Seminar Cyscale – Inventar, Query Builder und Security Knowledge Graph

Das Seminar vertieft die zentrale Untersuchungsoberfläche von Cyscale: Asset-Inventar, strukturierte Abfragen, benutzerdefinierte Kontrollen und beziehungsbasierte Analyse im Security Knowledge Graph.

Zielsetzung

Komplexe Cloud-Fragen reproduzierbar untersuchen, relevante Asset-Mengen präzise bilden, Beziehungen und berechnete Eigenschaften interpretieren und daraus dauerhafte Kontrollen entwickeln.

Inhaltsübersicht

1. Inventar als Untersuchungsgrundlage beherrschen
2. Berechnete Eigenschaften interpretieren
3. Query Builder schrittweise einsetzen
4. Security Knowledge Graph analysieren
5. Custom Controls entwickeln und testen
6. Untersuchungen standardisieren

Schrittweise Seminarinhalte

1. Inventar als Untersuchungsgrundlage beherrschen

1. Schritt 1: Asset-Kategorien, Provider, Konten, Regionen und Ressourcentypen systematisch filtern.
2. Schritt 2: Gespeicherte Sichten für wiederkehrende Fragestellungen und Rollen anlegen.
3. Schritt 3: Asset-Details, Konfigurationen, Tags, Alerts und Schwachstellen gemeinsam auswerten.
4. Schritt 4: Datenlücken und veraltete Eigenschaften anhand von Connector- und Sync-Status erkennen.

2. Berechnete Eigenschaften interpretieren

1. Schritt 1: Öffentliche Erreichbarkeit, IP-Nutzung, Verschlüsselung und Kontextmerkmale verstehen.
2. Schritt 2: Berechnete Eigenschaften von direkten Providerfeldern und Kontrollbefunden abgrenzen.
3. Schritt 3: Stichproben an Originalressourcen und zugehörigen Beziehungen plausibilisieren.
4. Schritt 4: Erkenntnisse als wiederverwendbare Prüfkriterien dokumentieren.

3. Query Builder schrittweise einsetzen

1. Schritt 1: Eine Fragestellung in Asset-Typ, Filter, Operator und erwartete Ergebnismenge zerlegen.
2. Schritt 2: Einfache Filter kombinieren und Zwischenergebnisse kontrollieren.
3. Schritt 3: Komplexe Bedingungen für Exposition, Identität, Daten, KI und Kubernetes entwickeln.
4. Schritt 4: Abfragen speichern, benennen, dokumentieren und für andere Rollen nachvollziehbar machen.

4. Security Knowledge Graph analysieren

1. Schritt 1: Beziehungen zwischen Netzwerk, Workloads, Identitäten, Daten und Schwachstellen lesen.
2. Schritt 2: Von einem riskanten Asset zu betroffenen oder vorgelagerten Ressourcen navigieren.
3. Schritt 3: Angriffs- und Auswirkungspfade anhand technischer Kontextsignale bewerten.
4. Schritt 4: Fehlende Beziehungen auf Connector-Rechte, Scope oder Synchronisation zurückführen.

5. Custom Controls entwickeln und testen

1. Schritt 1: Geeignete gespeicherte Abfragen in benutzerdefinierte Kontrollen überführen.
2. Schritt 2: Kontrollname, Beschreibung, Schweregrad und erwartete Treffer definieren.
3. Schritt 3: Positive, negative und Grenzfall-Testdaten verwenden.
4. Schritt 4: Kontrolle aktivieren und die resultierenden Alerts im operativen Prozess prüfen.

6. Untersuchungen standardisieren

1. Schritt 1: Playbooks für öffentliche Exposition, breite Identitäten, sensible Daten und KI-Risiken erstellen.
2. Schritt 2: Beweissicherung, Notizen und Übergabe an Remediation-Verantwortliche vereinheitlichen.
3. Schritt 3: Untersuchungsdauer und Trefferqualität mit geeigneten Kennzahlen messen.
4. Schritt 4: Eine vollständige Fallanalyse vom Inventory-Filter bis zur Custom Control durchführen.

Praxisanteile

• Aufbau einer Multi-Cloud-Inventarsicht.
• Graphanalyse eines exponierten Workloads mit breiter Identität.
• Entwicklung und Test einer eigenen kontextbezogenen Kontrolle.

Zielgruppen

Cloud Security Analysts, Security Operations, Threat Hunting, Plattformteams, Cloud Architecture und technische Revision.

Vorkenntnisse

Gute Cloud-Grundkenntnisse und erste Erfahrung mit Inventar-, Filter- oder Graphanalysen.