Seminar osquery Kompaktseminar - Endpoint Visibility und Security Monitoring

Überblick

Dieses Kompaktseminar schließt die Lücke zwischen Überblick und Intensivwoche. Es vermittelt die wichtigsten osquery-Fähigkeiten für Endpoint Visibility, erste Betriebsfähigkeit und Security Monitoring in einem konzentrierten Format.

Die Inhalte reichen von lokalen Abfragen über einfache Packs bis zur Auswertung sicherheitsrelevanter Zustände. Deployment- und Enterprise-Themen werden eingeordnet, aber nicht so tief behandelt wie in spezialisierten Aufbaukursen.

Drei Tage sind notwendig, damit Grundlagen, praktische Query-Entwicklung, geplante Abfragen und Security-Anwendungsfälle seriös geübt werden können. Zwei Tage wären für ein Kompaktseminar mit Monitoring-Anteil zu knapp.

Für wen dieses Seminar geeignet ist

• Teams, die in kurzer Zeit arbeitsfähig mit osquery werden wollen
• Administratoren und Security Analysten mit Bedarf an praxisnahen Grundlagen
• Projektteams, die vor einem Pilot oder Proof of Concept stehen
• Teilnehmende, die eine Alternative zur fünftägigen Intensivwoche benötigen

Voraussetzungen

Grundkenntnisse in Betriebssystemen, Kommandozeile und IT-Sicherheit. SQL-Grundlagen sind nützlich, werden aber im Seminar aufgefrischt.

Seminarinhalte

Grundlagen und Schema

• Arbeitsweise von osquery und Tabellenmodell verstehen
• osqueryi sicher nutzen und Tabellen erkunden
• SQL-Grundlagen für Endpoint-Abfragen anwenden
• Systemdaten für Betrieb und Security unterscheiden

Konfiguration und geplante Abfragen

• osqueryd, Flags, Konfigurationen und Packs einordnen
• Geplante Abfragen erstellen und Ergebnislogs auswerten
• Query-Frequenz, Datenmenge und Nutzen abwägen
• Einfache Betriebsprüfungen für Agent und Datenfluss durchführen

Security Monitoring

• Abfragen für Prozesse, Netzwerk, Benutzer, Dienste und Autostarts entwickeln
• Auffällige Zustände erkennen und mit Kontext bewerten
• Kleine Monitoring-Packs für wiederkehrende Fragestellungen erstellen
• Fehlalarme durch Filter, Baselines und klare Query-Ziele reduzieren

Integration und nächste Schritte

• Log-Ausgaben für zentrale Auswertung vorbereiten
• Pilotumfang, Rollen und Betriebsverantwortung festlegen
• Abgrenzung zu vertiefenden Themen wie Enterprise-Rollout und Threat Hunting
• Technische Checkliste für den Start einer osquery-Nutzung erstellen

Praktische Übungen

• Erkunden des Schemas und Erstellen erster SQL-Abfragen
• Aufbau einer einfachen osqueryd-Konfiguration mit geplanten Queries
• Erstellen eines kompakten Security-Monitoring-Packs
• Auswertung von Result- und Status-Logs
• Ableitung einer Pilot-Checkliste für den eigenen Einsatz

Arbeitsumgebung

Gearbeitet wird mit einer vorbereiteten Laborumgebung, die lokale Abfragen, geplante Ausführung, Beispiel-Logs und Security-relevante Testzustände enthält. Der Aufbau ist bewusst schlank gehalten.