Seminar Velociraptor – Incident Response, Quarantäne und Remediation

Beschreibung

Das Seminar behandelt den operativen Einsatz von Velociraptor während eines Sicherheitsvorfalls. Triage, gezielte Sammlung, Eindämmung, Quarantäne, kontrollierte Remediation, Freigaben, Sicherheitsgrenzen und die Rückkehr in den Normalbetrieb werden als nachvollziehbarer Reaktionsprozess geübt.

Inhaltsverzeichnis

1. Beschreibung
2. Lernziele
3. Zielgruppe
4. Voraussetzungen
5. Themen und Lernschritte
6. Praktische Übungen
7. Einordnung in den Lernpfad

Lernziele

Nach dem Seminar können Reaktionsmaßnahmen risikobasiert ausgewählt, mit Vier-Augen-Prinzip vorbereitet, technisch ausgeführt, validiert und bei unerwünschten Auswirkungen zurückgenommen werden.

Zielgruppe

Incident Responder, SOC-Analysten, DFIR Engineers, Security Operations und technische Einsatzleitungen.

Voraussetzungen

Erfahrung mit Collections und Hunts, Grundwissen zu Endpoint- und Netzwerkforensik sowie klare organisatorische Freigabeverfahren.

Themen und Lernschritte

Tag 1: Triage, Scope und Eindämmung

1. Schritt 1: Incidentauftrag, Entscheidungsbefugnis, Zielsysteme und Schutzprioritäten festlegen.
2. Schritt 2: Schnelle Triage-Collections ausführen und betroffene Konten, Prozesse, Dateien sowie Verbindungen eingrenzen.
3. Schritt 3: Beweise vor verändernden Maßnahmen sichern und Prüfpunkte dokumentieren.
4. Schritt 4: Quarantäne oder alternative Eindämmung anhand Geschäftsauswirkung und Kommunikationsbedarf auswählen.
5. Schritt 5: Maßnahme mit Pilot, Freigabe, Zeitfenster und automatischer Rückfalloption vorbereiten.

Tag 2: Remediation, Validierung und Rückkehr

1. Schritt 1: Remediation-Artefakte mit minimaler Wirkung und klarer Zielprüfung ausführen.
2. Schritt 2: Prozesse, Persistenz, Dateien oder Konfigurationen kontrolliert behandeln.
3. Schritt 3: Erfolg durch erneute Triage, Hash-, Prozess-, Netzwerk- und Statusprüfungen belegen.
4. Schritt 4: Fehlwirkung, Teilfehler oder nicht erreichbare Systeme mit definiertem Rollback behandeln.
5. Schritt 5: Freigabe aus Quarantäne, Nachmonitoring und Übergabe an Betrieb oder Forensik dokumentieren.

Praktische Übungen

1. Einen Incident aus Triage-Ergebnissen auf betroffene Systeme und Maßnahmen eingrenzen.
2. Eine Quarantänemaßnahme mit Freigabe, Pilot und Rückfalloption vorbereiten.
3. Eine begrenzte Remediation ausführen und durch unabhängige Kontrollabfragen validieren.
4. Ein Einsatzprotokoll mit Entscheidung, Beweisstand, Maßnahme, Ergebnis und Restaufgaben erstellen.

Einordnung in den Lernpfad

Empfohlen nach „Hunts und Threat Hunting im großen Maßstab“ sowie einem Plattformforensikseminar. Notebooks unterstützen die Einsatzdokumentation.