Seminar X-Ways Forensics Memory Forensics und Incident Response

Inhaltsübersicht

• Einordnung von Speicherforensik im Incident-Response-Prozess
• RAM-Images, hiberfil.sys und relevante Speicherquellen
• Virtuelle Speicherverwaltung, Prozesse, Handles und Treiber
• Suche nach Spuren von Malware, Verbindungen und Artefakten
• Dokumentation, Plausibilisierung und Grenzen der Auswertung

Überblick

Dieses Spezialseminar behandelt die Arbeit mit Hauptspeicher- und Incident-Response-Spuren in X-Ways Forensics. Im Mittelpunkt stehen Speicherabbilder, hiberfil.sys, Prozesskontexte, verdächtige Bezüge und die Frage, welche Aussagen aus flüchtigen Daten belastbar abgeleitet werden können.

Die Schulung verbindet technische Grundlagen mit praktischen Such- und Navigationsverfahren. Ziel ist eine strukturierte Auswertung, die Verdachtsmomente nicht nur findet, sondern nachvollziehbar einordnet.

Zielgruppe

Geeignet für Incident-Response-Teams, SOC-Analysten, Malware-Analysten, Forensiker und Administratoren, die Speicherartefakte bei Sicherheitsvorfällen untersuchen müssen.

Inhalte

• Rolle von Speicherforensik in Sofortmaßnahmen und Nachanalyse
• RAM-Abbilder, hiberfil.sys, Auslagerungsdateien und ergänzende Datenquellen
• Grundlagen virtueller Speicherverwaltung, Page Tables und Adressräume
• Prozesse, Threads, Handles, geladene Module und Treiber
• Navigation in Prozessadressräumen und Speicherbereichen
• Suchstrategien für Strings, Pfade, IP-Adressen, Domains und Artefaktfragmente
• Hinweise auf versteckte Prozesse, manipulierte Strukturen und verdächtige Bezüge
• Netzwerkspuren im Speicher und Kontextbewertung
• Arbeit mit Templates und Daten-Dolmetscher für Speicherstrukturen
• Dokumentation unsicherer, fragmentarischer und korrelationsbedürftiger Befunde

Praktische Übungen

Die Übungen behandeln vorbereitete Speicherabbilder mit Prozess-, Netzwerk- und Artefaktspuren. Treffer werden technisch überprüft, mit weiteren Indizien korreliert und in eine nachvollziehbare Incident-Response-Dokumentation übertragen.

Voraussetzungen

Erforderlich sind Grundlagen zu Windows, Prozessen, Speicher und digitaler Forensik. Erfahrung mit X-Ways Forensics ist hilfreich; das Seminar ist jedoch stärker methodisch-technisch als rein bedienungsorientiert.