Seminar Wazuh Detection Engineering mit Regeln, Decodern und CDB-Listen

Beschreibung

Erkennungsentwicklung beginnt mit überprüfbaren Rohereignissen und endet erst nach Regressionstest und kontrollierter Freigabe. Decoder, Regeln, Listen und Metadaten werden als versionierte Einheit behandelt.

Die Praxis umfasst positive, negative und fehlerhafte Testfälle. Korrelation, Alarmstufen, ATT&CK-Zuordnung und Tuning werden gegen Datenqualität und Fehlalarmrisiko bewertet.

Zielgruppe

Detection Engineering, SOC Engineering, Wazuh-Administration, Security Analytics und Integrationsentwicklung

Voraussetzungen

Sicherer Umgang mit Logformaten, regulären Ausdrücken, XML-Grundlagen und Wazuh-Alarmen

Lernziele

• Analysepfad vom Rohlog bis zum Alarm nachvollziehen
• Robuste Decoder und präzise Regeln entwickeln
• Zeitliche Korrelation und CDB-Kontext kontrolliert einsetzen
• Erkennungen mit ATT&CK-Kontext dokumentieren
• Tests, Versionierung, Freigabe und Tuning standardisieren

Inhaltsübersicht

1. Analysepfad von Rohlog zu Alarm verstehen
2. Eigene Decoder entwickeln
3. Eigene Regeln mit klarer Logik erstellen
4. Mehrere Ereignisse zeitlich korrelieren
5. CDB-Listen für Kontext und IOC-Abgleich einsetzen
6. Erkennungen mit MITRE ATT&CK kontextualisieren
7. Tests, Versionierung und Freigabe etablieren
8. Erkennungen risikobasiert tunen

Seminarinhalte

1. Analysepfad von Rohlog zu Alarm verstehen

Decoder- und Regelverarbeitung anhand kontrollierter Beispiele vollständig nachvollziehen.

1. Ein Rohereignis mit Quelle, Format und erwarteten Feldern auswählen.
2. Vor-Decodierung, Decoderwahl und extrahierte Felder schrittweise prüfen.
3. Regelgruppe, Abhängigkeiten, Alarmstufe und Zusatzfelder nachverfolgen.
4. Abweichungen zwischen Rohlog, dekodiertem Ereignis und gespeichertem Alarm markieren.
5. Einen reproduzierbaren Testfall als Ausgangspunkt für die Entwicklung speichern.

2. Eigene Decoder entwickeln

Unbekannte oder unzureichend erkannte Logformate robust in nutzbare Felder zerlegen.

1. Stabile Kennzeichen und variable Nutzdaten im Beispielmaterial trennen.
2. Vordecoder- oder Elternbezug festlegen und möglichst enge Erkennung formulieren.
3. Felder mit benannten Extraktionen und eindeutiger Reihenfolge zuordnen.
4. Mehrere positive, negative und fehlerhafte Logs mit wazuh-logtest prüfen.
5. Decoderdatei versionieren und Wirkung in einer Testumgebung validieren.

3. Eigene Regeln mit klarer Logik erstellen

Aus dekodierten Feldern nachvollziehbare Erkennungen mit angemessener Alarmstufe ableiten.

1. Erkennungsziel, notwendige Bedingungen und erwartete Ausnahmefälle formulieren.
2. Eindeutige Regel-ID, Gruppe, Beschreibung und Feldbedingungen festlegen.
3. Abhängigkeiten zu vorhandenen Regeln nur bewusst und dokumentiert verwenden.
4. Positive, negative und Grenzfälle mit wazuh-logtest ausführen.
5. Regel zunächst im Beobachtungsmodus bewerten und anschließend freigeben.

4. Mehrere Ereignisse zeitlich korrelieren

Wiederholungen, Sequenzen und Kontextwechsel erkennen, die ein Einzelereignis nicht ausreichend abbildet.

1. Basisevent und korrelierendes Verhalten mit Zeitfenster und Gruppierung definieren.
2. Frequenz, Zeitrahmen und Bezug auf Quelle, Benutzer oder Agent festlegen.
3. Normalverhalten und erwartete Spitzen als Negativtests aufnehmen.
4. Korrelation mit synthetischen Ereignisfolgen und realen Stichproben testen.
5. Auswirkung auf Alarmmenge und Untersuchungskontext messen.

5. CDB-Listen für Kontext und IOC-Abgleich einsetzen

Verwaltete Wertelisten in Regeln nutzen, ohne Logik und Datenbestand unkontrolliert zu vermischen.

1. Anwendungsfall und Schlüsselstruktur für Allow-, Deny-, Asset- oder IOC-Liste bestimmen.
2. Daten normalisieren, Dubletten entfernen und Herkunft intern dokumentieren.
3. Liste im vorgesehenen Verzeichnis bereitstellen und Serverkonfiguration aktualisieren.
4. Treffer und Nichttreffer mit repräsentativen Werten testen.
5. Aktualisierung, Freigabe, Ablauf und Rücknahme der Liste organisieren.

6. Erkennungen mit MITRE ATT&CK kontextualisieren

Regeln mit Taktiken und Techniken verbinden, um Abdeckung und Untersuchung zu strukturieren.

1. Erkennungslogik und tatsächlich beobachtetes Verhalten fachlich beschreiben.
2. Passende Technik nur bei nachvollziehbarer Evidenz auswählen.
3. Zuordnung in der Regelmetadatenpflege ergänzen.
4. Darstellung und Filterung im Dashboard kontrollieren.
5. Abdeckungsmatrix auf Überschneidungen, Lücken und überbreite Zuordnungen prüfen.

7. Tests, Versionierung und Freigabe etablieren

Regeln, Decoder und Listen wie produktiven Code mit reproduzierbaren Qualitätskontrollen behandeln.

1. Repository-Struktur, Namenskonvention und Verantwortlichkeiten festlegen.
2. Testkorpus mit positiven, negativen, Grenz- und Regressionsereignissen aufbauen.
3. Syntax-, Logtest- und Integrationsprüfung automatisieren.
4. Vier-Augen-Freigabe und gestuften Rollout definieren.
5. Version, Änderung, Testergebnis und Rückfallstand je Release dokumentieren.

8. Erkennungen risikobasiert tunen

Fehlalarme senken, ohne relevante Varianten oder Nachvollziehbarkeit zu verlieren.

1. Alarmvolumen, betroffene Assets und typische Ursachen über einen repräsentativen Zeitraum messen.
2. Fehler in Quelle, Decoder, Regelbedingung, Kontext oder Priorisierung getrennt bewerten.
3. Engste wirksame Änderung auswählen und breite Unterdrückungen vermeiden.
4. Änderung gegen vollständigen Testkorpus und historische Stichprobe prüfen.
5. Wirkung nach Freigabe überwachen und bei Verschlechterung zurückrollen.

Praxislabor

1. Ein unbekanntes Anwendungslog in positive, negative und fehlerhafte Beispiele zerlegen.
2. Decoder und Regel erstellen und mit wazuh-logtest gegen den Testkorpus prüfen.
3. Eine CDB-Liste für Asset- oder IOC-Kontext einbinden.
4. Eine zeitliche Korrelation mit Normal- und Spitzenlastfällen testen.
5. Erkennung versionieren, im Beobachtungsmodus bewerten und gezielt tunen.

Betriebliche Qualitätssicherung

• Eindeutige IDs, Gruppen und Dateistruktur
• Positiver, negativer, Grenz- und Regressionstest
• Vier-Augen-Freigabe und gestufter Rollout
• Messung von Alarmvolumen und Fehlalarmursachen