Seminar Timesketch Incident Response mit Plaso, CSV und JSON

Datenaufbereitung, Import und Auswertung in aktiven Sicherheitsvorfällen. Das Seminar konzentriert sich auf den praktischen Weg von Rohdaten zur auswertbaren Zeitlinie. Genau hier entscheidet sich oft, ob eine Untersuchung handwerklich sauber bleibt oder in Datennebel untergeht.

Zielgruppe

Incident-Responder, DFIR-Analysten, SOC-Analysten und Administratoren, die Ereignisdaten aus verschiedenen Quellen auswerten müssen.

Nutzen

Nach dem Seminar können Zeitlinien strukturiert eingeordnet, relevante Ereignisse sauber markiert und Untersuchungsschritte nachvollziehbar dokumentiert werden. Der Schwerpunkt liegt auf handwerklich belastbarer Analyse statt auf bloßem Durchklicken der Oberfläche.

Themenschwerpunkte

• Geeignete Datenquellen für Incident Response und forensische Zeitlinien
• Vorbereitung und Validierung von Plaso-, CSV- und JSON-basierten Importen
• Umgang mit Zeitzonen, Zeitformaten, Feldnamen und inkonsistenten Datenbeständen
• Schnelle Triage großer Ereignismengen mit Suchmustern und Sichten
• Korrelation technischer Hinweise zu Angriffspfaden und betroffenen Systemen
• Dokumentation und Übergabe von Befunden an Betrieb, Management oder weitere Forensik

Praktische Übungen

1. Mehrere Datenformate prüfen und für den Import vorbereiten.
2. Importierte Ereignisse auf Vollständigkeit, Zeitlogik und Feldqualität kontrollieren.
3. Einen Incident-Response-Fall über Suchmuster und Zeitfenster eingrenzen.
4. Befunde zu einer untersuchbaren Angriffskette verdichten.

Voraussetzungen

Grundlagen in Incident Response, Loganalyse und Dateiformaten; erste Timesketch-Erfahrung hilfreich.