Seminar Velociraptor – Grundlagen und Admin-GUI

Beschreibung

Das Seminar vermittelt den strukturierten Einstieg in Velociraptor als Plattform für Endpoint-Sichtbarkeit, digitale Forensik und Incident Response. Bedienoberfläche, Clients, Collections, Flows, Hunts, Artefakte und erste Auswertungen werden in einer durchgängigen Laborumgebung aufgebaut.

Inhaltsverzeichnis

1. Beschreibung
2. Lernziele
3. Zielgruppe
4. Voraussetzungen
5. Themen und Lernschritte
6. Praktische Übungen
7. Einordnung in den Lernpfad

Lernziele

Nach dem Seminar können sich Teilnehmende sicher in der Admin-GUI bewegen, Endpunkte beurteilen, geeignete Artefakte auswählen, Collections und einfache Hunts ausführen sowie Ergebnisse kontrolliert auswerten.

Zielgruppe

SOC-Analysten, Incident Responder, Forensiker, Security- und Systemadministratoren sowie technische Projektmitarbeiter.

Voraussetzungen

Grundkenntnisse in Betriebssystemen, Netzwerken und IT-Sicherheit. Programmierkenntnisse sind nicht erforderlich.

Themen und Lernschritte

Tag 1: Orientierung und Einzelendpunktanalyse

1. Schritt 1: Plattformaufgaben, Server-Client-Modell und typische DFIR-Arbeitsabläufe einordnen.
2. Schritt 2: Admin-GUI, Navigation, Benutzerkontext und zentrale Statusanzeigen sicher bedienen.
3. Schritt 3: Clientliste, Suchfunktionen, Labels, Metadaten und Check-in-Zustände auswerten.
4. Schritt 4: Artefakte nach Zweck, Plattform, Parametern und erwarteter Datenmenge auswählen.
5. Schritt 5: Eine Collection starten, Flow-Zustände verfolgen und Ergebnisdaten auf Plausibilität prüfen.

Tag 2: Hunts, Auswertung und kontrollierter Ablauf

1. Schritt 1: Hunt-Zielgruppe mit Labels und Bedingungen begrenzen.
2. Schritt 2: Hunt mit Testgruppe starten, Fortschritt überwachen und Fehlerfälle erkennen.
3. Schritt 3: Ergebnisse filtern, exportieren und in einer Notebook-Auswertung zusammenführen.
4. Schritt 4: Berechtigungen, Datenminimierung und Freigaben bei Sammlungen berücksichtigen.
5. Schritt 5: Einen Beispielincident von der Hypothese über Collection und Hunt bis zur Dokumentation bearbeiten.

Praktische Übungen

1. Einen Client anhand Check-in, Plattform, Labels und Metadaten beurteilen.
2. Eine Einzelcollection mit passenden Parametern ausführen und validieren.
3. Einen Hunt zunächst gegen eine Pilotgruppe und danach gegen eine definierte Zielgruppe starten.
4. Ergebnisse in einem Notebook strukturieren und als Arbeitsnachweis exportieren.

Einordnung in den Lernpfad

Dies ist der reguläre Einstieg. Danach folgen je nach Rolle „VQL Grundlagen und Abfragen“, „Client Deployment und Rollout“ oder ein Plattform- und DFIR-Spezialseminar.