Seminar Turbinia – Forensische Verarbeitung mit Plaso, TSK, Strings und YARA

Das Seminar verbindet zentrale forensische Werkzeugklassen mit der verteilten Verarbeitung in Turbinia. An einem abgestimmten Untersuchungsfall werden Dateisystemanalyse, Timeline-Erzeugung, Zeichenketten- und Mustererkennung, Jobauswahl, Ergebnisprüfung und Übergabe an nachgelagerte Analyseprozesse geübt.

Inhaltsübersicht

• Zielsetzung
• Zielgruppe
• Voraussetzungen
• Seminarinhalte
• Praxisübungen
• Methodik

Zielsetzung

• Werkzeuge und Jobs passend zu Evidence, Fragestellung und Ressourcen auswählen
• Plaso-basierte Timelines sowie TSK-, Strings- und YARA-Auswertungen kontrolliert ausführen
• Laufzeit, Trefferqualität und Ergebnisumfang durch Konfiguration und Recipes steuern
• Befunde aus mehreren Tasks konsistent prüfen, korrelieren und weitergeben

Zielgruppe

DFIR-Analysten, Incident-Response-Teams, Threat Hunter, forensische Laborverantwortliche und technische Analysten mit Bedarf an skalierter Werkzeugausführung.

Voraussetzungen

Grundkenntnisse digitaler Forensik, Dateisysteme, Datenträgerabbilder und Indikatorensuche. Turbinia-Grundlagen und erste Erfahrung mit mindestens einem der genannten Werkzeuge werden empfohlen.

Seminarinhalte

1. Schritt 1: Untersuchungsplan erstellen

   Fragestellung, Evidence, Prioritäten, Zeitbudget, Suchindikatoren und erwartete Artefakte werden in eine kontrollierte Jobfolge übersetzt.

2. Schritt 2: Evidence vorprüfen

   Typ, Hash, Partitionsstruktur, Zugänglichkeit, Größe und Speicherbedarf werden vor der verteilten Verarbeitung bestätigt.

3. Schritt 3: Dateisystemstruktur mit TSK erfassen

   Partitionen, Dateisysteminformationen und auffällige Strukturen werden als Grundlage für weitere Aufgaben ausgewertet.

4. Schritt 4: Timeline mit Plaso erzeugen

   Parserauswahl, Filter, Zeitzone, Ausgabepfad, Ressourcenbedarf und Fehlerprotokolle werden für eine reproduzierbare Timeline-Erstellung konfiguriert.

5. Schritt 5: Timeline aufbereiten und prüfen

   Psort- beziehungsweise Folgeausgaben werden auf Vollständigkeit, Zeitbereich, Artefaktabdeckung und offensichtliche Parserprobleme kontrolliert.

6. Schritt 6: Zeichenketten- und Inhaltsanalyse ausführen

   Strings- und vergleichbare Extraktionen werden mit geeigneten Grenzen und Filtern eingesetzt, ohne Ergebnisablagen unkontrolliert aufzublähen.

7. Schritt 7: YARA-Suche planen

   Regelquellen, Version, Zielbereiche, Dateigrößen, Ausschlüsse und Trefferkontext werden für nachvollziehbare Scans festgelegt.

8. Schritt 8: Jobs mit Recipes koordinieren

   Allow- und Deny-Listen, Filtermuster, YARA-Konfiguration und Ausgabeparameter werden zu einem wiederholbaren Untersuchungsrezept verbunden.

9. Schritt 9: Ergebnisse validieren

   Task-Status, Werkzeugversion, Logs, Trefferzahlen, Stichproben und Negativkontrollen werden zu einer Qualitätsprüfung kombiniert.

10. Schritt 10: Befunde korrelieren

    Timeline-Ereignisse, Dateisystemmerkmale, Strings und YARA-Treffer werden über Pfad, Zeit, Hash und Kontext zusammengeführt.

11. Schritt 11: Ergebnisübergabe vorbereiten

    Befundzusammenfassung, Ergebnisdateien, Suchparameter, Einschränkungen und weiterführende Hypothesen werden für Timesketch oder Fallakten strukturiert.

12. Schritt 12: Performance und Wiederholung steuern

    Parallelität, Task-Auswahl, Datenumfang und Zwischenergebnisse werden so angepasst, dass Wiederholungsanalysen gezielt und wirtschaftlich bleiben.

Praxisübungen

• Untersuchungsplan für ein kompromittiertes System in Jobs und Tasks zerlegen
• Timeline-Erzeugung und Qualitätskontrolle mit Referenzdaten durchführen
• YARA- und Strings-Ergebnisse mit Dateisystem- und Timeline-Kontext korrelieren
• Ein Recipe für einen wiederholbaren Triage-Workflow erstellen

Methodik

Der Kurs folgt einem vollständigen Fall vom Evidence-Eingang bis zur Befundübergabe. Werkzeugausgaben werden nicht nur erzeugt, sondern mit Kontrollfragen, Stichproben und Negativtests bewertet.