Seminar Wazuh Linux Security Monitoring und Auditd

Beschreibung

Linux-Telemetrie wird nach konkreten Erkennungszielen ausgewählt. Journal, klassische Logdateien, Auditd und FIM werden so kombiniert, dass sich Identität, Privileg, Prozess und Objekt gemeinsam bewerten lassen.

Ein Schwerpunkt liegt auf Last und Datenqualität. Ungezielte Audit- oder FIM-Regeln werden vermieden; verlorene Ereignisse, Backlog und Dubletten werden als Betriebsrisiko behandelt.

Zielgruppe

Linux-Administration, SOC, Security Engineering, Wazuh-Administration und Plattformbetrieb

Voraussetzungen

Sichere Linux- und Shell-Kenntnisse, Verständnis von Systemdiensten, Berechtigungen und Logpfaden

Lernziele

• Linux-Logquellen vollständig und ohne unnötige Dubletten erfassen
• Auditd-Regeln mit eindeutigen Schlüsseln und begrenztem Umfang entwickeln
• Anmeldung, sudo und Rechteänderungen kontextbezogen erkennen
• Kritische Linux-Pfade mit FIM absichern
• Ereignisvolumen, Auditlast und Agentenleistung kontrolliert tunen

Inhaltsübersicht

1. Linux-Datenquellen priorisieren und anbinden
2. Auditd-Regelwerk für sicherheitsrelevante Aktionen entwerfen
3. Anmeldung und Privilegiennutzung erkennen
4. Kritische Linux-Pfade überwachen
5. Linux-spezifische Erkennungen entwickeln
6. Linux-Überwachung leistungsfähig betreiben

Seminarinhalte

1. Linux-Datenquellen priorisieren und anbinden

Authentisierung, Systemdienste, Anwendungen, Kernel und Paketverwaltung mit klarer Zielsetzung überwachen.

1. Distributionen, Logpfade, journald-Nutzung und zentrale Weiterleitung inventarisieren.
2. Relevante Quellen nach Authentisierung, Privileg, Prozess, Netzwerk und Änderung gruppieren.
3. Erfassung über Dateien, Journal oder Syslog passend zur Quelle konfigurieren.
4. Kontrollereignisse erzeugen und Zeit, Host, Benutzer, Prozess und Ergebnis prüfen.
5. Dubletten und Lücken zwischen mehreren Transportwegen beseitigen.

2. Auditd-Regelwerk für sicherheitsrelevante Aktionen entwerfen

Kernelnahe Aktivitäten zielgerichtet erfassen, ohne das System mit ungerichteten Regeln zu überlasten.

1. Überwachungsziele für Identität, Privilegien, Dateien, Prozesse und Systemaufrufe festlegen.
2. Regeln mit eindeutigen Schlüsseln und begrenztem Geltungsbereich formulieren.
3. Regelwerk laden und Syntax sowie Aktivierungsstatus prüfen.
4. Testaktionen durchführen und Auditdatensatz vollständig auswerten.
5. Last, Backlog und verlorene Ereignisse überwachen.

3. Anmeldung und Privilegiennutzung erkennen

Erfolgreiche und fehlgeschlagene Authentisierung sowie administrative Rechtewechsel kontextbezogen auswerten.

1. SSH-, PAM-, sudo- und Benutzerverwaltungsereignisse auswählen.
2. Normalverhalten für Servicekonten, Automatisierung und Administratoren dokumentieren.
3. Regeln für Fehlversuche, ungewöhnliche Quelle und Rechteänderung prüfen.
4. Kontrollanmeldungen und genehmigte sudo-Aktionen ausführen.
5. Zeitkorrelation und Eskalationskriterien für verdächtige Sequenzen festlegen.

4. Kritische Linux-Pfade überwachen

Konfigurations-, Start-, Authentisierungs- und Anwendungsdateien mit passender FIM-Tiefe absichern.

1. Pfade nach System, Netzwerk, Identität, Dienste und eigene Anwendungen gruppieren.
2. Echtzeit, Who-data oder periodische Prüfung je Gruppe auswählen.
3. Paketupdates und Konfigurationsmanagement als erwartete Änderungsquellen berücksichtigen.
4. Teständerungen durch Administrator und Dienstprozess erzeugen.
5. Alarmkontext und Ausnahmen auf minimale Reichweite tunen.

5. Linux-spezifische Erkennungen entwickeln

Verdächtige Shell-, Persistenz-, Rechte- und Dienstaktivitäten mit mehreren Datenquellen erkennen.

1. Szenarien wie neue privilegierte Konten, verdächtige Cronjobs und ungewöhnliche Dienständerungen priorisieren.
2. Erforderliche Felder aus Auth-, Audit-, Prozess- und FIM-Daten bestimmen.
3. Regeln und Korrelationen mit Agenten- und Benutzerkontext erstellen.
4. Positive und negative Tests auf mehreren Distributionen ausführen.
5. Regeln nach Betriebsrollen und Wartungsfenstern differenzieren.

6. Linux-Überwachung leistungsfähig betreiben

Audit-, Journal- und FIM-Last messen und kontrolliert reduzieren.

1. Ereignisrate und häufigste Quellen pro Hostklasse auswerten.
2. Dubletten, Debugmeldungen und unbrauchbare Felder identifizieren.
3. Filter zuerst an der geeignetsten Quelle und danach in Regeln anwenden.
4. Verlorene Auditereignisse, Queuefüllstand und Agentenlast überwachen.
5. Tuningänderung mit Vorher-Nachher-Messung dokumentieren.

Praxislabor

1. Logquellen eines Linux-Servers inventarisieren und Zielpfade festlegen.
2. Ein Auditd-Regelwerk für Identitäts- und Konfigurationsänderungen erstellen.
3. SSH-, sudo-, Audit- und FIM-Kontrollereignisse erzeugen und korrelieren.
4. Eine Linux-spezifische Erkennung mit positiven und negativen Tests entwickeln.
5. Volumen und Backlog vor und nach einer gezielten Tuningmaßnahme vergleichen.

Betriebliche Qualitätssicherung

• Auditd-Regeln mit dokumentiertem Zweck und Schlüssel
• Überwachung von verloren gegangenen Auditereignissen
• Plattformübergreifende Tests für eingesetzte Distributionen
• Eng begrenzte Ausnahmen für Konfigurationsmanagement