DFIR beantwortet die kritischsten Fragen nach einem Sicherheitsvorfall: Wer war es, wie kam er rein, was wurde kompromittiert — und wie verhindern wir es beim nächsten Mal?
IR-Prozess & Erstmaßnahmen — die ersten 72 Stunden entscheiden
Incident Response folgt dem NIST SP 800-61 bzw. SANS PICERL-Framework: Preparation (IR-Plan, Toolkits, Kommunikationskanäle), Identification (Ist es wirklich ein Incident? Scope Assessment), Containment (Ausbreitung stoppen — Short-Term: Netzwerk isolieren, Long-Term: Eradication vorbereiten), Eradication (Root Cause beseitigen — Malware entfernen, Backdoors schließen, Credentials rotieren), Recovery (saubere Systeme wiederherstellen, Monitoring verstärken) und Lessons Learned (Post-Incident Review, IR-Plan verbessern). Die ersten 72 Stunden sind entscheidend: Flüchtige Beweise (RAM, Netzwerkverbindungen, laufende Prozesse) gehen verloren, Angreifer können Spuren verwischen, und die NIS2-Meldepflicht erfordert eine Erstmeldung innerhalb von 24 Stunden.
- Erstmaßnahmen bei Verdacht auf Kompromittierung: Schritt 1 — NICHT den Rechner ausschalten! Das Herunterfahren zerstört flüchtige Beweise (RAM, Netzwerkverbindungen, laufende Prozesse, geöffnete Dateien). Stattdessen: Memory Dump erstellen (WinPmem, DumpIt, Magnet RAM Capture), Netzwerk-Capture starten (tcpdump, Wireshark), Triage-Sammlung (KAPE — sammelt in 10 Minuten die wichtigsten forensischen Artefakte). Schritt 2 — Containment: System vom Netzwerk isolieren (VLAN-Änderung oder EDR-basierte Isolation), kompromittierte Accounts deaktivieren (aber NICHT löschen).
- Scope Assessment — wie weit reicht der Angriff? Die kritischste Frage: Ist nur ein System betroffen, oder hat sich der Angreifer lateral bewegt? Methoden: EDR-Telemetrie (Prozessbäume, Netzwerkverbindungen, Datei-Aktivitäten aller Endpoints prüfen), Log-Analyse (Windows Security Event Logs 4624/4625/4688/4648, PowerShell ScriptBlock Logging Event ID 4104, Sysmon Event IDs 1, 3, 7, 8, 10, 11, 13), Active Directory (LDAP-Queries nach verdächtigen Aktivitäten), Netzwerk (Firewall-Logs, DNS-Queries, Proxy-Logs).
- IR-Kommunikation & Dokumentation: Out-of-Band-Kommunikation — der Angreifer liest möglicherweise E-Mails und Teams-Chats mit! Alle IR-Kommunikation über sichere Kanäle (Signal/WhatsApp, dedizierte IR-Slack-Instanz). Dokumentation in Echtzeit mit Zeitstempel, Analyst und durchgeführter Aktion. Chain of Custody für alle Beweismittel mit SHA-256-Hashes. Legal Hold: Alle relevanten Logs und Backups sperren.
- IR-Team-Struktur & Rollen: Incident Commander (IC): Gesamtverantwortung, Entscheidungen über Containment-Maßnahmen. Forensic Analysts: Beweissicherung, Image-Erstellung, Artefakt-Analyse, Timeline-Rekonstruktion. Threat Intelligence: IOC-Recherche, Threat-Actor-Attribution, Malware-Analyse. IT Operations: System-Isolation, Passwort-Resets, Rebuild kompromittierter Systeme. Communications Lead: Interne/externe Kommunikation, NIS2-Meldung. Legal & Privacy: Datenschutz-Meldung (DSGVO Art. 33/34), Strafanzeige. Tipp: Tabletop Exercises vierteljährlich durchführen.
Forensische Analyse-Methoden — Memory, Disk, Network
Forensische Analyse folgt dem Prinzip „Volatility Order“ (RFC 3227): Zuerst die flüchtigsten Beweise sichern — Register/Cache (Sekunden), RAM (Minuten), Netzwerk-State (Minuten), Prozesse & offene Dateien (Minuten), Disk (persistent), Logs (persistent, aber rotierend). Die drei Hauptdisziplinen: Memory Forensics — Analyse des flüchtigen Speichers (laufende Prozesse, Netzwerkverbindungen, entschlüsselte Daten, Injected Code, versteckte Rootkits). Disk Forensics — Dateisystem-Artefakte, gelöschte Dateien, Timeline-Analyse, Registry-Hives. Network Forensics — PCAP-Dateien, NetFlow-Daten, DNS-Logs, Proxy-Logs.
- Memory Forensics mit Volatility 3: Volatility 3 (Open Source, Python) ist das Standard-Tool für Memory-Analyse. Workflow: 1) Memory Dump erstellen: WinPmem (
winpmem_mini.exe memdump.raw), DumpIt, Magnet RAM Capture, oder AVML (Linux). 2) Analyse mit Volatility 3:vol -f memdump.raw windows.pslist(alle Prozesse),windows.pstree(Prozessbaum),windows.netscan(Netzwerkverbindungen),windows.malfind(injizierter Code),windows.handles(offene Handles),windows.cmdline(Kommandozeilen-Argumente),windows.dlllist(geladene DLLs). Typische Findings: svchost.exe ohne Services-Parent, PowerShell mit Base64-kodierten Befehlen, rundll32.exe mit ungewöhnlichen DLLs. - Disk Forensics — Dateisystem-Analyse: Forensisches Imaging: Bit-für-Bit-Kopie der Festplatte (dd, FTK Imager, Guymager) — niemals am Original arbeiten! Hash-Verifikation mit SHA-256 vor und nach Analyse. Tools: Autopsy (Open Source, GUI-basiert), X-Ways Forensics (kommerziell, deutsch), FTK (Forensic Toolkit). NTFS-spezifische Artefakte: $MFT (Master File Table — MACE-Zeitstempel, gelöschte Dateien), $UsnJrnl (Änderungsprotokoll des Dateisystems), $LogFile (NTFS-Transaktionslog).
- KAPE — das Schweizer Taschenmesser der Triage: KAPE (Kroll Artifact Parser and Extractor) sammelt in 10–15 Minuten nur forensisch relevante Artefakte: Targets: Event Logs, Registry Hives (SAM, SYSTEM, SOFTWARE, NTUSER.DAT), Prefetch-Dateien, $MFT, $UsnJrnl, Amcache, ShimCache, Browser-Daten, Scheduled Tasks, WMI Persistence, SRUM, PowerShell-History, RDP-Cache. Modules: Eric Zimmerman Tools (MFTECmd, PECmd, EvtxECmd, RECmd, AmcacheParser, ShellBagsExplorer). Ergebnis: Innerhalb einer Stunde hat der Analyst eine vollständige Timeline aller Aktivitäten.
- Network Forensics — C2 erkennen und rekonstruieren: Full Packet Capture (PCAP): Wireshark (tiefe Protokollanalyse), Zeek (strukturierte Netzwerk-Logs: conn.log, dns.log, http.log, ssl.log, files.log), NetworkMiner (extrahiert Dateien und Credentials aus PCAPs). C2-Erkennung: regelmäßige Beaconing-Muster (alle 60s HTTP-Request — typisch für Cobalt Strike/Sliver), DNS-Tunneling (extrem lange DNS-Subdomains), JA3/JA3S-Fingerprints (bekannte C2-Frameworks). NetFlow/IPFIX: Erkennung von Datenexfiltration ohne Full PCAP.
Artefakte & Timeline-Rekonstruktion — den Angriff verstehen
Die Timeline-Analyse ist das Herzstück jeder forensischen Untersuchung: Alle Artefakte werden chronologisch zusammengeführt. Tools: Plaso/log2timeline (Open Source, Python) — extrahiert Zeitstempel aus hunderten Quellen und erstellt eine einheitliche Super-Timeline. Timeline Explorer (Eric Zimmerman) — GUI zur Analyse der Super-Timeline. Das Ergebnis: Eine lückenlose chronologische Darstellung des gesamten Angriffsverlaufs — von der ersten Phishing-E-Mail bis zur Dateiexfiltration.
- Windows-Artefakte für DFIR: Prefetch (C:\Windows\Prefetch\*.pf): jedes ausgeführte Programm, letzte 8 Ausführungszeitpunkte. Amcache (C:\Windows\AppCompat\Programs\Amcache.hve): SHA1-Hashes aller ausgeführten Programme, Installationszeitpunkt. ShimCache/AppCompatCache (SYSTEM-Registry): ausgeführte und aufgerufene Programme. UserAssist (NTUSER.DAT): ROT13-kodierte Liste benutzergestarteter Programme. BAM/DAM (SYSTEM-Registry): Ausführungszeitpunkt in den letzten 7 Tagen. SRUM (System Resource Usage Monitor): Netzwerknutzung pro Prozess und Benutzer.
- Registry-Forensik — die Windows-Schatzkammer: SAM: Benutzerkonten, letzte Anmeldung, Account-Erstellung. SYSTEM\CurrentControlSet\Services: installierte Dienste (Malware tarnt sich oft als Service). SOFTWARE\Microsoft\Windows\CurrentVersion\Run: Autostart-Programme (häufigster Persistence-Mechanismus). NTUSER.DAT\...\RecentDocs: zuletzt geöffnete Dokumente. NTUSER.DAT\...\TypedPaths: manuell in Explorer eingegebene Pfade. UsrClass.dat\ShellBags: jeder jemals geöffnete Ordner inklusive Netzwerklaufwerke und USB-Geräte. Tools: RegRipper und RECmd (Eric Zimmerman).
- Linux-Forensik — andere Artefakte, gleiche Prinzipien: Dateisystem-Zeitstempel (ext4: crtime, mtime, atime, ctime — mit
debugfsoderstat). /var/log/: auth.log (SSH-Logins, sudo), syslog, kern.log, cron.log. Bash-History (~/.bash_history), Utmp/Wtmp/Btmp (aktive/historische/fehlgeschlagene Logins). /proc/ (laufende Prozesse, Netzwerkverbindungen — Live-Forensik). Systemd Journal (journalctl). Cron & Systemd Timers (Persistence). SSH Authorized Keys (~/.ssh/authorized_keys). Auditd (Linux Audit Framework — Syscall-Logging, vergleichbar mit Sysmon). - Malware-Analyse — statisch und dynamisch: Statische Analyse (ohne Ausführung): Strings (FLOSS — lesbare Zeichenketten extrahieren: URLs, IPs, Registry-Pfade), PE-Header (PEstudio, CFF Explorer — Import-Tabelle analysieren), YARA-Regeln (Pattern-Matching: bekannte Malware-Familien), VirusTotal (Hash-Lookup). Dynamische Analyse (Sandbox): ANY.RUN (interaktive Cloud-Sandbox), Joe Sandbox (automatisierte Verhaltensanalyse), CAPE (Open Source, Payload-Extraktion), Custom-Sandbox (Windows-VM mit Procmon, Process Hacker, Wireshark, Fakenet-NG). Ergebnis: IOCs (Indicators of Compromise) für Detection.
Sie benötigen Unterstützung?
Im Ernstfall zählt jede Minute: Wir bieten Incident Response, forensische Analyse und Beweissicherung — von der ersten Triage über die Memory- und Disk-Forensik bis zum vollständigen Investigation Report mit Timeline-Rekonstruktion und Handlungsempfehlungen.
Security & Firewall ansehen →
