Digital Forensics & Incident Response

Nach der Teilnahme an dieser zweitägigen Schulung werden Sie:

• verstehen, was Incident Response (Vorfallbewältigung) und Digitale Forensik sind, worin die Begriffe sich unterscheiden und was im Falle eines Cyberangriffs, zum Beispiel mit Ransomware, aus technischer und organisatorischer Sicht geschehen sollte.

• Meldungen von Anti-Malware-Programmen effizient bewerten und mit Zusatzinformationen ergänzen können. Sie wissen, welche Alarme sofort weiterverfolgt werden müssen.

• das mit E-Mails, IP-Adressen und URLs einhergehende Risiko einschätzen können. Dies erlaubt Ihnen zum Beispiel, Mitarbeitende bei der Bewertung einer verdächtigen E-Mail zu unterstützen.

• potenziell infizierte IT-Systeme einer Erstuntersuchung unterziehen und deren Resultate bewerten können.

• sich in den ersten Minuten und Stunden eines Cybervorfalls richtig verhalten. Damit stellen sie sicher, dass keine wertvollen forensischen Artefakte zerstört werden und diese für die Untersuchung des Vorfalls zur Verfügung stehen.

• selbstständig IT-forensische Artefakte sammeln können und verstehen, wie aus diesen Rückschlüsse auf einen möglichen Angriff gezogen werden können.

Zielgruppe

Dieser Workshop richtet sich an IT-Fachpersonal, Admins, Informatikerinnen und Informatiker im IT-Betrieb.

Voraussetzungen

Teilnehmende des Workshops sollten über Grundkenntnisse in der Administration von Windows-Systemen und ein Grundverständnis der Funktionsweise des Internets verfügen. Begriffe wie DNS, HTTP, E-Mail-Header, Phishing, Vertraulichkeit, Integrität und Verfügbarkeit sollten Sie einordnen können.

Für die Teilnahme benötigen Sie einen Computer mit Oracle VM VirtualBox oder VMware Workstation Pro. Der Computer muss ausreichend leistungsstark sein für das Ausführen einer virtuellen Windows-10-Installation mit mindestens 8 GByte zugewiesenem Memory. Insgesamt sollten 150 GB Datenspeicher für Windows 10 und die Beispieldateien zur Verfügung stehen. Die virtuelle Windows-10-Maschine wird den Teilnehmenden vor dem Workshop bereitgestellt. Zusätzlich benötigen Sie einen Internetzugang.

Zur Workshop-Durchführung wird Zoom verwendet mittels eines DSGVO-konformen On-Premise-Connectors. Wir bitten Sie, ein Mikrofon oder Headset sowie einen aktuellen Browser zu nutzen.

Inhalte

Nach diesem Workshop sind Sie bei der Reaktion auf Cybervorfälle in der Lage, aktiv mitzuwirken und die Rückkehr in den Normalbetrieb professionell zu unterstützen.

• 1.  Grundlagen

  • Einordnung der Begriffe Incident Response und Digitale Forensik

  • Diskussion der Ziele und Anforderungen der Incident Response und Digitalen Forensik

  • Einordnung der Incident Response und Digitalen Forensik in die breitere Informations- und IT-Sicherheit

  • Einführung in den Incident-Response-Prozess

• 2. Risiko von Webressourcen einschätzen

  • Analyse von E-Mails auf potenzielle IT-Sicherheitsrisiken

  • Untersuchung von URLs, IP-Adressen, E-Mail-Absendern

  • Vorgehen beim Fund unerwünschter und potenziell risikobehafteter E-Mails

• 3. Antimalware-Meldungen

  • Effiziente Bewertung von Antimalware-Meldungen auf ihre Dringlichkeit und ihr Risiko

  • Sammlung von und Suche nach relevanten Informationen zu Antimalware-Meldungen

  • Einführung in als besonders kritisch einzustufende Hinweise und Muster

  • Einführung in kostenfrei nutzbare Webdienste zur Sammlung weiterer Informationen und Verifikation von Hinweisen

  • Folgeaktivitäten aufgrund der Erkenntnisse wählen

• 4. Vertiefte Analyse von IT-Systemen

  • Einführung in YARA und die Nutzung eines YARA-Scanners zum Aufdecken verdächtiger Dateien

  • Einführung in SIGMA und die Nutzung eines SIGMA-Scanners zum Aufdecken verdächtiger Einträge im Windows-Ereignisprotokoll

  • Resultate dieser Scanner einordnen und priorisieren

• 5. Forensische Artefakte sammeln und auswerten

  • Kurzeinführung in IT-forensisch relevante Artefakte

  • Sammlung solcher Artefakte mit KAPE

  • Erstauswertung einzelner Artefakte mit KAPE und kostenfrei verfügbaren Werkzeugen

Leistungen Ihres Workshoptickets

• Workshopunterlagen

• Teilnahmebescheinigung

Durchführung

Ist die Durchführung der Veranstaltung aufgrund höherer Gewalt, wegen Verhinderung eines Referenten, wegen Störungen am Veranstaltungsort oder aufgrund zu geringer Teilnehmerzahl (weniger als 50%) nicht möglich, werden die Teilnehmer spätestens 7 Tage vorher informiert.

Die Teilnehmerzahl ist auf max. 20 Personen begrenzt.