Seminar Velociraptor – Artefakte entwickeln, testen und verwalten

Beschreibung

Das Seminar vermittelt die Entwicklung eigener Velociraptor-Artefakte von der Anforderung bis zur kontrollierten Veröffentlichung. Der Schwerpunkt liegt auf sauberem YAML-Aufbau, VQL-Quellen, Parametern, Vorbedingungen, Tests, Dokumentation und Lebenszyklusverwaltung.

Inhaltsverzeichnis

1. Beschreibung
2. Lernziele
3. Zielgruppe
4. Voraussetzungen
5. Themen und Lernschritte
6. Praktische Übungen
7. Einordnung in den Lernpfad

Lernziele

Nach dem Seminar können wiederverwendbare Artefakte entworfen, sicher parametrisiert, lokal und zentral getestet, versioniert, geprüft und in einen geregelten Freigabeprozess überführt werden.

Zielgruppe

DFIR Engineers, Threat Hunter, Detection Engineers, Security-Entwickler und technische Verantwortliche für organisationsspezifische Abfragen.

Voraussetzungen

VQL-Grundkenntnisse und praktische Erfahrung mit Collections oder Hunts. Für komplexe Serverlogik werden Kenntnisse aus dem Advanced-VQL-Seminar empfohlen.

Themen und Lernschritte

Tag 1: Artefaktdesign und Grundstruktur

1. Schritt 1: Ermittlungsfrage, Datenquelle, Zielplattform und erwartetes Ergebnisschema vor der Implementierung festlegen.
2. Schritt 2: Artefaktmetadaten, Beschreibung, Typ, Parameter und Quellen strukturiert aufbauen.
3. Schritt 3: VQL-Logik in kleine nachvollziehbare Abfragebausteine zerlegen.
4. Schritt 4: Vorbedingungen und Plattformprüfungen einbauen, um ungeeignete Ausführung zu verhindern.
5. Schritt 5: Ausgabefelder, Datentypen und Benennung für spätere Korrelation standardisieren.

Tag 2: Tests, Sicherheit und Performance

1. Schritt 1: Positiv-, Negativ- und Grenzfalltests mit bekannten Testdaten definieren.
2. Schritt 2: Artefakte lokal ausführen, Zwischenergebnisse prüfen und Fehler gezielt isolieren.
3. Schritt 3: Parameterinjektion, unkontrollierte Pfade und zu breite Datensammlung vermeiden.
4. Schritt 4: Ressourcenverbrauch, Laufzeit und Ergebnisvolumen messen und optimieren.
5. Schritt 5: Windows-, Linux- und macOS-Varianten mit klar getrennten Bedingungen testen.

Tag 3: Veröffentlichung und Lebenszyklus

1. Schritt 1: Reviewkriterien für fachliche Richtigkeit, Lesbarkeit, Sicherheit und Wartbarkeit anwenden.
2. Schritt 2: Versionen, Änderungsprotokolle und Abhängigkeiten nachvollziehbar verwalten.
3. Schritt 3: Artefakte in Entwicklungs-, Test- und Produktionsstufen überführen.
4. Schritt 4: Rollback, Deprecation und Ersatzartefakte für geänderte Datenquellen planen.
5. Schritt 5: Nutzungsdokumentation mit Beispielen, Parametern, Grenzen und Validierungshinweisen erstellen.

Praktische Übungen

1. Ein neues Client-Artefakt aus einer konkreten Ermittlungsfrage ableiten und implementieren.
2. Vorbedingungen, Parameterprüfung und plattformspezifische Quellen ergänzen.
3. Testfälle mit erwarteten Ergebnissen ausführen und Performancegrenzen dokumentieren.
4. Ein Review- und Freigabepaket mit Version, Changelog und Rollback erstellen.

Einordnung in den Lernpfad

Empfohlen nach „VQL Grundlagen und Abfragen“. Anschließend eignen sich „VQL Advanced und Server Automation“ sowie „Client Monitoring, Event Queries und Sigma“.