Seminar Security Onion Forensische Analyse mit PCAP, EVTX und Strelka

Dieses Seminar behandelt forensische Analyseaufgaben mit Security Onion. Behandelt werden PCAP-Import, EVTX-Import, Paketansicht, Sitzungsrekonstruktion, Dateiindikatoren, Strelka-Ergebnisse, Hunt-Pivots und Übergabe in Cases. Das Ziel ist eine nachvollziehbare Untersuchungskette statt einzelner technischer Aha-Momente ohne Beweiswert.

Inhaltsübersicht

• PCAP- und EVTX-Daten in Security Onion einordnen
• Netzwerkverbindungen, Sessions und Nutzdaten analysieren
• Dateiindikatoren und Strelka-Befunde bewerten
• Zeitachsen aus Netzwerk- und Hostdaten erstellen
• Forensische Befunde in Cases dokumentieren

Ziele

Nach dem Seminar können importierte Netzwerk- und Hostartefakte methodisch untersucht, forensische Beobachtungen dokumentiert und als belastbarer Incident-Response-Befund übergeben werden.

Zielgruppe

Das Seminar richtet sich an SOC-Analysten, Forensiker und Incident Responder, die importierte Paketmitschnitte, Windows-Ereignisdateien und Dateiindikatoren in Security Onion methodisch untersuchen möchten.

Seminarinhalte

1. Analyseauftrag klären

1. Fragestellung, Zeitraum, Systeme und erwartete Artefakte festlegen.
2. Beweissicherung, Kopien und Arbeitsdaten sauber trennen.
3. Untersuchungsgrenzen vor der technischen Analyse dokumentieren.

2. PCAP-Daten untersuchen

1. Pakete importieren und relevante Zeitbereiche eingrenzen.
2. Sessions, Protokolle und auffällige Kommunikationsmuster prüfen.
3. PCAP-Pivots aus Alerts oder Hunt-Ergebnissen nachvollziehen.

3. EVTX-Daten auswerten

1. Windows-Ereignisse importieren und nach Host, Benutzer und Ereignistyp filtern.
2. Prozess-, Authentifizierungs- und Systemereignisse in eine Zeitachse bringen.
3. Hostereignisse mit Netzwerkbeobachtungen abgleichen.

4. Dateien und Metadaten bewerten

1. Extrahierte Dateien und Hashwerte in den Untersuchungskontext einordnen.
2. Strelka-Befunde prüfen und Fehlinterpretationen vermeiden.
3. Dateiindikatoren in Hunt-Abfragen und Cases weiterverwenden.

5. Befund übergeben

1. Technische Beobachtungen in klare Aussagen übersetzen.
2. Unsicherheit, Annahmen und offene Fragen ausdrücklich kennzeichnen.
3. Forensischen Kurzbericht mit Zeitachse und Maßnahmenempfehlung erstellen.

Praxisübungen

• PCAP-Datei importieren und auffällige Verbindung analysieren
• EVTX-Ereignisse nach Benutzeraktivität untersuchen
• Dateiindikator aus Netzwerkdaten ableiten und bewerten
• Zeitachse aus Netzwerk- und Hostdaten erstellen
• Forensischen Befund als Case-Notiz dokumentieren

Voraussetzungen

Vorausgesetzt werden Grundlagen in TCP/IP, HTTP, DNS, TLS, Windows-Logs und Incident-Analyse. Erfahrung mit PCAP-Analyse oder Windows-Eventlogs ist hilfreich.