Seminar Velociraptor – Datenträgeranalyse, E01 und Remapping

Beschreibung

Das Seminar behandelt die Analyse forensischer Datenträgerabbilder und umgeleiteter Datenquellen mit Velociraptor. E01-Abbilder, Dateisystemzugriffe, Remapping, Pfadkontexte und die reproduzierbare Ausführung bestehender Artefakte auf Offline-Daten stehen im Mittelpunkt.

Inhaltsverzeichnis

1. Beschreibung
2. Lernziele
3. Zielgruppe
4. Voraussetzungen
5. Themen und Lernschritte
6. Praktische Übungen
7. Einordnung in den Lernpfad

Lernziele

Nach dem Seminar können Images kontrolliert eingebunden, Datenquellen remapped, Artefakte gegen Offline-Abbilder ausgeführt und Ergebnisse mit nachvollziehbarer Herkunft und Prüfkette dokumentiert werden.

Zielgruppe

Forensiker, DFIR-Analysten, Incident Responder und technische Ermittler mit Datenträger- oder Imageanalyse.

Voraussetzungen

Grundkenntnisse der Dateisystemforensik, sicherer Umgang mit Pfaden und erste Erfahrung mit VQL oder Velociraptor-Artefakten.

Themen und Lernschritte

Tag 1: Images und Datenquellen vorbereiten

1. Schritt 1: Abbild, Prüfsumme, Fallkennung und schreibgeschützte Arbeitskopie dokumentieren.
2. Schritt 2: E01- und weitere unterstützte Datenquellen in einer isolierten Analyseumgebung bereitstellen.
3. Schritt 3: Dateisysteme, Partitionen und erwartete Pfade vor der Artefaktausführung verifizieren.
4. Schritt 4: Remapping-Regeln für Dateisystem, Registry und plattformspezifische Pfade erstellen.
5. Schritt 5: Einfache VQL-Prüfungen gegen das gemappte Ziel ausführen und Herkunftsfelder kontrollieren.

Tag 2: Artefakte, Korrelation und Nachweis

1. Schritt 1: Geeignete Artefakte auswählen und nicht offline-taugliche Abhängigkeiten erkennen.
2. Schritt 2: Artefakte mit angepassten Pfadkontexten gegen das Image ausführen.
3. Schritt 3: Zeitstempel, Benutzerprofile, Registry-Hives und Dateifunde fallbezogen korrelieren.
4. Schritt 4: Laufzeit, Cache, Ergebnisvolumen und Lesefehler überwachen.
5. Schritt 5: Analyseparameter, Remapping-Konfiguration, Prüfsummen und Ergebnisse als reproduzierbares Fallpaket sichern.

Praktische Übungen

1. Ein E01-Abbild mit Prüfsumme und Fallmetadaten vorbereiten.
2. Dateisystem- und Registry-Pfade remappen und mit Kontrollabfragen verifizieren.
3. Ein bestehendes Artefakt gegen das Offline-Abbild ausführen.
4. Ein reproduzierbares Analyseprotokoll mit Herkunft, Parametern und Ergebnissen erstellen.

Einordnung in den Lernpfad

Empfohlen nach einem Plattformseminar oder „Forensische Dateisammlung und Beweissicherung“. Ergänzend eignen sich „Notebooks, Timelines und Reporting“.