Seminar Tetragon – Ereignisse, Prozessmodell und Tetra CLI

Das Seminar vermittelt den sicheren Umgang mit Tetragon-Ereignissen und der Tetra CLI. Ereignisse werden nicht isoliert betrachtet, sondern als Teil eines Prozessverlaufs mit Elternbeziehungen, Identitäten, Binärdateien, Argumenten, Namespaces und Workload-Metadaten.

Die Übungen führen von der ersten Live-Ausgabe über präzise Filter bis zur reproduzierbaren Analyse eines sicherheitsrelevanten Ablaufs.

Inhaltsverzeichnis

• Lernziele
• Seminarinhalte
• Schritt 1: Ereignisquellen und Ereignistypen ordnen
• Schritt 2: Prozessmodell lesen
• Schritt 3: Container- und Workload-Kontext verstehen
• Schritt 4: Tetra CLI sicher bedienen
• Schritt 5: Filterstrategie entwickeln
• Schritt 6: Ausgaben strukturieren und speichern
• Schritt 7: Prozessketten rekonstruieren
• Schritt 8: Live-Analyse für Störungen und Vorfälle durchführen
• Schritt 9: CLI-Runbooks erstellen
• Praxisübungen
• Zielgruppe
• Voraussetzungen

Lernziele

• wichtige Ereignistypen und gemeinsame Kontextfelder unterscheiden
• Prozessketten und Eltern-Kind-Beziehungen rekonstruieren
• Tetra-Ausgaben zielgerichtet filtern, formatieren und begrenzen
• Live-Beobachtung und nachgelagerte Analyse methodisch verbinden
• wiederholbare CLI-Arbeitsabläufe für Betrieb und Incident Response erstellen

Seminarinhalte

Schritt 1: Ereignisquellen und Ereignistypen ordnen

Prozess-, Datei-, Netzwerk- und Policy-Ereignisse werden nach Entstehung und Aussagekraft gegliedert.

• Gemeinsame Metadaten und ereignisspezifische Felder werden voneinander getrennt.
• Zeitstempel und Reihenfolge werden hinsichtlich paralleler Abläufe bewertet.

Schritt 2: Prozessmodell lesen

Prozessidentität, Ausführung, Elternprozess, Thread-Bezug, Benutzer- und Capability-Kontext werden analysiert.

• Kurzlebige Prozesse, Shell-Ketten und Interpreter werden korrekt zugeordnet.
• Exec- und Exit-Ereignisse werden zu vollständigen Lebenszyklen verbunden.

Schritt 3: Container- und Workload-Kontext verstehen

Container-ID, Pod, Namespace, Workload und Labels werden in die Prozessanalyse einbezogen.

• Hostprozesse werden von containerisierten Prozessen abgegrenzt.
• Fehlender oder wechselnder Kontext wird als eigener Analysefall behandelt.

Schritt 4: Tetra CLI sicher bedienen

Verbindung, Grundkommandos, Hilfe, Ausgabeoptionen und Fehlerbehandlung werden systematisch eingesetzt.

• Live-Streams werden kontrolliert gestartet, begrenzt und beendet.
• Die Ausgabe wird für interaktive Prüfung und maschinelle Weiterverarbeitung vorbereitet.

Schritt 5: Filterstrategie entwickeln

Ereignistyp, Namespace, Pod, Binärdatei, Prozessname, Argumente und weitere Felder werden schrittweise kombiniert.

• Breite Suchläufe werden in präzise, nachvollziehbare Filter überführt.
• Negativfilter und bekannte Grundlast werden bewusst behandelt.

Schritt 6: Ausgaben strukturieren und speichern

Menschenlesbare und strukturierte Formate werden nach Einsatzzweck gewählt.

• Relevante Felder werden für Übergabe, Vergleich und Archivierung festgelegt.
• Große Datenmengen werden durch Zeitfenster, Scope und Vorfilter beherrscht.

Schritt 7: Prozessketten rekonstruieren

Aus einer Menge einzelner Ereignisse wird eine zeitlich und logisch konsistente Prozesskette aufgebaut.

• Elternwechsel, Shell-Ausführung, Skriptinterpreter und Containerstart werden berücksichtigt.
• Unsichere Schlussfolgerungen werden durch zusätzliche Felder oder Kontrollereignisse abgesichert.

Schritt 8: Live-Analyse für Störungen und Vorfälle durchführen

Eine konkrete Fragestellung wird in Hypothesen, benötigte Ereignisse und Filter übersetzt.

• Während der Beobachtung werden Suchumfang und Detailgrad kontrolliert angepasst.
• Ergebnisse werden in einer kurzen, reproduzierbaren Analysebeschreibung festgehalten.

Schritt 9: CLI-Runbooks erstellen

Standardabfragen für Prozessstart, Netzwerkzugriff, Dateiereignis und Policy-Wirkung werden formuliert.

• Fehlerfälle bei Verbindung, Berechtigung und fehlenden Daten werden berücksichtigt.
• Die Runbooks werden mit definierten Testereignissen verifiziert.

Praxisübungen

1. Prozesskette aus Exec- und Exit-Ereignissen rekonstruieren
2. Filter für einen einzelnen Namespace und eine konkrete Binärdatei entwickeln
3. Live-Ausgabe in ein strukturiertes Analyseartefakt überführen
4. Tetra-Runbook für die Erstprüfung eines verdächtigen Prozesses erstellen

Zielgruppe

SOC-Analysten, Security Engineers, Plattformbetrieb, Linux- und Kubernetes-Administratoren sowie technische Incident-Response-Teams.

Voraussetzungen

Grundkenntnisse in Linux-Prozessen und Kommandozeilenarbeit; eine vorhandene Tetragon-Testumgebung ist hilfreich.