Seminar Velociraptor Intensivtraining DFIR, Hunting und Enterprise Operations

Beschreibung

Dieses Intensivtraining bündelt die Inhalte der Einzelkurse in maximal fünf Tagen. Es behandelt Grundlagen, Architektur, Administration, VQL, Artefakte, Collections, Hunts, Monitoring, Incident-Response-Praxis und Enterprise-Betrieb. Die Verdichtung ist bewusst hoch: Wer eine breite Einführung mit ernsthafter Praxistiefe benötigt, erhält hier den schnellsten Weg.

Die Schulung ist kein gemütlicher Rundgang, sondern ein Arbeitskurs. Die Teilnehmenden bauen Verständnis auf, führen praktische Collections aus, entwickeln und prüfen Abfragen, planen Hunts, bearbeiten DFIR-Szenarien und definieren Betriebsprozesse. Der Vorteil liegt in der durchgehenden Verbindung der Themen, weil Administration, Analyse und Betrieb bei Velociraptor nicht sauber voneinander getrennt werden können.

Geeignete Zielgruppe

• SOC- und DFIR-Teams mit schnellem Projektstart
• Administratoren und Analysten, die gemeinsam eine Plattform betreiben
• Security Architects mit technischem Bewertungsbedarf
• Incident-Response-Teams, die Velociraptor kurzfristig einsatzfähig nutzen möchten

Lernziele

• Velociraptor ganzheitlich von Architektur bis Fallarbeit einordnen
• Grundlegende Administration und sichere Betriebsentscheidungen treffen
• Collections, Hunts und Monitoring gezielt einsetzen
• VQL und Artefakte lesen, anpassen und für Praxisfälle verwenden
• DFIR-Szenarien strukturiert bearbeiten
• Betriebs- und Automatisierungsansätze für Enterprise-Umgebungen definieren

Inhaltsübersicht

• Grundlagen: Einsatzfälle, Architektur, Oberfläche und Clients
• Administration: Installation, Rollout, Rechte, Härtung und Betrieb
• Collections und VFS für gezielte Evidence Collection
• VQL-Grundlagen, Artefaktstruktur und Anpassung vorhandener Artefakte
• Threat Hunting: IOC-, TTP- und verhaltensbasierte Suchansätze
• Monitoring: Ereignisquellen, Regeln und Grenzen dauerhafter Erfassung
• DFIR-Praxis: Triage, Persistenz, Benutzeraktivität, Zeitlinien und Befunde
• Enterprise Operations: Runbooks, Notebooks, Freigaben, Automatisierung und Übergabe

Praxisübungen

• Client- und Serverrollen in einer Laborumgebung nachvollziehen
• Gezielte Collections für typische Untersuchungsfragen ausführen
• VQL-Abfragen lesen, testen und kontrolliert erweitern
• Ein Artefakt an einen konkreten Hunt-Fall anpassen
• Triage- und Incident-Response-Szenario bearbeiten
• Runbook für produktive Nutzung mit Rollen und Kontrollen erstellen

Abgrenzung

Das Intensivtraining ersetzt die Einzelkurse, wenn ein kompakter Gesamtüberblick mit breiter Praxis benötigt wird. Tiefe Spezialarbeit, etwa mehrtägiges Artefakt-Engineering oder umfangreiche Enterprise-Architekturplanung, wird im Zeitrahmen verdichtet behandelt.