Seminar Nextron THOR – Forensic Lab, Image-, Memory- und Artifact-Scanning

Das Seminar behandelt THOR als Analysewerkzeug im forensischen Labor und für gesammelte Artefakte. Datenträgerabbilder, Speicherabbilder, Eventlogs, MFT-Daten und Drop-Zone-Inhalte werden mit geeigneten Spezialmodi untersucht, ohne den Evidenzschutz aus den Augen zu verlieren.

Inhaltsübersicht

• Lernziele und fachliche Einordnung
• Schrittweise Seminarinhalte
• Praxisübungen und Laborszenarien
• Zielgruppe und Voraussetzungen
• Didaktik und Arbeitsweise

Lernziele

• Forensische Eingaben und THOR-Spezialmodi korrekt zuordnen.
• Datenträgerabbilder und gemountete Dateisysteme kontrolliert scannen.
• Speicherabbilder mit geeigneten Vorverarbeitungsschritten analysieren.
• Eventlog-, MFT-, Drop-Zone- und DeepDive-Verfahren einsetzen.
• Evidenzintegrität, Arbeitskopien und Ergebnisübergabe dokumentieren.

Schrittweise Seminarinhalte

1. Forensisches Zielbild und Evidence Handling

Schwerpunkt: Original, Arbeitskopie, Hashes, Chain of Custody, Schreibschutz, Zeitzone, Fallstruktur und Ausgabepfade.

1. Ausgangslage, Schutzbedarf und Zielkriterien für den Themenblock „Forensisches Zielbild und Evidence Handling“ erfassen.
2. Relevante Datenquellen, Objekte, Rollen und Abhängigkeiten anhand von Original, Arbeitskopie, Hashes, Chain of Custody, Schreibschutz, Zeitzone, Fallstruktur und Ausgabepfade modellieren.
3. Die erforderliche Konfiguration, Analyse- oder Prozessfolge am Laborsystem schrittweise umsetzen.
4. Funktion, Berechtigungen, Protokollierung und Fehlerverhalten mit definierten Positiv- und Negativfällen prüfen.
5. Als Arbeitsergebnis einen belastbaren Labor- und Evidenzprozess dokumentieren, fachlich abnehmen und in einen wiederholbaren Standard überführen.

2. Lab Scanning

Schwerpunkt: Lab Mode, Zielpfade, Dateitypen, Ressourcen, Signaturen, Berichte und Mehrfalltrennung.

1. Ausgangslage, Schutzbedarf und Zielkriterien für den Themenblock „Lab Scanning“ erfassen.
2. Relevante Datenquellen, Objekte, Rollen und Abhängigkeiten anhand von Lab Mode, Zielpfade, Dateitypen, Ressourcen, Signaturen, Berichte und Mehrfalltrennung modellieren.
3. Die erforderliche Konfiguration, Analyse- oder Prozessfolge am Laborsystem schrittweise umsetzen.
4. Funktion, Berechtigungen, Protokollierung und Fehlerverhalten mit definierten Positiv- und Negativfällen prüfen.
5. Als Arbeitsergebnis einen reproduzierbaren Labor-Scanstandard dokumentieren, fachlich abnehmen und in einen wiederholbaren Standard überführen.

3. Disk Image Analysis

Schwerpunkt: Imageformate, Mounting, Partitionen, Dateisysteme, Pfade, Berechtigungen, Scantiefe und Grenzen.

1. Ausgangslage, Schutzbedarf und Zielkriterien für den Themenblock „Disk Image Analysis“ erfassen.
2. Relevante Datenquellen, Objekte, Rollen und Abhängigkeiten anhand von Imageformate, Mounting, Partitionen, Dateisysteme, Pfade, Berechtigungen, Scantiefe und Grenzen modellieren.
3. Die erforderliche Konfiguration, Analyse- oder Prozessfolge am Laborsystem schrittweise umsetzen.
4. Funktion, Berechtigungen, Protokollierung und Fehlerverhalten mit definierten Positiv- und Negativfällen prüfen.
5. Als Arbeitsergebnis einen geprüften Datenträgerabbild-Workflow dokumentieren, fachlich abnehmen und in einen wiederholbaren Standard überführen.

4. Memory Image Analysis

Schwerpunkt: Speicherabbild, Volatility-Vorbereitung, Prozessartefakte, YARA, Dump Scan, Kontext und Gegenprüfung.

1. Ausgangslage, Schutzbedarf und Zielkriterien für den Themenblock „Memory Image Analysis“ erfassen.
2. Relevante Datenquellen, Objekte, Rollen und Abhängigkeiten anhand von Speicherabbild, Volatility-Vorbereitung, Prozessartefakte, YARA, Dump Scan, Kontext und Gegenprüfung modellieren.
3. Die erforderliche Konfiguration, Analyse- oder Prozessfolge am Laborsystem schrittweise umsetzen.
4. Funktion, Berechtigungen, Protokollierung und Fehlerverhalten mit definierten Positiv- und Negativfällen prüfen.
5. Als Arbeitsergebnis einen integrierten Memory-Analyseprozess dokumentieren, fachlich abnehmen und in einen wiederholbaren Standard überführen.

5. Eventlog- und MFT-Analyse

Schwerpunkt: EVTX, Zeitfenster, Sigma, MFT, Dateizeitlinien, Filter, Artefaktkorrelation und Ausgabe.

1. Ausgangslage, Schutzbedarf und Zielkriterien für den Themenblock „Eventlog- und MFT-Analyse“ erfassen.
2. Relevante Datenquellen, Objekte, Rollen und Abhängigkeiten anhand von EVTX, Zeitfenster, Sigma, MFT, Dateizeitlinien, Filter, Artefaktkorrelation und Ausgabe modellieren.
3. Die erforderliche Konfiguration, Analyse- oder Prozessfolge am Laborsystem schrittweise umsetzen.
4. Funktion, Berechtigungen, Protokollierung und Fehlerverhalten mit definierten Positiv- und Negativfällen prüfen.
5. Als Arbeitsergebnis einen kombinierten Eventlog- und MFT-Untersuchungspfad dokumentieren, fachlich abnehmen und in einen wiederholbaren Standard überführen.

6. Drop Zone, Lookback und DeepDive

Schwerpunkt: kontinuierliche Eingänge, Verzögerung, historische Prüfung, tiefe Module, Zielauswahl und Performance.

1. Ausgangslage, Schutzbedarf und Zielkriterien für den Themenblock „Drop Zone, Lookback und DeepDive“ erfassen.
2. Relevante Datenquellen, Objekte, Rollen und Abhängigkeiten anhand von kontinuierliche Eingänge, Verzögerung, historische Prüfung, tiefe Module, Zielauswahl und Performance modellieren.
3. Die erforderliche Konfiguration, Analyse- oder Prozessfolge am Laborsystem schrittweise umsetzen.
4. Funktion, Berechtigungen, Protokollierung und Fehlerverhalten mit definierten Positiv- und Negativfällen prüfen.
5. Als Arbeitsergebnis einen kontrollierten Spezialscan-Prozess dokumentieren, fachlich abnehmen und in einen wiederholbaren Standard überführen.

7. Ergebnisbewertung und Fallübergabe

Schwerpunkt: Scores, Gründe, Dateikontext, Zeitlinie, Reports, Cockpit, weitere Forensik und Untersuchungsnotizen.

1. Ausgangslage, Schutzbedarf und Zielkriterien für den Themenblock „Ergebnisbewertung und Fallübergabe“ erfassen.
2. Relevante Datenquellen, Objekte, Rollen und Abhängigkeiten anhand von Scores, Gründe, Dateikontext, Zeitlinie, Reports, Cockpit, weitere Forensik und Untersuchungsnotizen modellieren.
3. Die erforderliche Konfiguration, Analyse- oder Prozessfolge am Laborsystem schrittweise umsetzen.
4. Funktion, Berechtigungen, Protokollierung und Fehlerverhalten mit definierten Positiv- und Negativfällen prüfen.
5. Als Arbeitsergebnis einen vollständigen forensischen Analyse- und Übergabebericht dokumentieren, fachlich abnehmen und in einen wiederholbaren Standard überführen.

Praxisübungen und Laborszenarien

• Vorbereitung und Scan eines gemounteten Datenträgerabbilds.
• Analyse eines Speicherabbilds mit THOR- und Volatility-Arbeitsschritten.
• Korrelation von Eventlog-, MFT- und Dateibefunden in einer Fallzeitlinie.
• Aufbau einer Drop-Zone-Verarbeitung mit definiertem Evidenz- und Ergebnisweg.

Zielgruppe und Voraussetzungen

Zielgruppe: DFIR, Forensiklabor, Incident Response, Malware Analysis, Threat Hunting und technische Ermittlungsunterstützung.

Voraussetzungen: Grundkenntnisse in digitaler Forensik, Dateisystemen, Speicheranalyse, Eventlogs und sicherem Umgang mit Beweismitteln.

Didaktik und Arbeitsweise

Kurze Fachimpulse werden unmittelbar durch Demonstrationen, strukturierte Konfigurationsschritte, praktische Übungen und kontrollierte Fehlerfälle vertieft. Jede Übung verwendet definierte Ausgangswerte, Prüfpunkte und Dokumentationsanforderungen, damit die erarbeiteten Abläufe als Betriebsstandard wiederholbar bleiben.