Schulungszentrum der GFU Cyrus AG
Am Grauen Stein 27
51105 Köln
Seminar / Kurs
Windows-Forensik mit KI-Unterstützung in Köln
Inhalte
- 1. Grundlagen und Live-Response
- Order of Volatility: Sicherung flüchtiger Daten (RAM, Netzwerkverbindungen).
- Imaging: Erstellung von bitgenauen Kopien (E01, Raw) unter Wahrung der Chain-of-Custody.
- Triage: Schnelle Datenerhebung mit Tools wie KAPE oder Velociraptor.
- 2. Dateisystem-Forensik (NTFS)
- MFT-Analyse: Master File Table als Zeitkapsel für Dateioperationen.
- Timestomping: Erkennung von manipulierten Zeitstempeln.
- Deleted Files: Wiederherstellung von Daten aus dem Unallocated Space und Slack Space.
- 3. Windows Registry Forensik
- Hives und Keys: System-, Software- und User-Hives (NTUSER.DAT) auswerten.
- Spurensuche: USB-Historie, zuletzt geöffnete Dateien und installierte Software.
- User-Assist: Rekonstruktion der Benutzerinteraktion über die Registry.
- 4. Persistenz und Programmausführung
- User-Aktivität: Analyse von ShellBags, LNK-Dateien und Jump Lists.
- Execution Artefacts: Prefetch, Superfetch und Amcache zur Nachverfolgung von Programmstarts.
- Autostart-Mechanismen: Versteckte Dienste, geplante Aufgaben und WMI-Event-Consumer.
- 5. Memory Forensik
- Volatility Framework: Analyse von Prozessen, DLLs und Code-Injektionen im RAM.
- Credential-Artefakte im Arbeitsspeicher: Untersuchung von Passwort-Hashes, Domänen-Cache-Einträgen, LSA Secrets und LSASS-Speicherbereichen.
- Malware und Rootkit-Indikatoren im Speicher: Erkennung von Fileless Malware, Process Injection, versteckten Prozessen, Treibern und Kernelmanipulationen.
- 6. LLM-gestützte Event-Log-Analyse
- LLM-gestützte Interpretation von Windows Event-IDs: Nutzung von LLMs (z. B. GPT, Claude) zur Interpretation kryptischer Event-IDs.
- Pattern Recognition: Schnelles Filtern von lateralen Bewegungen (RDP, SMB) in Millionen von Log-Einträgen.
- Natural Language Querying: Abfragen von Log-Daten in natürlicher Sprache statt komplexer XPath-Filter.
- 7. KI-gestützte Anomalie-Erkennung in der Registry
- Baseline-Vergleich: Erstellung von Registry-Snapshots und Vorher-/Nachher-Vergleichen mit Regshot als Grundlage für die weitere KI-gestützte Analyse.
- Malicious Persistence: KI-gestützte Analyse auffälliger Registry-Inhalte auf Hinweise persistenter Autostart- und Ausführungsmechanismen, insbesondere Run-Keys, ungewöhnlicher Zielpfade, Dienste und geplanter Aufgaben.
- Entropie-Analyse: Entropie-Analyse zur Erkennung auffällig codierter, komprimierter oder zufällig wirkender Registry-Werte als Hinweis auf mögliche Verschleierung.
- 8. Praxis-Training: Bearbeitung einer forensichen Fallstudie
- IT-Sicherheitsbeauftragte & SOC-Analysten: Zur schnellen Aufklärung von Incidents.
- Administratoren: Die im Ernstfall die ersten forensischen Schritte einleiten müssen.
- Behördliche Ermittler: Zur Vertiefung technischer Kenntnisse in Windows-Umgebungen.
- Revisoren: Zur technischen Überprüfung von Systemmanipulationen.
- 1. Grundlagen und Live-Response
- Order of Volatility: Sicherung flüchtiger Daten (RAM, Netzwerkverbindungen).
- Imaging: Erstellung von bitgenauen Kopien (E01, Raw) unter Wahrung der Chain-of-Custody.
- Triage...
Termine und Orte
| Datum | Dauer | Preis | ||
|---|---|---|---|---|
| Köln, DE | ||||
| 14.12.2026 - 16.12.2026 21 h | 21 h | Details | Details Jetzt buchen | |
| 03.03.2027 - 05.03.2027 21 h | 21 h | Details | Details Jetzt buchen | |
| 16.06.2027 - 18.06.2027 21 h | 21 h | Details | Details Jetzt buchen | |
| 06.09.2027 - 08.09.2027 21 h | 21 h | Details | Details Jetzt buchen | |
| 01.12.2027 - 03.12.2027 21 h | 21 h | Details | Details Jetzt buchen | |
| Datum | Dauer | Preis | ||
|---|---|---|---|---|
| Köln, DE | ||||
| 14.12.2026 - 16.12.2026 21 h | 21 h | Details | Details Jetzt buchen | |
| 03.03.2027 - 05.03.2027 21 h | 21 h | Details | Details Jetzt buchen | |
| 16.06.2027 - 18.06.2027 21 h | 21 h | Details | Details Jetzt buchen | |
| 06.09.2027 - 08.09.2027 21 h | 21 h | Details | Details Jetzt buchen | |
| 01.12.2027 - 03.12.2027 21 h | 21 h | Details | Details Jetzt buchen | |