Seminar osquery Query-Entwicklung und Datenmodell

Überblick

Dieses Seminar konzentriert sich auf die Entwicklung guter osquery-Abfragen. Nicht jede syntaktisch korrekte Query ist auch fachlich sinnvoll, performant und betrieblich geeignet. Deshalb werden Tabellenmodell, Query-Design, Ergebnisqualität und Wiederverwendbarkeit systematisch behandelt.

Die Teilnehmenden entwickeln Abfragen für typische Betriebs-, Security- und Compliance-Fragestellungen. Dabei werden Spaltenauswahl, Filter, Joins, Zeitbezug, Plattformunterschiede und Query-Dokumentation berücksichtigt.

Zwei Tage sind angemessen, weil SQL-Methodik, Schemakenntnis und praktische Optimierung gemeinsam eingeübt werden. Für reine Syntax wäre weniger möglich, für produktionsreife Queries nicht.

Für wen dieses Seminar geeignet ist

• Personen, die eigene osquery-Abfragen entwickeln oder vorhandene Queries bewerten müssen
• SOC- und Security-Teams, die präzisere Endpoint-Fragen stellen wollen
• Administratoren, die Betriebs- und Inventardaten sauber auswerten möchten
• Teams, die Query-Packs strukturieren und dokumentieren wollen

Voraussetzungen

Grundlagen in SQL oder die Bereitschaft, SQL-Abfragen praktisch zu erarbeiten. Betriebssystemkenntnisse und erste Erfahrung mit Security- oder Betriebsdaten sind hilfreich.

Seminarinhalte

Tabellenmodell und Schemaarbeit

• Schema gezielt erkunden und passende Tabellen auswählen
• Betriebssystemunterschiede und optionale Tabellen berücksichtigen
• Spalten, Datentypen und Ergebnisbedeutung sauber interpretieren
• Tabellen für Prozesse, Netzwerk, Dateien, Pakete, Benutzer und Dienste einordnen

SQL für osquery

• SELECT, WHERE, LIKE, IN, JOIN, GROUP BY und Aggregationen praktisch einsetzen
• Zeitfelder, Pfadmuster und Prozessattribute richtig filtern
• Abfragen lesbar strukturieren und kommentierbar machen
• Fehlerhafte oder missverständliche Queries erkennen

Qualität und Performance

• Query-Ziel und erwartete Ergebnisform vorab definieren
• Kostenintensive Tabellen und breite Scans vermeiden
• Frequenz, Ergebnisvolumen und Nutzwert gegeneinander abwägen
• Queries testbar, versionierbar und wiederholbar gestalten

Packs und Wiederverwendung

• Einzelqueries zu sinnvollen Packs zusammenfassen
• Namenskonventionen, Beschreibung und Schweregradlogik definieren
• Betriebs-, Security- und Compliance-Packs trennen
• Review-Checkliste für neue Queries erstellen

Praktische Übungen

• Entwicklung von Queries zu Prozessen, Netzwerkverbindungen und Autostarts
• Umbau fehlerhafter Beispielqueries in robuste Varianten
• Optimierung einer Query mit zu großem Ergebnisvolumen
• Erstellung eines kleinen Query-Packs mit Dokumentation
• Peer Review von Queries anhand fachlicher und technischer Kriterien

Arbeitsumgebung

Die Laborumgebung stellt mehrere Systeme mit unterschiedlichen Datenzuständen bereit. Gearbeitet wird interaktiv mit osqueryi, vorbereiteten Query-Fehlern, Schemaaufgaben und Pack-Beispielen.