Seminar Wazuh – Detection Engineering, Compliance & Betrieb (Use‑Cases, Regeln, SCA, Vulnerabilities, HA/Scaling)

Lernziele

• Detection‑Regeln/Decoder sicher anpassen und testen.
• FIM/SCA/Vulnerability‑Detector produktiv einsetzen.
• Active‑Response kontrolliert nutzen.
• Dashboards/Alarmierung und API‑Automatisierung betreiben.
• Skalierung/HA, Backup/Upgrade und Troubleshooting standardisieren.

Agenda (Tag 1–2)

• Tag 1: Detection & Compliance
  1. Regel/Decoder‑Grundlagen, CDB‑Listen, Testmethoden.
  2. FIM/Syscheck, SCA‑Policies, Vulnerability‑Detector.
  3. Use‑Case‑Design, Schwellwerte, MITRE‑Einordnung.
  4. Active‑Response‑Patterns und Sicherheitsgürtel.
• Tag 2: Betrieb, Skalierung & Automatisierung
  1. Dashboards/Benachrichtigung, Case‑Handling.
  2. API‑Nutzung, Massen‑Zuordnung, Skripting.
  3. RBAC/Multi‑Tenant‑Modelle.
  4. Skalierung/HA‑Konzepte, Wartung/Upgrades, Backup/Restore.
  5. Troubleshooting‑Pfad (Queues, Lags, Zertifikate, Ressourcen).

Praxislabs (Step‑by‑Step)

• Lab A: Regeln/Decoder
  1. Beispiel‑Decoder erstellen.
  2. Lokale Regel anpassen, Test‑Event einspeisen.
  3. False‑Positive‑Reduktion per CDB‑Liste.
• Lab B: FIM, SCA, Vulnerabilities
  1. FIM‑Pfad definieren und Änderung auslösen.
  2. SCA‑Policy aktivieren, Ergebnis bewerten.
  3. Vulnerability‑Scan ausführen, Remediation‑Nachweis.
• Lab C: Active‑Response
  1. Bedingung definieren.
  2. Aktion testen, Safety‑Checks dokumentieren.
• Lab D: Dashboards & Alarme
  1. Use‑Case‑Dashboard bauen.
  2. Benachrichtigung konfigurieren, Eskalation testen.
• Lab E: API & Massen‑Operationen
  1. Token erzeugen.
  2. Skript für Gruppen/Labels ausrollen.
• Lab F: Skalierung/HA & Wartung
  1. Second‑Node simulieren oder Rolle verschieben.
  2. Rolling‑Upgrade/Backup‑Restore Probe.