Seminar Falco – Architektur und Grundlagen

Die Einführung ordnet Falco als Laufzeit-Sicherheitswerkzeug ein und erklärt Sensorik, Event-Verarbeitung, Regelwerk, Ausgaben, Integrationen sowie die Abgrenzung zu präventiven Sicherheitskontrollen. Der Aufbau verbindet fachliche Einordnung, nachvollziehbare Konfigurationsschritte, kontrollierte Tests und dokumentierte Betriebsentscheidungen.

Inhaltsübersicht

• Zielsetzung
• Lernziele
• Seminarinhalte
• Praxisübungen
• Zielgruppe und Voraussetzungen
• Didaktik und Arbeitsweise

Zielsetzung

Das Seminar schafft einen belastbaren Arbeitsablauf im Themenbereich „Architektur und Grundlagen“. Jede Änderung wird vorbereitet, schrittweise umgesetzt, technisch geprüft und so dokumentiert, dass sie in Test- und Produktionsumgebungen wiederholbar bleibt.

Lernziele

• Einsatzbild und Sicherheitsmodell fachlich einordnen, praktisch anwenden und mit eindeutigen Prüfpunkten absichern.
• Komponenten und Datenfluss fachlich einordnen, praktisch anwenden und mit eindeutigen Prüfpunkten absichern.
• Treiber und Event-Quellen fachlich einordnen, praktisch anwenden und mit eindeutigen Prüfpunkten absichern.
• Regeln und Meldungen fachlich einordnen, praktisch anwenden und mit eindeutigen Prüfpunkten absichern.
• Erster Betriebsablauf fachlich einordnen, praktisch anwenden und mit eindeutigen Prüfpunkten absichern.

Seminarinhalte

1. Einsatzbild und Sicherheitsmodell

1. Schritt 1: Bedrohungsflächen von Hosts, Containern und Kubernetes-Workloads systematisch erfassen.
2. Schritt 2: Laufzeiterkennung von Prävention, Schwachstellenmanagement und Protokollanalyse abgrenzen.
3. Schritt 3: Geeignete Anwendungsfälle, Grenzen und Verantwortlichkeiten in einem Zielbild dokumentieren.

2. Komponenten und Datenfluss

1. Schritt 1: Ereignisquelle, Treiber, Falco-Engine, Regelwerk und Ausgabekanal in ihrer Reihenfolge zuordnen.
2. Schritt 2: Den Weg eines Systemereignisses vom Kernel bis zur Sicherheitsmeldung nachvollziehen.
3. Schritt 3: Fehlerdomänen und Prüfpunkte für jede Verarbeitungsstufe festhalten.

3. Treiber und Event-Quellen

1. Schritt 1: Modern eBPF, Kernelmodul und zusätzliche Plugin-Quellen fachlich vergleichen.
2. Schritt 2: Treiberwahl anhand von Kernel, Plattform, Berechtigungen und Betriebsmodell begründen.
3. Schritt 3: Eine einfache Kompatibilitäts- und Freigabematrix für die Zielumgebung erstellen.

4. Regeln und Meldungen

1. Schritt 1: Regel, Bedingung, Makro, Liste, Priorität und Ausgabeformat an einem Beispiel identifizieren.
2. Schritt 2: Eine vorhandene Regel lesen und die auslösende Bedingung schrittweise zerlegen.
3. Schritt 3: Eine Testaktivität ausführen und die resultierende Meldung fachlich bewerten.

5. Erster Betriebsablauf

1. Schritt 1: Falco starten und Status, Konfiguration sowie geladene Regeln kontrollieren.
2. Schritt 2: Eine Meldung anhand Zeit, Prozess, Benutzer, Container und Regelname untersuchen.
3. Schritt 3: Erkennungsfall, Fehlalarm und technische Störung sauber voneinander unterscheiden.

Praxisübungen

1. Übung 1: Ausgangslage für „Einsatzbild und Sicherheitsmodell“ erfassen, Arbeitsauftrag durchführen, erwartetes Ergebnis prüfen und Abweichungen protokollieren.
2. Übung 2: Ausgangslage für „Treiber und Event-Quellen“ erfassen, Arbeitsauftrag durchführen, erwartetes Ergebnis prüfen und Abweichungen protokollieren.
3. Übung 3: Ausgangslage für „Erster Betriebsablauf“ erfassen, Arbeitsauftrag durchführen, erwartetes Ergebnis prüfen und Abweichungen protokollieren.
4. Übung 4: einen integrierten Fall vom vorbereiteten Ausgangszustand bis zur technischen Abnahme durchführen.

Zielgruppe und Voraussetzungen

Zielgruppe: Security Engineering, Plattformbetrieb, Linux- und Kubernetes-Administration, SOC, technische Projektleitung und Architektur.

Voraussetzungen: Grundkenntnisse in Linux, Containern und IT-Sicherheit. Praktische Falco-Erfahrung ist nicht erforderlich.

Didaktik und Arbeitsweise

Kurze Fachimpulse werden unmittelbar durch Demonstrationen, strukturierte Arbeitsschritte, Praxisübungen und kontrollierte Fehlerfälle vertieft. Jede Übung verwendet einen definierten Ausgangszustand, ein erwartetes Ergebnis und einen Prüfpfad. Konfigurationsstände, Messwerte und Entscheidungen werden nachvollziehbar festgehalten.