Seminar Velociraptor – Client Monitoring, Event Queries und Sigma

Beschreibung

Das Seminar behandelt kontinuierliche Ereignisabfragen auf Endpunkten. Ausgehend von konkreten Erkennungszielen werden Event Queries, Monitoring-Artefakte, Sigma-basierte Logik, Filter, Drosselung, Ergebnisrouten und Betriebsgrenzen entwickelt.

Inhaltsverzeichnis

1. Beschreibung
2. Lernziele
3. Zielgruppe
4. Voraussetzungen
5. Themen und Lernschritte
6. Praktische Übungen
7. Einordnung in den Lernpfad

Lernziele

Nach dem Seminar können kontinuierliche Erkennungen entworfen, sicher ausgerollt, auf Datenqualität und Last geprüft sowie mit nachvollziehbaren Reaktions- und Pflegeprozessen betrieben werden.

Zielgruppe

Detection Engineers, Threat Hunter, SOC-Analysten, DFIR Engineers und Administratoren für Endpoint Monitoring.

Voraussetzungen

VQL-Grundkenntnisse, Verständnis typischer Endpoint-Ereignisquellen und Erfahrung mit Artefakten oder Collections.

Themen und Lernschritte

Tag 1: Erkennungsziele und Event Queries

1. Schritt 1: Bedrohungshypothese, Ereignisquelle, erwartetes Signal und zulässige Latenz definieren.
2. Schritt 2: Kontinuierliche VQL-Abfragen mit Zeitbezug und klarer Ergebnisschablone erstellen.
3. Schritt 3: Filter so platzieren, dass unnötige Ereignisse früh verworfen werden.
4. Schritt 4: Deduplizierung und Zustandsführung für wiederkehrende Ereignisse einbauen.
5. Schritt 5: Testereignisse erzeugen und Treffer, Nichttreffer sowie Fehlalarme dokumentieren.

Tag 2: Sigma und Detection Engineering

1. Schritt 1: Sigma-Regellogik auf verfügbare Felder und reale Endpoint-Daten abbilden.
2. Schritt 2: Feldnormalisierung, Zeitbezug und plattformspezifische Abweichungen berücksichtigen.
3. Schritt 3: Regeln gegen Positiv-, Negativ- und Umgebungsdaten testen.
4. Schritt 4: Regelsätze mit Schweregrad, Eigentümer, Version und Ausnahmekriterien verwalten.
5. Schritt 5: Treffer mit Kontextabfragen anreichern, ohne unkontrolliert zusätzliche Last zu erzeugen.

Tag 3: Rollout und produktiver Betrieb

1. Schritt 1: Monitoring-Artefakte in Pilot-, Beobachtungs- und Produktivstufen ausrollen.
2. Schritt 2: CPU-, Speicher-, I/O- und Ergebnisvolumen mit definierten Grenzwerten überwachen.
3. Schritt 3: Drosselung, Sampling und Abschaltkriterien für problematische Abfragen festlegen.
4. Schritt 4: Ergebnisse an Hunt-, Notebook-, Ticket- oder Integrationsprozesse übergeben.
5. Schritt 5: Regelpflege, Ausnahmeverwaltung, Qualitätsmessung und Notfallrücknahme dokumentieren.

Praktische Übungen

1. Eine Event Query für einen definierten Persistenzmechanismus entwickeln und mit Testdaten prüfen.
2. Eine Sigma-Regel auf reale Felder abbilden und Abweichungen dokumentieren.
3. Last- und Ergebnismessungen für eine kontinuierliche Abfrage durchführen.
4. Einen gestuften Rollout mit Pilot, Freigabe, Monitoring und Rücknahme planen.

Einordnung in den Lernpfad

Empfohlen nach „VQL Grundlagen und Abfragen“ und „Artefakte entwickeln, testen und verwalten“. Danach folgt bei Bedarf „API, Automatisierung und Integrationen“.