Seminar Dissect – Grundlagen, Installation und erster Fall

Der Einstiegskurs vermittelt das Arbeitsmodell von Dissect und führt von einer sauberen Installation bis zur ersten reproduzierbaren Untersuchung. Ein vorbereitetes Zielsystem wird identifiziert, geöffnet, mit Basisfunktionen abgefragt und in einer kleinen Fallstruktur dokumentiert.

Inhaltsverzeichnis

1. Einsatzmodell und Begriffe
2. Installation und Arbeitsumgebung
3. Target öffnen und Basisinformationen erfassen
4. Plugins finden und Abfragen ausführen
5. Filtern, Ausgeben und Kontrollieren
6. Erster dokumentierter Fall

Lernziele

• Aufbau und Einsatzgrenzen des Dissect-Frameworks einordnen
• Eine isolierte und prüfbare Arbeitsumgebung installieren
• Targets, Loader, Container, Volumes, Dateisysteme und Plugins unterscheiden
• Erste Abfragen mit target-info und target-query ausführen
• Ausgaben strukturiert speichern und einen einfachen Untersuchungsfall nachvollziehbar dokumentieren

Seminarinhalte

1. Einsatzmodell und Begriffe

1. Schritt 1: Typische Aufgaben von Datenerfassung, Triage, Artefaktanalyse und Automatisierung voneinander abgrenzen.
2. Schritt 2: Das Target als einheitlichen Zugriffspunkt auf unterschiedliche Beweismittel verstehen.
3. Schritt 3: Loader, Container, Volume, Dateisystem, Betriebssystemschicht und Plugin in die Verarbeitungskette einordnen.
4. Schritt 4: Geeignete und ungeeignete Einsatzszenarien anhand kurzer Fallbeispiele bewerten.

2. Installation und Arbeitsumgebung

1. Schritt 1: Python-Version, virtuelle Umgebung und benötigte Systemkomponenten kontrollieren.
2. Schritt 2: Dissect-Komponenten in einer getrennten Umgebung installieren und Versionsstände protokollieren.
3. Schritt 3: Arbeits-, Beweismittel-, Export- und Protokollverzeichnisse voneinander trennen.
4. Schritt 4: Installation mit einem Diagnoseaufruf und einem vorbereiteten Testtarget prüfen.

3. Target öffnen und Basisinformationen erfassen

1. Schritt 1: Ein Image oder einen Erhebungscontainer schreibgeschützt in die Fallstruktur übernehmen.
2. Schritt 2: Die Quelle mit target-info öffnen und erkannte Schichten kontrollieren.
3. Schritt 3: Betriebssystem, Hostname, Datenträger, Dateisysteme und Warnungen protokollieren.
4. Schritt 4: Fehlerbilder bei unbekannten Formaten, fehlenden Schlüsseln oder unvollständigen Daten einordnen.

4. Plugins finden und Abfragen ausführen

1. Schritt 1: Verfügbare Funktionen und Namespaces für das erkannte Target ermitteln.
2. Schritt 2: Eine einfache Informationsabfrage mit target-query starten.
3. Schritt 3: Mehrere Funktionen in einem reproduzierbaren Aufruf kombinieren.
4. Schritt 4: Nicht verfügbare Plugins von tatsächlichen Analysefehlern unterscheiden.

5. Filtern, Ausgeben und Kontrollieren

1. Schritt 1: Ausgabeformat und relevante Felder für die Fragestellung auswählen.
2. Schritt 2: Ergebnisse mit einfachen Selektions- und Filterregeln eingrenzen.
3. Schritt 3: Rohausgabe und bearbeitete Auswertung getrennt speichern.
4. Schritt 4: Stichproben gegen Quellartefakte durchführen und Zeitbezüge kontrollieren.

6. Erster dokumentierter Fall

1. Schritt 1: Eine kurze Untersuchungsfrage und den erwarteten Nachweis formulieren.
2. Schritt 2: Target-Informationen und passende Artefaktabfragen in einer festen Reihenfolge ausführen.
3. Schritt 3: Beobachtung, Interpretation und offene Frage im Fallprotokoll trennen.
4. Schritt 4: Den vollständigen Ablauf anhand der gespeicherten Befehle und Ausgaben reproduzieren.

Praxisübungen

• Aufbau einer isolierten Dissect-Arbeitsumgebung mit nachvollziehbarer Versionsdokumentation
• Öffnen und Plausibilisieren eines vorbereiteten Targets
• Ausführung und Filterung erster Plugin-Abfragen
• Bearbeitung eines kleinen Falls mit reproduzierbarer Befehls- und Ergebnisablage

Zielgruppe

Einsteiger in DFIR, Incident Responder, SOC-Analysten, Administratoren und Entwickler mit ersten Aufgaben in der forensischen Analyse

Voraussetzungen

Sichere Bedienung eines Betriebssystems und grundlegende Kenntnisse der Kommandozeile; forensische Vorkenntnisse sind hilfreich, aber nicht erforderlich