Seminar Velociraptor – Kompaktseminar Einstieg, Hunting und Betrieb

Beschreibung

Das Kompaktseminar vermittelt die wichtigsten Arbeitsabläufe für einen schnellen, aber belastbaren Einstieg. Bedienung, Einzelcollections, Hunts, grundlegende VQL-Abfragen, Ergebnisbewertung, Clientzustände und elementare Betriebsprüfungen werden in drei Tagen verbunden.

Inhaltsverzeichnis

1. Beschreibung
2. Lernziele
3. Zielgruppe
4. Voraussetzungen
5. Themen und Lernschritte
6. Praktische Übungen
7. Einordnung in den Lernpfad

Lernziele

Nach dem Seminar können Endpunkte untersucht, einfache Hunts kontrolliert ausgeführt, Abfragen angepasst, Ergebnisse dokumentiert und die wichtigsten Betriebs- und Sicherheitskontrollen einer kleinen bis mittleren Umgebung durchgeführt werden.

Zielgruppe

SOC-Analysten, Incident Responder, Security- und Systemadministratoren sowie Teams, die kurzfristig arbeitsfähig werden müssen.

Voraussetzungen

Grundkenntnisse in Betriebssystemen, Netzwerken und IT-Sicherheit. Programmierkenntnisse sind nicht erforderlich.

Themen und Lernschritte

Tag 1: Orientierung und Einzelendpunkt

1. Schritt 1: Architektur, Rollen und typische DFIR-Arbeitsabläufe einordnen.
2. Schritt 2: Admin-GUI, Clientsuche, Labels und Statusanzeigen sicher bedienen.
3. Schritt 3: Artefakte auswählen, Parameter prüfen und eine Einzelcollection starten.
4. Schritt 4: Flow-Fortschritt, Fehler und Ergebnisdaten kontrollieren.
5. Schritt 5: Erste Befunde in einer strukturierten Arbeitsnotiz dokumentieren.

Tag 2: VQL-Basis und Hunts

1. Schritt 1: VQL-Tabellen lesen, filtern und auf relevante Spalten begrenzen.
2. Schritt 2: Eine bestehende Abfrage mit Parametern und Bedingungen anpassen.
3. Schritt 3: Hunt-Hypothese, Zielgruppe und Pilotkriterien definieren.
4. Schritt 4: Hunt stufenweise ausführen und Endpunktlast sowie Datenqualität beobachten.
5. Schritt 5: Treffer mit gezielten Nachfasscollections vertiefen.

Tag 3: Betrieb, Sicherheit und Fallübung

1. Schritt 1: Client-Check-ins, Dienste, Logs und zentrale Betriebszustände prüfen.
2. Schritt 2: Grundregeln für Rollen, minimale Rechte und sichere Freigaben anwenden.
3. Schritt 3: Eine begrenzte forensische Dateisammlung mit Hashprüfung durchführen.
4. Schritt 4: Ergebnisse in einem Notebook ordnen und als Fallübersicht ausgeben.
5. Schritt 5: Einen vollständigen Beispielincident von der Hypothese bis zur Übergabe bearbeiten.

Praktische Übungen

1. Eine Einzelcollection durchführen und den Flow vollständig prüfen.
2. Eine VQL-Abfrage an eine konkrete Ermittlungsfrage anpassen.
3. Einen kleinen Hunt pilotieren, skalieren und auswerten.
4. Eine Dateisammlung und ein kompaktes Notebook für einen Beispielincident erstellen.

Einordnung in den Lernpfad

Geeignet als Alternative zum zweitägigen Grundlagenseminar, wenn zusätzlich Hunting und elementarer Betrieb benötigt werden. Spezialseminare vertiefen die jeweiligen Themen.