Seminar Velociraptor – Hunts und Threat Hunting im großen Maßstab

Beschreibung

Das Seminar behandelt Hypothesenbildung, Zielgruppenauswahl, Pilotierung, Skalierung und Auswertung von Hunts über viele Endpunkte. Laststeuerung, Datenqualität, Nachfassabfragen und die Trennung von Signal, Fehlalarm und nicht untersuchtem Bestand werden konsequent berücksichtigt.

Inhaltsverzeichnis

1. Beschreibung
2. Lernziele
3. Zielgruppe
4. Voraussetzungen
5. Themen und Lernschritte
6. Praktische Übungen
7. Einordnung in den Lernpfad

Lernziele

Nach dem Seminar können Threat-Hunting-Kampagnen methodisch geplant, mit kontrolliertem Risiko ausgerollt, laufend überwacht und zu belastbaren Befunden oder dokumentierten Negativergebnissen verdichtet werden.

Zielgruppe

Threat Hunter, SOC-Analysten, DFIR Engineers, Incident Responder und Detection Engineers.

Voraussetzungen

Sichere Bedienung der Admin-GUI, Erfahrung mit Collections und VQL-Grundkenntnisse.

Themen und Lernschritte

Tag 1: Hypothese und Hunt-Design

1. Schritt 1: Bedrohungshypothese in beobachtbare Merkmale und geeignete Datenquellen zerlegen.
2. Schritt 2: Artefakte, Parameter und erwartetes Ergebnisschema für die Fragestellung auswählen.
3. Schritt 3: Zielpopulation mit Labels, Plattform, Standort und Risikomerkmalen abgrenzen.
4. Schritt 4: Pilotgruppe, Abbruchkriterien, Laufzeit und Ressourcenlimits definieren.
5. Schritt 5: Erwartete Treffer, Fehlalarme und Datenlücken vor Beginn dokumentieren.

Tag 2: Kontrollierte Skalierung und Überwachung

1. Schritt 1: Pilot-Hunt starten und Ergebnisqualität, Laufzeit sowie Endpunktbelastung prüfen.
2. Schritt 2: Zielgruppe stufenweise erweitern und Fortschritt mit festgelegten Kennzahlen überwachen.
3. Schritt 3: Offline-, fehlerhafte und verspätete Clients getrennt behandeln.
4. Schritt 4: Hunt pausieren, anpassen oder abbrechen, ohne die Nachvollziehbarkeit zu verlieren.
5. Schritt 5: Zwischenergebnisse auf neue Indikatoren prüfen und Nachfassabfragen vorbereiten.

Tag 3: Korrelation, Bewertung und Kampagnenabschluss

1. Schritt 1: Ergebnisse normalisieren, deduplizieren und nach Relevanz priorisieren.
2. Schritt 2: Treffer mit Prozess-, Datei-, Benutzer-, Netzwerk- und Zeitkontext anreichern.
3. Schritt 3: Verdachtsfälle in Einzelcollections oder Incident-Response-Maßnahmen überführen.
4. Schritt 4: Nichttreffer, Datenlücken und nicht untersuchte Systeme sauber unterscheiden.
5. Schritt 5: Hunt-Bericht, Artefaktversionen, Parameter, Zielgruppe und Wiederholungsplan dokumentieren.

Praktische Übungen

1. Eine Hypothese in einen messbaren Hunt mit klaren Erfolgskriterien übersetzen.
2. Pilot- und Produktionszielgruppen über Labels und Bedingungen aufbauen.
3. Einen Hunt stufenweise skalieren und dabei Last sowie Datenqualität überwachen.
4. Treffer priorisieren und mit einer gezielten Nachfasscollection vertiefen.

Einordnung in den Lernpfad

Empfohlen nach „Grundlagen und Admin-GUI“ und „VQL Grundlagen und Abfragen“. Plattformforensik und Notebooks vertiefen die Auswertung.