Kursbeschreibung
In diesem praxisnahen Kurs lernst Du, Windows-Systeme strukturiert forensisch zu untersuchen, Beweise sauber zu sichern und relevante Spuren nachvollziehbar auszuwerten. Du erhältst einen kompakten Einstieg in die Grundlagen der digitalen Forensik, arbeitest mit zentralen Windows-Artefakten wie NTFS, Registry, Event Logs, RAM-Dumps und Timelines und setzt bewährte Tools wie FTK Imager, Autopsy, Volatility, Hayabusa und Timesketch ein.
Die wichtigsten Themen im Überblick
- Windows-Artefakte auswerten
- NTFS und Registry verstehen
- Disk-Images korrekt erstellen
- RAM-Forensik praktisch üben
- Event Logs sicher analysieren
- Timelines aus Artefakten bauen
Zielgruppe
- Angehende Forensiker
- Windows Administratoren
- IT-Security Mitarbeiter
- Strafverfolgungsbehörden
- uvm.
Voraussetzung für die Schulung
- Kenntnisse analog zum Kurs “Einführung in die digitale Forensik”
- Sicherer Umgang mit Windows und der PowerShell
- Grundlegende Linux Kenntnisse
Kursinhalte
Grundlagen der digitalen Forensik und Einführung in Windows Forensik
Einführung in die digitale Forensik (Rückblick)
- Grundbegriffe und Prinzipien
- Rechtliche Rahmenbedingungen (Überblick)
- Incident Response und der Stellenwert der Forensik in der IT-Sicherheit
Windows-Architektur und Dateisystem
- Grundlagen von NTFS
- Registry-Struktur und wichtige Bereiche
- Überblick über Windows-Logs
Forensische Werkzeuge
- Überblick über klassische Tools (EnCase, FTK Imager, Autopsy, X-Ways…)
- Unterschiede zwischen Open-Source und kommerziellen Tools
Disk-Imaging und Datensammlung
- Disk-Imaging: Vorgehen und Best Practices
- Erstellen eines forensischen Images (Hands-On)
- Prüfsummen und Integritätsprüfung
Windows-spezifische Forensik und Artefakteanalyse
Speicher- und RAM-Forensik
- Grundlagen der Speicheranalyse
- Wichtige RAM-Artefakte (Prozesse, Netzwerkverbindungen, offene Dateien)
- Praktische Übung: RAM-Dump mit Volatility analysieren
Analyse der Windows Registry
- Wichtige Registry-Schlüssel für die Forensik (MRU, Autostart, zuletzt geöffnete Dateien)
- Tools zur Analyse (Registry Explorer)
- Praktische Übung: Registry-Analyse
Event Logs und andere Windows-Artefakte
- Analyse von Windows-Ereignisprotokollen (Event Viewer, evtx-Dateien)
- Forensisch relevante Artefakte (Prefetch, LNK-Dateien, Recycle Bin)
- Praktische Übung: Analyse von Ereignisprotokollen und Artefakten
- Mit Hayabusa große Windows-Logs analysieren
Timeline-Analyse
- Erstellung und Analyse von Timelines (z.B. mit plaso/log2timeline)
- Konsolidierung von Artefakten zu einer Zeitlinie
- Timesketch im Einsatz
- Praktische Übung: Erstellung einer forensischen Zeitachse
Fortgeschrittene Forensik und Abschlussprojekte
Malware-Forensik und Persistenzmechanismen
- Erkennung von Malware auf Windows-Systemen
- Untersuchung von Persistenzmechanismen (Autostart-Einträge, Dienste)
- Praktische Übung: Analyse eines infizierten Binaries
Netzwerkforensik in Windows
- Analyse von Netzwerkaktivitäten
- Forensische Analyse von Protokollen (netstat, Wireshark etc.)
- Praktische Übung: Netzwerkforensik
Erstellung eines Abschlussberichts
- Umgang mit Beweismitteln und Präsentation der Ergebnisse
- Praktische Übung: Verfassen eines forensischen Abschlussberichts
Abschlussprojekt und Fallstudie
- Bearbeitung einer umfassenden Fallstudie
- Diskussion und Feedback
Am Ende des Kurses haben die Teilnehmer umfassende praktische Kenntnisse in Windows-Forensik sowie den Umgang mit den wichtigsten Tools erworben.
