Seminar Falco – Intensivseminar Plugins, Audit-Quellen und Erweiterung

Das fünftägige Intensivformat bündelt Pluginbetrieb, Kubernetes Audit, AWS CloudTrail, Kubernetes-Metadaten, gemeinsame Regelmodelle, Go-Plugin-Entwicklung, Tests, Performance, OCI-Paketierung und produktive Integration. Der Aufbau verbindet fachliche Einordnung, nachvollziehbare Konfigurationsschritte, kontrollierte Tests und dokumentierte Betriebsentscheidungen.

Inhaltsübersicht

• Zielsetzung
• Lernziele
• Seminarinhalte
• Praxisübungen
• Zielgruppe und Voraussetzungen
• Didaktik und Arbeitsweise

Zielsetzung

Das Seminar schafft einen belastbaren Arbeitsablauf im Themenbereich „Intensivseminar Plugins, Audit-Quellen und Erweiterung“. Jede Änderung wird vorbereitet, schrittweise umgesetzt, technisch geprüft und so dokumentiert, dass sie in Test- und Produktionsumgebungen wiederholbar bleibt.

Lernziele

• Pluginarchitektur und Quellstrategie fachlich einordnen, praktisch anwenden und mit eindeutigen Prüfpunkten absichern.
• Vorhandene Plugins installieren fachlich einordnen, praktisch anwenden und mit eindeutigen Prüfpunkten absichern.
• Kubernetes Audit fachlich einordnen, praktisch anwenden und mit eindeutigen Prüfpunkten absichern.
• AWS CloudTrail fachlich einordnen, praktisch anwenden und mit eindeutigen Prüfpunkten absichern.
• Kubernetes-Metadaten fachlich einordnen, praktisch anwenden und mit eindeutigen Prüfpunkten absichern.
• Quellenübergreifende Regeln fachlich einordnen, praktisch anwenden und mit eindeutigen Prüfpunkten absichern.

Seminarinhalte

1. Pluginarchitektur und Quellstrategie

1. Schritt 1: Source- und Extractor-Funktionen sowie Runtime-, Audit- und Cloud-Quellen einordnen.
2. Schritt 2: Datenbedarf, Berechtigungen, Liefersemantik und Betriebsrisiken je Quelle bewerten.
3. Schritt 3: Gemeinsamen Feld-, Regel- und Verantwortungsrahmen definieren.

2. Vorhandene Plugins installieren

1. Schritt 1: Plugin- und Regelartefakte versioniert beschaffen und Kompatibilität prüfen.
2. Schritt 2: Konfiguration, Secrets, Netzwerkzugriff und Quellenparameter sicher bereitstellen.
3. Schritt 3: Eventaufnahme, Parser und Feldkatalog durch Testereignisse validieren.

3. Kubernetes Audit

1. Schritt 1: Audit-Policy für sicherheitsrelevante API-Aktivitäten entwerfen.
2. Schritt 2: K8saudit-Aufnahmeweg konfigurieren und Datenfluss überwachen.
3. Schritt 3: Regeln für RBAC-, Secret-, Exec- und privilegierte Workload-Aktivitäten entwickeln.

4. AWS CloudTrail

1. Schritt 1: CloudTrail-Ereignisse nach Identität, Aktion, Ressource, Region und Ergebnis normalisieren.
2. Schritt 2: Erkennungen für IAM-, Logging- und Schlüsselmanipulation erstellen.
3. Schritt 3: Aufnahmeverzug, Duplikate und legitime Automatisierung kontrolliert behandeln.

5. Kubernetes-Metadaten

1. Schritt 1: K8smeta-Plugin und Collector mit minimalen Rechten bereitstellen.
2. Schritt 2: Runtime-Ereignisse um Workload-, Namespace-, Label- und Owner-Kontext anreichern.
3. Schritt 3: Metadatenaktualität und Fallback bei fehlender Zuordnung prüfen.

6. Quellenübergreifende Regeln

1. Schritt 1: Benennung, Prioritäten, Tags und Ausgaben über verschiedene Event-Quellen vereinheitlichen.
2. Schritt 2: Audit- und Runtime-Signale in Untersuchungsabläufen zeitlich korrelieren.
3. Schritt 3: Quell-Scoping und Negativtests gegen unbeabsichtigte Regelwirkung einsetzen.

7. Go-Plugin: Projekt und Event-Quelle

1. Schritt 1: SDK-Capabilities, Projektstruktur und Konfigurationsschema anlegen.
2. Schritt 2: Client mit Authentifizierung, Timeouts, Cursor, Retry und Abbruch implementieren.
3. Schritt 3: Rohereignisse stabil in das Plugin-Ereignisformat überführen.

8. Go-Plugin: Felder und Tests

1. Schritt 1: Feldkatalog mit Typen, Semantik und optionalen Werten entwerfen.
2. Schritt 2: Extractor null-sicher und performant implementieren.
3. Schritt 3: Unit-, Parser-, Extractor- und End-to-End-Tests automatisieren.

9. Robustheit, Sicherheit und Performance

1. Schritt 1: Backpressure, Quellunterbrechung, ungültige Daten und Zielausfall simulieren.
2. Schritt 2: Durchsatz, Latenz, Speicher und Fehlerraten messen und optimieren.
3. Schritt 3: Secrets, Berechtigungen, Abhängigkeiten und Buildprozess härten.

10. Packaging und OCI-Artefakte

1. Schritt 1: Plugin- und Regelpaket mit Version, Kompatibilität und Metadaten erstellen.
2. Schritt 2: Artefakte reproduzierbar bauen, prüfen und in einer OCI-Registry bereitstellen.
3. Schritt 3: Installation, Update und Cache-Verhalten mit falcoctl testen.

11. Produktionsbetrieb und Lifecycle

1. Schritt 1: Plugins, Regeln, Outputs und Monitoring gemeinsam deployen.
2. Schritt 2: Eventstillstand, Parserfehler, Versionsdrift und Ressourcenverbrauch überwachen.
3. Schritt 3: Upgrade, Rollback und Störungsrunbook für jede Quelle dokumentieren.

12. Abschlussprojekt

1. Schritt 1: Eigene Event-Quelle vom Datenvertrag bis zur Falco-Regel vollständig anbinden.
2. Schritt 2: Paket, Tests, Dokumentation und Betriebsmetriken als Release-Kandidat bereitstellen.
3. Schritt 3: Technische und sicherheitsbezogene Abnahme anhand einer Prüfliste durchführen.

Praxisübungen

1. Übung 1: Ausgangslage für „Pluginarchitektur und Quellstrategie“ erfassen, Arbeitsauftrag durchführen, erwartetes Ergebnis prüfen und Abweichungen protokollieren.
2. Übung 2: Ausgangslage für „Go-Plugin: Projekt und Event-Quelle“ erfassen, Arbeitsauftrag durchführen, erwartetes Ergebnis prüfen und Abweichungen protokollieren.
3. Übung 3: Ausgangslage für „Abschlussprojekt“ erfassen, Arbeitsauftrag durchführen, erwartetes Ergebnis prüfen und Abweichungen protokollieren.
4. Übung 4: einen integrierten Fall vom vorbereiteten Ausgangszustand bis zur technischen Abnahme durchführen.

Zielgruppe und Voraussetzungen

Zielgruppe: Security- und Integrationsentwicklung, Cloud- und Kubernetes-Security, SOC Engineering, Plattformbetrieb und technische Produktteams.

Voraussetzungen: Sichere Falco-Regelkenntnisse, Erfahrung mit APIs und Ereignisdaten sowie Go-Grundkenntnisse für den Entwicklungsanteil.

Didaktik und Arbeitsweise

Kurze Fachimpulse werden unmittelbar durch Demonstrationen, strukturierte Arbeitsschritte, Praxisübungen und kontrollierte Fehlerfälle vertieft. Jede Übung verwendet einen definierten Ausgangszustand, ein erwartetes Ergebnis und einen Prüfpfad. Konfigurationsstände, Messwerte und Entscheidungen werden nachvollziehbar festgehalten.