Seminar osquery Security Monitoring und Threat Hunting

Überblick

Dieses Seminar richtet osquery konsequent auf Security Monitoring und Threat Hunting aus. Es geht um Hypothesen, Abfragen, Datenqualität, Detektionslogik, Bewertung von Auffälligkeiten und den Übergang in SOC-Prozesse.

Behandelt werden Prozesse, Netzwerk, Persistenz, Benutzeraktivitäten, Dateiindikatoren, Konfigurationsabweichungen und Host-Vergleiche. Der Schwerpunkt liegt auf kontrollierter Analyse statt auf Alarmfeuerwerk nach dem Prinzip Hoffnung.

Drei Tage sind notwendig, weil Threat Hunting neben Query-Technik auch Hypothesenbildung, Bewertung, False-Positive-Reduktion und Dokumentation umfasst.

Für wen dieses Seminar geeignet ist

• SOC-Teams, die osquery für Untersuchungen und Monitoring einsetzen wollen
• Threat Hunter, die Endpoint-Hypothesen strukturiert prüfen möchten
• Security Engineers, die Detection Use Cases mit osquery entwickeln
• Incident Responder, die Abfragepakete für wiederkehrende Szenarien benötigen

Voraussetzungen

Grundkenntnisse in IT-Sicherheit, Endpoint-Artefakten und SQL. Praktische osquery-Grundlagen sind hilfreich, werden zu Beginn kurz eingeordnet.

Seminarinhalte

Hunting-Grundlagen mit osquery

• Hypothesen aus Bedrohungsmodellen und Beobachtungen ableiten
• Geeignete Tabellen für Prozesse, Netzwerk, Persistenz und Benutzeraktivität auswählen
• Live Queries und geplante Abfragen im Security-Kontext abgrenzen
• Ergebnisse fachlich bewerten und Kontextinformationen ergänzen

Detektionsabfragen entwickeln

• Persistenzmechanismen und Autostart-Orte prüfen
• Verdächtige Prozessmuster, Kommandozeilen und Eltern-Kind-Beziehungen untersuchen
• Netzwerkverbindungen, Ports und ungewöhnliche Kommunikationsmuster analysieren
• Dateien, Hashes, Pfade und Berechtigungen als Indikatoren nutzen

False Positives und Baselines

• Normale Zustände erfassen und von Abweichungen trennen
• Plattform-, Rollen- und Standortunterschiede berücksichtigen
• Filter, Allow-Lists und Kontextfelder gezielt einsetzen
• Detektionsqualität durch Testfälle und Gegenbeispiele verbessern

SOC-Übergabe und Dokumentation

• Use Cases mit Query-Ziel, erwarteten Ergebnissen und Eskalationslogik beschreiben
• Hunting-Ergebnisse nachvollziehbar dokumentieren
• Query-Packs für regelmäßige Sicherheitsprüfungen strukturieren
• Übergabe an Incident Response und SIEM-Prozesse vorbereiten

Praktische Übungen

• Formulieren von Hunting-Hypothesen zu Persistenz und ungewöhnlichen Prozessen
• Entwicklung mehrerer Security Queries mit Bewertung der Ergebnisqualität
• Vergleich auffälliger und unauffälliger Hosts anhand derselben Abfragen
• Reduktion von Fehlalarmen durch Baseline- und Kontextlogik
• Erstellung eines Hunting-Packs mit Dokumentation und SOC-Hinweisen

Arbeitsumgebung

Die Laborumgebung enthält vorbereitete Hosts mit normalen und auffälligen Artefakten. Die Übungen verwenden Live Queries, geplante Abfragen, Beispielergebnisse und kleine Hunting-Szenarien.