Im Ernstfall zählt Geschwindigkeit – aber auch Beweiskraft. Wer bei einem Vorfall erst umständlich Zugänge klären muss, verliert wertvolle Zeit; wer schlampig sammelt, verliert die Beweiskette. Das neue DFIR-Angebot in SecTepe.Core.CTI löst beides: ein SecTepe Collector zur Ersterfassung und ein zweigeteiltes DFIR-Portal, das den Upload ohne Login erlaubt und die Analyse hinter SSO absichert.
SecTepe Collector: eine Binary, ein kuratiertes Artefakt-Set
Der SecTepe Collector ist ein SecTepe-gebrandeter Velociraptor-Offline-Collector, festgelegt auf ein kuratiertes, an Cyber-Triage angelehntes Artefakt-Set: Prozesse, Netzwerkverbindungen, Autoruns/Persistenz, Dienste, geplante Tasks, Benutzer, DNS, Ausführungsspuren, Event-Logs und Dateisystem-Änderungen. Ein Operator führt eine einzige Binary auf dem lebenden Endpunkt aus, die alles in einen Container packt. Verfügbar für Windows, Linux und macOS.
Voll-Disk-Image – bewusst nie hochgeladen
Wo eine vollständige Sicherung nötig ist, kann der Collector ein bit-genaues Voll-Disk-Image erstellen – auf eine externe Platte oder einen SMB/Samba-Share, mit GUI-Disk-Auswahl und Mehrfach-Disk-Imaging. Wichtig: Dieses Image wird bewusst nie hochgeladen. Es bleibt beim Kunden; hochgeladen wird nur die kompakte Artefakt-Sammlung. Das hält Datenschutz und Bandbreite im Griff.
Zwei-Host-Portal: login-freier Upload, SSO-Analyse
Das DFIR-Portal ist bewusst auf zwei Hosts aufgeteilt:
dfir-upload– ein login-freier öffentlicher Uploader mit fallbezogenen Upload-Tokens. Der Operator vor Ort braucht keinen Account.dfir– die SSO-gesicherte Analystenkonsole (Keycloak via oauth2-proxy). Der Portal-Container ist nur über Loopback erreichbar, also ausschließlich durch den authentifizierenden Edge.
Große Sammlungen werden per Chunked-Upload (8 MiB-Blöcke) mit Fortschrittsanzeige übertragen. Die Analysten-Identität wird aus X-Forwarded-Email als X-Actor in eine manipulationssichere Beweiskette (Chain of Custody) geführt, ergänzt um X509-versiegelte Beweise.
Von Artefakten zu Erkenntnissen
In der Konsole entsteht daraus ein vollständiges Fallbild: automatische Bewertung, Prozessbaum, Review-Workflow, eine Cyber-Triage-ähnliche Fallübersicht mit Host-Browser, Cross-Host-IOC-Korrelation, MISP-Anreicherung und ein PDF-Fallbericht – bis hin zur Sophos-Log-Analyse. So wird aus einer Sammlung von Rohdaten eine belastbare Incident-Story.
Teil des CTI-Ökosystems
Der Collector ergänzt die agentenlose Sandbox: Verdächtige Dateien vom Endpunkt wandern in die Detonation, die IOCs fließen über MISP zusammen, und die Analyst-Triage priorisiert das Ergebnis. So schließt sich der Kreis von der Ersterfassung bis zur bewerteten Erkenntnis.
Fazit
Mit einer einfachen Collector-Binary, einem login-freien Upload und einer SSO-gesicherten Analyse macht SecTepe.Core.CTI professionelle Ersterfassung schnell und beweissicher zugleich – inklusive Chain of Custody und PDF-Fallbericht. Das ist DFIR ohne die üblichen organisatorischen Reibungsverluste.