Seminar Velociraptor – Linux-Forensik und eBPF-gestützte Überwachung

Beschreibung

Das Seminar behandelt forensische Datenspuren und laufzeitnahe Überwachung auf Linux-Endpunkten. Prozesse, Benutzer, Dienste, Pakete, Shellspuren, Logs, Netzwerkzustände, Containerkontexte und ausgewählte eBPF-gestützte Ereignisse werden mit Velociraptor erhoben und korreliert.

Inhaltsverzeichnis

1. Beschreibung
2. Lernziele
3. Zielgruppe
4. Voraussetzungen
5. Themen und Lernschritte
6. Praktische Übungen
7. Einordnung in den Lernpfad

Lernziele

Nach dem Seminar können Linux-Triage und vertiefte Analysen strukturiert durchgeführt, Persistenz- und Ausführungsspuren bewertet, kontinuierliche Beobachtungen begrenzt eingesetzt und Befunde mit alternativen Datenquellen verifiziert werden.

Zielgruppe

DFIR-Analysten, Incident Responder, Threat Hunter, Linux-Administratoren und Detection Engineers.

Voraussetzungen

Sichere Linux-Grundkenntnisse, Shell-Praxis und Erfahrung mit Collections oder VQL-Abfragen.

Themen und Lernschritte

Tag 1: Linux-Triage und Ausführungsspuren

1. Schritt 1: Systemidentität, Kernel, Distribution, Zeitbezug und aktive Benutzer erfassen.
2. Schritt 2: Prozesse, Eltern-Kind-Beziehungen, ausführbare Dateien und offene Ressourcen prüfen.
3. Schritt 3: Shellverläufe, Anmeldeinformationen und Benutzerkontexte fallbezogen auswerten.
4. Schritt 4: systemd-Dienste, Timer, Cron und Startskripte auf Persistenz untersuchen.
5. Schritt 5: Paketbestand, Binärdateien und auffällige Änderungen mit bekannten Baselines vergleichen.

Tag 2: Logs, Netzwerk und Dateisystem

1. Schritt 1: Journal-, Authentifizierungs-, Audit- und Anwendungslogs zeitlich normalisieren.
2. Schritt 2: Sockets, Verbindungen, Listener, DNS- und Routingzustände erfassen.
3. Schritt 3: Container- und Namespace-Kontexte bei Prozessen und Netzwerkbeobachtungen berücksichtigen.
4. Schritt 4: Dateisystemmetadaten, temporäre Pfade und ausführbare Dateien gezielt durchsuchen.
5. Schritt 5: Funde über Prozess, Benutzer, Datei, Netzwerk und Zeit korrelieren.

Tag 3: eBPF-gestützte Überwachung und Fallanalyse

1. Schritt 1: Geeignete laufzeitnahe Ereignisse und klare Beobachtungsziele definieren.
2. Schritt 2: eBPF-gestützte Abfragen mit Plattform- und Kernelprüfung kontrolliert einsetzen.
3. Schritt 3: Filter, Drosselung und Abschaltkriterien zur Lastbegrenzung konfigurieren.
4. Schritt 4: Ereignisse mit statischen Artefakten und Logdaten verifizieren.
5. Schritt 5: Einen Linux-Incident von Erstsignal über Triage und Monitoring bis zum Befund dokumentieren.

Praktische Übungen

1. Eine Linux-Schnelltriage mit Prozessen, Benutzern, Diensten und Netzwerkdaten durchführen.
2. Persistenz über systemd, Cron und Benutzerstartpunkte untersuchen.
3. Datei-, Paket- und Logspuren zu einer Zeitlinie verbinden.
4. Eine begrenzte eBPF-gestützte Beobachtung einrichten, messen und kontrolliert beenden.

Einordnung in den Lernpfad

Empfohlen nach „Grundlagen und Admin-GUI“ und „VQL Grundlagen und Abfragen“. Hunts und Notebooks erweitern die Untersuchung größerer Bestände.