Seminar Logpoint Search Query Language und Threat Hunting

Ziel und Nutzen

Das Seminar vertieft die Suchsprache und die methodische Untersuchung verdächtiger Aktivitäten. Schwerpunkt ist die Übersetzung von Hypothesen in präzise Suchabfragen, die Auswertung normalisierter Felder und der Aufbau wiederverwendbarer Hunting-Notebooks.

Inhaltsübersicht

• Suchlogik, Filter und Feldverständnis
• Zeitfenster, Aggregation und Korrelation
• Hypothesenbasiertes Threat Hunting
• Hunting nach Identität, Endpoint und Netzwerk
• Performance und Suchqualität
• Dokumentation verwertbarer Funde

Schrittweise Seminarinhalte

1. Schritt 1: Suchfelder, Operatoren und Filterlogik sicher anwenden.
2. Schritt 2: Hypothesen aus Angriffstechniken, Vorfällen und Schwachstellen ableiten.
3. Schritt 3: Suchen nach Benutzer-, Prozess-, Netzwerk- und Authentifizierungsereignissen entwickeln.
4. Schritt 4: Aggregationen, Zeitbezüge und Korrelationen für Mustererkennung einsetzen.
5. Schritt 5: Suchperformance und Datenqualität bewerten.
6. Schritt 6: Hunting-Ergebnisse in wiederholbare Suchvorlagen und Detection-Ideen überführen.
7. Schritt 7: Untersuchungsergebnisse nachvollziehbar dokumentieren.

Praktische Übungen

Mehrere Hunting-Szenarien werden mit iterativen Suchabfragen, Zeitlinien, Korrelationen und Ergebnisdokumentation bearbeitet.

Zielgruppe

• SOC-Analysten, Threat Hunter, Detection Engineers

Voraussetzungen

Grundkenntnisse in Logpoint-Bedienung, Logdaten, Angriffstechniken und regulären Auswertungsmustern.