Seminar Wazuh File Integrity Monitoring und Malware Detection

Beschreibung

Dateiüberwachung wird aus Schutzbedarf und Änderungsdynamik abgeleitet. Kritische Pfade, erwartete Prozesse und Wartungsfenster werden vor der technischen Konfiguration dokumentiert.

Malwarebezogene Szenarien verbinden Datei-, Prozess- und Persistenzspuren. Reaktionsabläufe werden ausschließlich mit ungefährlichen Testartefakten und klar definiertem Rückweg erprobt.

Zielgruppe

Endpoint Security, Wazuh-Administration, SOC, Incident Response, Windows- und Linux-Administration

Voraussetzungen

Wazuh-Agentengrundlagen, Datei- und Berechtigungskonzepte sowie Grundverständnis von Endpoint-Ereignissen

Lernziele

• FIM-Abdeckung risikobasiert und leistungsfähig planen
• Periodische, Echtzeit- und Who-data-Prüfungen gezielt einsetzen
• Datei- und Prozesskontext zu Malwareindikatoren verbinden
• Scanabläufe mit Datenschutz- und Fehlergrenzen integrieren
• Eindämmung und Rollback kontrolliert validieren

Inhaltsübersicht

1. FIM-Schutzumfang risikobasiert festlegen
2. Periodische und Echtzeitüberwachung konfigurieren
3. Änderungsursachen mit Who-data nachvollziehen
4. Malware-nahe Verhaltensindikatoren erkennen
5. Externe Scan- und Signaturprüfungen sicher einbinden
6. Reaktion auf Datei- und Malwarefunde validieren

Seminarinhalte

1. FIM-Schutzumfang risikobasiert festlegen

Kritische Dateien und Verzeichnisse überwachen, ohne durch ungerichtete Vollerfassung unnötige Last und Alarmflut zu erzeugen.

1. System-, Anwendungs-, Konfigurations-, Zertifikats- und Skriptpfade nach Schutzbedarf inventarisieren.
2. Änderungsrate, Eigentümer, Wartungsfenster und zulässige Prozesse je Pfad dokumentieren.
3. Ein- und Ausschlüsse sowie Dateitypen bewusst definieren.
4. Überwachungsmodus und Prüffrequenz nach Plattform und Änderungsdynamik auswählen.
5. Abdeckung und erwartete Teständerungen in einer FIM-Matrix festhalten.

2. Periodische und Echtzeitüberwachung konfigurieren

Geeignete FIM-Modi kontrolliert einsetzen und deren Ressourcenwirkung messen.

1. Baseline-Scan auf einem Referenzsystem ausführen und Laufzeit dokumentieren.
2. Echtzeitüberwachung für ausgewählte, häufig relevante Pfade aktivieren.
3. Periodische Prüfung für große oder weniger dynamische Bereiche konfigurieren.
4. Gezielte Dateiänderungen, Anlage, Löschung und Umbenennung testen.
5. Last, Ereignisqualität und Wiederanlauf nach Agentenneustart kontrollieren.

3. Änderungsursachen mit Who-data nachvollziehen

Neben dem Objekt auch Benutzer-, Prozess- und Aktionskontext einer Änderung erfassen.

1. Plattformvoraussetzungen und notwendige Auditfunktionen prüfen.
2. Who-data für einen begrenzten Testpfad aktivieren.
3. Änderungen mit unterschiedlichen Benutzern und Prozessen erzeugen.
4. Benutzer, Prozess, Objekt, Aktion und Zeitbezug im Alarm verifizieren.
5. Berechtigungen, Auditlast und mögliche Lücken dokumentieren.

4. Malware-nahe Verhaltensindikatoren erkennen

Datei-, Prozess- und Persistenzspuren zu priorisierten Erkennungsszenarien verbinden.

1. Relevante Pfade, Dateiendungen, Hashwerte, Autostartbereiche und ungewöhnliche Prozessketten festlegen.
2. FIM-, Prozess- und Ereignisdaten für das Szenario zusammenführen.
3. Regeln für bekannte und verhaltensbasierte Indikatoren mit Kontext formulieren.
4. Harmlose Testartefakte verwenden und Fehlalarme gegen legitime Administrationswerkzeuge prüfen.
5. Eskalationskriterien und Beweissicherung für bestätigte Treffer definieren.

5. Externe Scan- und Signaturprüfungen sicher einbinden

Verdächtige Artefakte kontrolliert prüfen, ohne sensible Daten ungewollt weiterzugeben.

1. Auslösekriterium, Dateigröße, Dateityp und erlaubte Übertragungswege festlegen.
2. Lokalen oder freigegebenen Scanprozess mit minimalen Rechten vorbereiten.
3. Integration zunächst protokollierend und ohne automatische Löschung testen.
4. Ergebnis, Fehlercode, Laufzeit und Bezug zum ursprünglichen Alarm auswerten.
5. Datenschutz-, Ausfall- und Rate-Limit-Verhalten in das Runbook aufnehmen.

6. Reaktion auf Datei- und Malwarefunde validieren

Eindämmung, Beweissicherung und Rücknahme mit klaren Sicherheitsgrenzen erproben.

1. Reaktionsstufen von Ticket über Quarantäne bis zur Endpoint-Isolierung festlegen.
2. Vorbedingungen und Ausschlüsse für automatische Aktionen definieren.
3. Reaktion mit ungefährlichem Testobjekt in einer Laborgruppe ausführen.
4. Datei-, Prozess-, Netzwerk- und Agentenstatus vor und nach der Aktion dokumentieren.
5. Rollback und Freigabeprozess praktisch testen.

Praxislabor

1. Eine FIM-Matrix für Konfigurations-, Zertifikats- und Skriptpfade erstellen.
2. Periodische und Echtzeitüberwachung auf einem Referenzsystem konfigurieren.
3. Who-data mit Änderungen durch Benutzer und Dienstprozess testen.
4. Ein ungefährliches Testartefakt durch Erkennung, Scan und protokollierte Reaktion führen.
5. Rollback durchführen und Normalbetrieb sowie Auditspur prüfen.

Betriebliche Qualitätssicherung

• Explizite Ein- und Ausschlüsse statt ungerichteter Vollüberwachung
• Lastmessung vor und nach Echtzeit- beziehungsweise Who-data-Aktivierung
• Keine automatische Löschung ohne Beweissicherung und Freigabe
• Getesteter Rückweg für jede Eindämmungsmaßnahme