Seminar osquery Endpoint Visibility Grundlagen

Überblick

Dieses Seminar führt in osquery als Werkzeug für Endpoint Visibility ein. Betriebssystemdaten werden über ein relationales Tabellenmodell abgefragt, sodass Prozesse, Benutzer, Netzwerkverbindungen, Pakete, Dienste und Konfigurationszustände strukturiert analysiert werden können.

Der Schwerpunkt liegt auf sicherem Einstieg, verständlichem Query-Aufbau und praxisnahen Abfragen für Administration und Security. Neben interaktiven Abfragen werden auch geplante Abfragen und einfache Packs behandelt.

Zwei Tage sind sinnvoll, weil neben Bedienung und SQL-Grundlagen auch Installation, Tabellenverständnis, erste Abfragepakete und Interpretation der Ergebnisse praktisch geübt werden.

Für wen dieses Seminar geeignet ist

• Technische Teams, die osquery erstmals einsetzen oder bewerten
• Administratoren, die Betriebssystemzustände einheitlich abfragen wollen
• SOC- und Security-Teams mit Bedarf an nachvollziehbarer Endpoint-Datenerhebung
• IT-Teams, die eine gemeinsame Abfragesprache für verschiedene Plattformen benötigen

Voraussetzungen

Grundkenntnisse in Betriebssystemen und grundlegende Kommandozeilenerfahrung. SQL-Vorkenntnisse sind hilfreich, werden aber nicht vorausgesetzt.

Seminarinhalte

Grundprinzipien

• Betriebssystemdaten als Tabellenmodell verstehen
• Unterschied zwischen Momentaufnahme, geplantem Monitoring und ereignisnaher Auswertung
• Einsatzbereiche in Administration, Security Monitoring, Compliance und Incident Response
• Grenzen und typische Fehlannahmen beim Arbeiten mit Endpoint-Daten

Erste Schritte mit osqueryi

• Interaktive Abfragen ausführen und Ergebnisse lesen
• Tabellen, Spalten und Schemainformationen erkunden
• Filter, Joins, Aggregationen und Zeitfelder grundlegend einsetzen
• Abfragen für Prozesse, Benutzer, Netzwerkverbindungen und Softwarestände formulieren

Vom Einzelhost zur geplanten Abfrage

• Rolle von osqueryd und geplanter Query-Ausführung
• Grundaufbau von Konfigurationen und Packs
• Result Logs und Status Logs interpretieren
• Einfache Query-Sammlungen für Betrieb und Security strukturieren

Auswertung und Qualität

• Ergebnisse plausibilisieren und Betriebssystemunterschiede erkennen
• False Positives vermeiden und Query-Zweck klar definieren
• Query-Kosten und Abfragefrequenz grundsätzlich einschätzen
• Dokumentation von Abfragen für wiederholbare Nutzung

Praktische Übungen

• Interaktive Erkundung des osquery-Schemas
• Abfragen zu Prozessen, Netzwerkverbindungen, Benutzern und installierter Software erstellen
• Ein einfaches Query-Pack für wiederkehrende Prüfungen aufbauen
• Ergebnisse aus Logs lesen und fachlich einordnen
• Typische Anfängerfehler in SQL, Filtern und Tabellenwahl korrigieren

Arbeitsumgebung

Die Laborumgebung enthält vorbereitete Systeme mit osquery, Beispielkonfigurationen und realistischen Datensätzen. Gearbeitet wird mit Kommandozeile, Query-Beispielen und kleinen Packs.