ungeschützte Zeiger, unerwartete Dispatch-Einträge und Plattformunterschiede.

1. Prüfziel, Plattformzustand, Schutzbedarf und sichere Grenzen für „Negativtests und Abweichungsanalyse“ festlegen.
2. Relevante Artefakte, Register, Tabellen und Abhängigkeiten anhand von fehlende Tabellen, unplausible Längen, fehlerhafte Prüfsummen, ungeschützte Zeiger, unerwartete Dispatch-Einträge und Plattformunterschiede erfassen und ordnen.
3. Geeignete CHIPSEC-Module und read-only Utility-Abfragen schrittweise ausführen; Änderungen bleiben freigegebenen Laborfällen vorbehalten.
4. Ausgaben, Werte, Locks und Fehlerverhalten durch Vergleich, Plausibilitätskontrolle sowie Positiv- und Negativfälle validieren.
5. Als Arbeitsergebnis einen validierten Fehler- und Befundkatalog erstellen, Befunde priorisieren und konkrete Retestkriterien festlegen.

6. Betriebsprüfung und Dokumentation

Schwerpunkt: Baseline, Wiederholung nach Firmwareupdates, Vergleich mehrerer Geräteklassen, Evidenzsicherung und Eskalationskriterien.

1. Zielzustand, Verantwortlichkeiten, Aussagegrenzen und Kontrollkriterien für „Betriebsprüfung und Dokumentation“ festlegen.
2. Benötigte Evidenz und Entscheidungsdaten anhand von Baseline, Wiederholung nach Firmwareupdates, Vergleich mehrerer Geräteklassen, Evidenzsicherung und Eskalationskriterien in einer prüfbaren Struktur erfassen.
3. Technische Ergebnisse nach Ursache, Auswirkung, Reichweite und Verlässlichkeit bewerten.
4. Maßnahmen, Ausnahmen, Freigaben und Retestkriterien mit Positiv- und Negativfällen operationalisieren.
5. Als Arbeitsergebnis ein einsatzfähiges Tabellen- und S3-Prüfrunbook dokumentieren, fachlich abnehmen und in den Regelprozess überführen.

Praxisübungen und Laborszenarien

• Erfassung und strukturierter Vergleich der ACPI- und SMBIOS-Tabellen zweier Laborplattformen.
• Analyse sicherheitsrelevanter Tabellenfelder mit dokumentierten Plausibilitätsprüfungen.
• Untersuchung eines vorbereiteten S3-Boot-Scripts einschließlich Speicher- und Dispatch-Bewertung.
• Erstellung einer wiederverwendbaren Baseline für Firmwareupdate- und Flottenprüfungen.

Zielgruppe und Voraussetzungen

Zielgruppe: Firmware- und Plattform-Security, Systemarchitektur, Endpoint Engineering, Incident Response und technische Revision.

Voraussetzungen: Grundkenntnisse in UEFI, Betriebssystemstart, Speicheradressierung und x86-Plattformarchitektur; erste CHIPSEC-Erfahrung ist hilfreich.

Didaktik und Arbeitsweise

Kurze Architekturimpulse wechseln mit Tabellen-Dumps, strukturierten Dekodierungen und vorbereiteten Resume-Fällen. Der erste Tag schafft das Daten- und Tabellenmodell; der zweite Tag vertieft S3, Schutzbewertung, Abweichungsanalyse und Runbook-Erstellung.