Seminar Velociraptor – Administration, Betrieb, Backup und Troubleshooting

Beschreibung

Das Seminar behandelt den verlässlichen Betrieb einer zentralen Velociraptor-Umgebung. Im Mittelpunkt stehen Serverkonfiguration, Client-Verbindungen, Wartung, Sicherung, Wiederherstellung, Monitoring und eine systematische Fehlerdiagnose.

Inhaltsverzeichnis

1. Beschreibung
2. Lernziele
3. Zielgruppe
4. Voraussetzungen
5. Themen und Lernschritte
6. Praktische Übungen
7. Einordnung in den Lernpfad

Lernziele

Nach dem Seminar können Betriebszustände beurteilt, Konfigurationsänderungen kontrolliert umgesetzt, Sicherungs- und Wiederanlaufverfahren aufgebaut sowie typische Störungen anhand belastbarer Prüfschritte eingegrenzt werden.

Zielgruppe

Systemadministratoren, Security-Administratoren, Plattformteams, SOC-Betrieb und technische Verantwortliche für produktive DFIR-Infrastrukturen.

Voraussetzungen

Linux-Administrationskenntnisse, Grundverständnis von TLS, DNS und Netzwerkkommunikation sowie erste Erfahrung mit Velociraptor oder Teilnahme am Grundlagenseminar.

Themen und Lernschritte

Tag 1: Architektur und Betriebsgrundlage

1. Schritt 1: Serverrollen, Kommunikationswege und relevante Dienste in einer Betriebsübersicht erfassen.
2. Schritt 2: Konfigurationsdateien, Zertifikate, Frontend, GUI und Datenspeicher eindeutig zuordnen.
3. Schritt 3: Dienstzustände, Ports, Logs und Client-Check-ins mit einer festen Baseline prüfen.
4. Schritt 4: Änderungen in einer Testumgebung vorbereiten und mit Rückfallpunkt dokumentieren.
5. Schritt 5: Betriebskennzahlen für Erreichbarkeit, Queue-Zustände, Ressourcenverbrauch und Sammlungen festlegen.

Tag 2: Sicherung, Wiederherstellung und Wartung

1. Schritt 1: Sicherungsumfang für Konfiguration, Schlüsselmaterial, Datenspeicher und Metadaten bestimmen.
2. Schritt 2: Konsistente Backups mit Aufbewahrung, Zugriffsschutz und Integritätsprüfung einrichten.
3. Schritt 3: Wiederherstellung in einer isolierten Umgebung durchführen und Funktionsprüfungen protokollieren.
4. Schritt 4: Speicherwachstum, Retention, Artefaktpflege und kontrollierte Bereinigung planen.
5. Schritt 5: Wartungsfenster, Upgradevorbereitung und Rollbackkriterien als Betriebsverfahren aufbauen.

Tag 3: Troubleshooting und Betriebsübergabe

1. Schritt 1: Fehler von Client, Netzwerk, Zertifikat, Frontend, Serverprozess und Storage schrittweise trennen.
2. Schritt 2: Logs, Statusanzeigen, Query-Ergebnisse und Systemmetriken zu einer belastbaren Diagnose verbinden.
3. Schritt 3: Nicht eincheckende Clients, abgebrochene Flows und verzögerte Hunts mit Prüfbaum untersuchen.
4. Schritt 4: Kapazitäts- und Berechtigungsprobleme reproduzierbar eingrenzen und Korrekturen validieren.
5. Schritt 5: Runbooks für Störung, Wiederanlauf, Eskalation und Nachkontrolle erstellen.

Praktische Übungen

1. Eine fehlerhafte Client-Verbindung anhand DNS-, TLS-, Port- und Logprüfungen diagnostizieren.
2. Eine vollständige Sicherung erstellen, in einer separaten Instanz wiederherstellen und den Zustand validieren.
3. Einen gestörten Hunt vom Auftrag über den Flow bis zum Endpunkt analysieren.
4. Ein kompaktes Betriebsrunbook mit Kontrollpunkten, Nachweisen und Rollback erstellen.

Einordnung in den Lernpfad

Empfohlen nach „Grundlagen und Admin-GUI“ sowie „Client Deployment und Rollout“. Danach folgen je nach Rolle Security, Enterprise-Architektur oder API-Automatisierung.