Seminar Security Onion Network Security Monitoring mit Zeek und Suricata

Dieses Seminar behandelt Network Security Monitoring mit Security Onion. Im Mittelpunkt stehen Zeek-Metadaten, Suricata-Alarme, Sessions, PCAP-Kontext, Sensorplatzierung und die Übersetzung von Netzwerkspuren in belastbare SOC-Befunde. Wer Pakete lesen kann, ist im SOC nie ganz verloren.

Inhaltsübersicht

• Netzwerksichtbarkeit und Sensorik einordnen
• Zeek-Protokollmetadaten lesen und nutzen
• Suricata-Alerts bewerten und korrelieren
• PCAP-Pivots für Detailanalyse einsetzen
• Netzwerkbefunde in Hunt und Cases überführen

Ziele

Nach dem Seminar können Netzwerkereignisse in Security Onion analysiert, IDS-Alarme eingeordnet, PCAP-Kontext genutzt und Netzwerkbefunde sauber dokumentiert werden.

Zielgruppe

Das Seminar richtet sich an SOC-Analysten, Netzwerkadministratoren und Security Engineers, die Netzwerkereignisse mit Zeek, Suricata, PCAP und Security-Onion-Sensorik analysieren möchten.

Seminarinhalte

1. Sensorik verstehen

1. Monitoringpunkte, SPAN/TAP und virtuelle Sensorpfade unterscheiden.
2. Nord-Süd- und Ost-West-Verkehr hinsichtlich Sichtbarkeit bewerten.
3. Lücken in Sensorabdeckung und Paketqualität erkennen.

2. Zeek-Daten auswerten

1. Connection-, DNS-, HTTP- und Datei-Metadaten in Untersuchungen nutzen.
2. Sessions nach Host, Benutzer, Zeit und Protokollkontext eingrenzen.
3. Metadaten mit anderen Logquellen zusammenführen.

3. Suricata-Alerts prüfen

1. Signaturtreffer nach Regel, Richtung, Schweregrad und Kontext bewerten.
2. Alert und zugrunde liegende Netzwerkverbindung verknüpfen.
3. Fehlalarme von ernsthaften Auffälligkeiten trennen.

4. PCAP-Kontext nutzen

1. Aus einem Alert gezielt in Pakete und Sessions pivotieren.
2. ASCII-Ansicht, Protokolldetails und Nutzdaten kontrolliert auswerten.
3. Grenzen verschlüsselter oder unvollständiger Mitschnitte berücksichtigen.

5. Befunde operationalisieren

1. Netzwerkindikatoren für Hunt-Abfragen ableiten.
2. Relevante Beobachtungen in Cases übernehmen.
3. Tuning-Bedarf für Netzwerkregeln oder Sensorplatzierung dokumentieren.

Praxisübungen

• Zeek-DNS- und HTTP-Ereignisse untersuchen
• Suricata-Alert mit Verbindungskontext korrelieren
• PCAP-Pivot und Session-Analyse durchführen
• Sensorabdeckung für ein Beispielnetz bewerten
• Netzwerkbefund in eine Case-Notiz übertragen

Voraussetzungen

Vorausgesetzt werden solide Grundlagen in TCP/IP, DNS, HTTP, TLS, Routing und Firewall-Konzepten. Erfahrung mit Wireshark oder IDS-Meldungen ist hilfreich.