Seminar Velociraptor – Intensivseminar VQL, Artefakte und Automatisierung

Beschreibung

Das Intensivseminar bündelt VQL, Artefaktentwicklung, Event Queries, Server Automation, API-Nutzung und Integrationsbetrieb. Von der ersten Abfrage bis zur getesteten und versionierten Automatisierung entsteht ein vollständiger Engineering-Lebenszyklus.

Inhaltsverzeichnis

1. Beschreibung
2. Lernziele
3. Zielgruppe
4. Voraussetzungen
5. Themen und Lernschritte
6. Praktische Übungen
7. Einordnung in den Lernpfad

Lernziele

Nach dem Seminar können komplexe VQL-Abfragen entwickelt, Artefakte sicher veröffentlicht, kontinuierliche Erkennungen betrieben und API- oder Serverautomatisierungen mit Tests, Rechten, Fehlerbehandlung und Auditierung umgesetzt werden.

Zielgruppe

DFIR Engineers, Detection Engineers, Security-Entwickler, Threat Hunter, SOC-Automatisierung und technische Plattformteams.

Voraussetzungen

Sichere Skript- und Datenverarbeitungskenntnisse sowie praktische Erfahrung mit Velociraptor-Collections.

Themen und Lernschritte

Tag 1: VQL-Grundlagen und lokale Analyse

1. Schritt 1: VQL-Datenmodell, Plugins, Funktionen und Lazy Evaluation praktisch nachvollziehen.
2. Schritt 2: Tabellen filtern, transformieren, sortieren und aggregieren.
3. Schritt 3: Dateisystem-, Prozess- und Systemdaten lokal per CLI untersuchen.
4. Schritt 4: Parameter und Zwischenergebnisse kontrolliert verwenden.
5. Schritt 5: Abfragen mit kleinen Testdaten und erwarteten Ergebnissen validieren.

Tag 2: VQL Advanced

1. Schritt 1: Subqueries, gespeicherte Abfragen und wiederverwendbare Bausteine entwickeln.
2. Schritt 2: Scopes, Materialisierung, foreach-Muster und komplexe Datenstrukturen sicher einsetzen.
3. Schritt 3: Server- und Clientkontext korrekt trennen.
4. Schritt 4: Laufzeit, Speicher und Ergebnisvolumen messen und optimieren.
5. Schritt 5: Fehlerfälle mit Debugausgaben und schrittweiser Vereinfachung diagnostizieren.

Tag 3: Artefaktentwicklung und Qualität

1. Schritt 1: Anforderung in Metadaten, Parameter, Vorbedingungen und Quellen überführen.
2. Schritt 2: Plattformvarianten und sichere Pfadbehandlung implementieren.
3. Schritt 3: Positiv-, Negativ-, Grenzfall- und Performance-Tests ausführen.
4. Schritt 4: Review, Versionierung, Freigabe und Rollback organisieren.
5. Schritt 5: Dokumentation und Beispielaufrufe für spätere Nutzer erstellen.

Tag 4: Event Queries, Monitoring und Sigma

1. Schritt 1: Kontinuierliche Abfragen mit Zeitbezug und Zustandsführung entwickeln.
2. Schritt 2: Sigma-Logik auf reale Felder und Datenquellen abbilden.
3. Schritt 3: Filterung, Deduplizierung, Drosselung und Kontextanreicherung umsetzen.
4. Schritt 4: Pilotierung und Lastmessung für produktives Monitoring durchführen.
5. Schritt 5: Regelpflege, Ausnahmeprozess und Notfallabschaltung festlegen.

Tag 5: Server Automation, API und Integration

1. Schritt 1: Serverseitige Abfragen und Automationsabläufe mit klaren Rechten entwerfen.
2. Schritt 2: API-Zugang sicher einrichten und Collections oder Hunts steuern.
3. Schritt 3: Ergebnisse robust, seitenweise und idempotent verarbeiten.
4. Schritt 4: Timeouts, Retries, Fehlerklassen und Auditprotokolle implementieren.
5. Schritt 5: Eine vollständige Integrationslösung testen und betriebsfähig dokumentieren.

Praktische Übungen

1. Eine lokale VQL-Analyse schrittweise entwickeln und optimieren.
2. Ein plattformübergreifendes Artefakt mit Tests und Freigabepaket erstellen.
3. Eine kontinuierliche Erkennung mit Lastgrenzen und Rücknahmeweg umsetzen.
4. Eine Collection per API starten und Ergebnisse robust verarbeiten.
5. Ein Engineering-Paket aus Code, Tests, Version, Dokumentation und Betriebsregeln abgeben.

Einordnung in den Lernpfad

Dieser Intensivpfad ersetzt die VQL-, Artefakt-, Monitoring-, CLI- und API-Einzelseminare für Teams mit geschlossenem Engineering-Fokus.