Seminar Turbinia – Kompaktseminar für Einstieg, Betrieb und Workflows

Das Kompaktseminar schafft in drei Tagen ein arbeitsfähiges Gesamtverständnis für Turbinia. Es verbindet Architektur, Installation, Client- und Webbedienung, Evidence, Recipes, einen forensischen Beispielauftrag, Betriebsüberwachung, Fehlersuche und die Einordnung des Übergangs zu OpenRelik.

Inhaltsübersicht

• Zielsetzung
• Zielgruppe
• Voraussetzungen
• Seminarinhalte
• Praxisübungen
• Methodik

Zielsetzung

• Architektur, zentrale Begriffe und Einsatzgrenzen sicher erklären
• Eine vorhandene oder vorbereitete Testumgebung bedienen und kontrollieren
• Evidence und Recipes für einen vollständigen Beispielworkflow einsetzen
• Betriebszustände, Fehler und strategische Migrationsfragen grundlegend beurteilen

Zielgruppe

Neue DFIR- und Plattformmitglieder, technische Projektleitung, Key-User, Incident-Response-Teams und Führungskräfte mit operativem Überblicksbedarf.

Voraussetzungen

Allgemeine Linux- und IT-Grundkenntnisse sowie Verständnis digitalforensischer Aufgaben. Turbinia-Vorkenntnisse sind nicht erforderlich.

Seminarinhalte

1. Schritt 1: Plattform und Wartungskontext einordnen

   Zweck, Einsatzgrenzen, bestehender Betrieb und die Notwendigkeit einer geordneten Zukunfts- beziehungsweise Migrationsplanung werden erläutert.

2. Schritt 2: Architektur und Datenfluss verstehen

   Client, API, Server, Queue, Worker, Jobs, Tasks und Evidence werden an einem einfachen Ablaufmodell verbunden.

3. Schritt 3: Bereitstellungsmöglichkeiten vergleichen

   Docker Compose, Kubernetes, Helm, GKE sowie lokale, Cloud- und hybride Varianten werden nach typischem Einsatz ausgewählt.

4. Schritt 4: Client und Weboberfläche bedienen

   Jobs und Evidence werden ermittelt, ein Request eingereicht, Status verfolgt und Ergebnisse übernommen.

5. Schritt 5: Evidence korrekt vorbereiten

   Typ, Metadaten, Pfad, Integrität, Speicherzugriff und erzeugte Evidence werden für einen Referenzfall geprüft.

6. Schritt 6: Recipe anwenden und anpassen

   Jobauswahl, Filter, YARA- beziehungsweise Task-Parameter und Ergebnisziel werden in einem vorhandenen Recipe angepasst.

7. Schritt 7: Forensischen Beispielworkflow durchführen

   Dateisystem-, Timeline- und Indikatoranalyse werden in einer kleinen, nachvollziehbaren Jobfolge ausgeführt.

8. Schritt 8: Ergebnisse prüfen und weitergeben

   Task-Status, Logs, Treffer, Ergebnisdateien und Einschränkungen werden kontrolliert und für Timesketch oder Fallakte vorbereitet.

9. Schritt 9: Betrieb überwachen

   Worker, Queue, Laufzeiten, Speicher und Fehlerzustände werden mit einfachen Kontrollen beobachtet.

10. Schritt 10: Störung eingrenzen

    Ein typischer Fehler wird über Request-ID, Status, Worker- und Task-Logs bis zur Ursache verfolgt.

11. Schritt 11: Lern- und Betriebsweg planen

    Rollenbezogene Vertiefungsseminare, notwendige Betriebsmaßnahmen und ein erster OpenRelik-Prüfauftrag werden priorisiert.

Praxisübungen

• Architekturdiagramm und Komponentenverantwortung erstellen
• Request mit vorbereitetem Evidence und Recipe ausführen
• Ergebnisse und Logs prüfen und eine kurze Befundübergabe erstellen
• Betriebs- und Weiterbildungsbedarf anhand einer Checkliste bewerten

Methodik

Das Kompaktformat arbeitet mit einem einzigen Beispielsystem und einem durchgängigen Fall. Es vermittelt breite Handlungssicherheit, ersetzt aber nicht die vertiefenden Betriebs-, Entwickler- oder Cloud-Seminare.