Seminar Fox-IT Acquire – Kompaktseminar – praxisorientierte Triage

Der Kompaktkurs ist für einen schnellen, aber belastbaren Praxiseinstieg ausgelegt. Er deckt die wichtigsten Einsatzformen ab und führt jeden Themenblock unmittelbar in eine Laboraufgabe über.

Inhaltsverzeichnis

1. Einordnung und Lernziele
2. Zielgruppe
3. Vorausgesetzte Kenntnisse
4. Seminarinhalte
5. Tag 1: Einrichtung, Profile und erste Triage
6. Tag 2: Unix, volatile Daten und Images
7. Tag 3: Sichere Ausgabe und Incident-Fallübung
8. Praxisübungen
9. Arbeitsweise und Unterlagen

Einordnung und Lernziele

Das Seminar ist auf praktische Anwendung, nachvollziehbare Entscheidungen und technisch prüfbare Erfassungsergebnisse ausgerichtet.

• Acquire installieren und einen nachvollziehbaren Basislauf durchführen.
• Profile, Module und Custom Paths für Windows- und Unix-Triage auswählen.
• Volatile Daten, Images und Child-Targets im Überblick erfassen.
• Container sicher ausgeben, prüfen und in einen Incident-Workflow übergeben.

Zielgruppe

SOC-Analysten, Incident Responder, Administratoren und Forensik-Einsteiger, die in kurzer Zeit arbeitsfähig werden müssen.

Vorausgesetzte Kenntnisse

Grundlegende Betriebssystem- und Kommandozeilenkenntnisse; administrative Rechte in der Schulungsumgebung.

Seminarinhalte

Die Inhalte werden in aufeinander aufbauenden Schritten vermittelt. Jeder Themenblock endet mit einer technischen Kontrolle des erzeugten Ergebnisses.

Tag 1: Einrichtung, Profile und erste Triage

Der Seminartag verbindet konzeptionelle Einordnung, geführte Demonstration und eigenständige Laborarbeit.

Modul 1: Installation und Betriebscheck

1. Schritt 1: Systemvoraussetzungen und Berechtigungen werden geprüft.
2. Schritt 2: Acquire wird isoliert installiert und mit Hilfe sowie Version verifiziert.
3. Schritt 3: Ausgabe-, Log- und Fallverzeichnis werden festgelegt.
4. Schritt 4: Ein Minimaltest bestätigt die Funktionsfähigkeit.

Modul 2: Profile und gezielte Erweiterungen

1. Schritt 1: Minimal-, Default-, Full- und None-Profil werden verglichen.
2. Schritt 2: Ein Standardprofil wird um ausgewählte Module ergänzt.
3. Schritt 3: Datei, Verzeichnis und Glob-Muster werden kontrolliert gesammelt.
4. Schritt 4: Die gewählte Konfiguration wird im Fallprotokoll dokumentiert.

Modul 3: Windows-Erstakquisition

1. Schritt 1: Registry, Event Logs, Tasks, PowerShell und Ausführungsspuren werden priorisiert.
2. Schritt 2: Benutzer- und Browserartefakte ergänzen die Sammlung.
3. Schritt 3: Container, Bericht und Logs werden geprüft.
4. Schritt 4: Eine Nachsammlung korrigiert einen absichtlich fehlenden Artefaktbereich.

Tag 2: Unix, volatile Daten und Images

Der Seminartag verbindet konzeptionelle Einordnung, geführte Demonstration und eigenständige Laborarbeit.

Modul 4: Linux- und macOS-Triage

1. Schritt 1: System-, Benutzer-, Protokoll- und SSH-Artefakte werden plattformgerecht gewählt.
2. Schritt 2: Proc-, Sys- und Netzwerkdaten werden für Live-Systeme ergänzt.
3. Schritt 3: macOS-Anwendungsinformationen werden in die Sammlung aufgenommen.
4. Schritt 4: Containerinhalte werden auf erwartete Pfade geprüft.

Modul 5: Volatile Windows-Daten

1. Schritt 1: Netzwerkverbindungen, Prozesse, Umgebungsvariablen, ARP und DNS-Cache werden erfasst.
2. Schritt 2: RDP-Sitzungen und offene Handles werden nach Incident-Frage ergänzt.
3. Schritt 3: Volatile und persistente Profile werden kombiniert.
4. Schritt 4: Reihenfolge und mögliche Veränderungen werden protokolliert.

Modul 6: Image- und Child-Target-Überblick

1. Schritt 1: Ein virtuelles Datenträgerabbild wird als Target geladen.
2. Schritt 2: Enthaltene Children werden aufgelistet und ein Child ausgewählt.
3. Schritt 3: Loader- und Schlüsselkonzept werden anhand eines Beispiels eingeordnet.
4. Schritt 4: Aus dem Image wird ein kompakter Triagecontainer erzeugt.

Tag 3: Sichere Ausgabe und Incident-Fallübung

Der Seminartag verbindet konzeptionelle Einordnung, geführte Demonstration und eigenständige Laborarbeit.

Modul 7: Ausgabe und Integrität

1. Schritt 1: TAR und ZIP werden nach Einsatzweg verglichen.
2. Schritt 2: Kompression und Verschlüsselung werden aktiviert und getestet.
3. Schritt 3: Hashwerte, Bericht und Logs werden in eine Freigabecheckliste übernommen.
4. Schritt 4: Der Container wird in eine zweite Ablage kopiert und dort erneut geprüft.

Modul 8: Erfassungsplanung für mehrere Targets

1. Schritt 1: Systeme werden nach Rolle, Kritikalität und Indikatoren priorisiert.
2. Schritt 2: Profile werden für Workstation, Server und Unix-Host festgelegt.
3. Schritt 3: Datenmenge und Parallelität werden grob geplant.
4. Schritt 4: Nachsammlung und Vollimage werden als mögliche Folgeschritte definiert.

Modul 9: Kompakter Abschlussfall

1. Schritt 1: Ein Incident-Ticket wird in Hypothesen und Erfassungsfragen zerlegt.
2. Schritt 2: Drei unterschiedliche Targets werden mit abgestuften Profilen gesammelt.
3. Schritt 3: Ein Berechtigungsfehler und ein knappes Ausgabemedium werden behandelt.
4. Schritt 4: Geprüfte Container werden geordnet an die Analyse übergeben.

Praxisübungen

• Installation und erster Windows-Container.
• Unix- und volatile Kurzerfassung.
• Image-Target mit Child-Auswahl.
• Dreiteilige Incident-Triage mit sicherer Übergabe.

Arbeitsweise und Unterlagen

Vortrag, Live-Demonstrationen, angeleitete Schrittfolgen, eigenständige Übungen, Fehlerdiagnose und fallbezogene Checklisten werden kombiniert. Alle Übungen arbeiten mit klar getrennten Testtargets, Ausgabeverzeichnissen und Prüfprotokollen.