Seminar Velociraptor Artefakte und VQL für DFIR-Teams

Beschreibung

Dieses Seminar konzentriert sich auf die technische Arbeit mit der Velociraptor Query Language und auf den Aufbau belastbarer Artefakte. VQL ist der Kern vieler Untersuchungen: Ohne saubere Abfragen entstehen nur Datenhaufen, aber keine verwertbaren Befunde. Deshalb wird von einfachen Select-Abfragen bis zu parametrisierbaren Artefakten Schritt für Schritt gearbeitet.

Behandelt werden Datenquellen, Plugins, Funktionen, Scopes, Parameter, YAML-Strukturen, Ergebnisformate und typische Performance-Fallen. Die Teilnehmenden lernen, vorhandene Artefakte zu bewerten, anzupassen und eigene Artefakte so zu schreiben, dass sie wiederverwendbar, nachvollziehbar und teamfähig bleiben.

Geeignete Zielgruppe

• DFIR-Teams mit Bedarf an eigenen Abfragen und Artefakten
• Threat Hunter, die IOC- und TTP-basierte Suchen umsetzen
• SOC Engineers, die wiederholbare Collections statt Einzelfallskripte benötigen
• Analysten, die vorhandene Community-Artefakte fachlich prüfen möchten

Lernziele

• VQL-Syntax und Ausführungsmodell sicher verstehen
• Artefakte lesen, strukturieren und parametrieren
• Collections gezielt vorbereiten und auswerten
• Fehler in Abfragen, Typen und Pfaden systematisch finden
• Performance und Datensparsamkeit bei großen Umgebungen berücksichtigen
• Artefakte dokumentieren und kontrolliert wiederverwenden

Inhaltsübersicht

• VQL-Grundlagen: Tabellenmodell, Plugins, Funktionen, Filter und Scopes
• Artefaktstruktur: YAML, Parameter, Quellen, Spalten und Beschreibung
• Windows-, Linux- und macOS-nahe Datenquellen für typische DFIR-Fragen
• Collections, Ergebnisdaten, Exporte und Nachvollziehbarkeit
• Fehleranalyse: leere Ergebnisse, Berechtigungen, Pfade, Typen und Zeitstempel
• Performance: Einschränkung von Suchräumen, Sampling, Timeouts und Ergebnisgrößen
• Qualitätssicherung: Testdaten, Review, Namenskonventionen und Versionierung

Praxisübungen

• Einfache VQL-Abfragen erstellen und schrittweise erweitern
• Ein vorhandenes Artefakt analysieren und sicher anpassen
• Parameter für unterschiedliche Untersuchungsfälle einbauen
• Ergebnisse validieren und Fehlinterpretationen vermeiden
• Ein eigenes Artefakt für einen konkreten DFIR-Anwendungsfall schreiben
• Artefaktdokumentation und Review-Kriterien erstellen

Abgrenzung

Das Seminar behandelt VQL und Artefakte vertieft, setzt aber keine vollständige Plattformadministration voraus. Installation und Enterprise-Betrieb werden nur soweit betrachtet, wie sie für Abfragen und Collections notwendig sind.