Seminar Wazuh Intensiv – Detection Engineering, Threat Hunting und Incident Response

Beschreibung

Der Intensivpfad beginnt mit der Qualität von Rohdaten und endet mit einer kontrollierten Reaktion. Jede Erkennung erhält Testkorpus, Kontext, Tuning, Dokumentation und einen definierten Bearbeitungsweg.

Windows-, Linux- und anwendungsspezifische Daten werden in gemeinsamen Hunting- und Incident-Szenarien verwendet. Automatisierung unterstützt Analyse und Verwaltung, ersetzt aber nicht die dokumentierte Freigabe risikoreicher Aktionen.

Zielgruppe

SOC, Detection Engineering, Threat Hunting, Incident Response, Wazuh-Administration und Security Automation

Voraussetzungen

Sicherer Umgang mit Logdaten, JSON, Windows- oder Linux-Ereignissen, grundlegende Wazuh-Administration und Skripterfahrung

Lernziele

• Neue Logquellen Ende zu Ende integrieren und qualitätssichern
• Decoder, Regeln, Korrelationen und CDB-Listen professionell entwickeln
• Windows-, Linux- und Threat-Intelligence-Kontext verbinden
• Hunting-Hypothesen und Fallübergaben reproduzierbar bearbeiten
• API- und Active-Response-Abläufe sicher automatisieren

Inhaltsübersicht

1. Logquellen und Verantwortlichkeiten inventarisieren
2. Unbekannte Logformate bis zur Erkennung integrieren
3. Windows-Ereigniskanäle zielgerichtet erfassen
4. Sysmon-Ereignismodell und Konfiguration entwerfen
5. Linux-Datenquellen priorisieren und anbinden
6. Auditd-Regelwerk für sicherheitsrelevante Aktionen entwerfen
7. Eigene Regeln mit klarer Logik erstellen
8. Mehrere Ereignisse zeitlich korrelieren
9. CDB-Listen für Kontext und IOC-Abgleich einsetzen
10. Erkennungen mit MITRE ATT&CK kontextualisieren
11. Threat-Hunting-Hypothesen bearbeiten
12. Alarme reproduzierbar priorisieren
13. Robuste Automatisierungsabläufe entwickeln
14. Active-Response-Konzept sicher entwerfen
15. Reaktionsskripte robust und sicher entwickeln
16. Erkenntnisse in Erkennungen und Betrieb zurückführen

Seminarinhalte

1. Logquellen und Verantwortlichkeiten inventarisieren

Für jede Quelle Zweck, Format, Eigentümer, Kritikalität und erwartete Ereignisrate festhalten.

1. Systeme, Anwendungen, Netzwerkgeräte und Cloudquellen vollständig erfassen.
2. Transportweg, Zeitstempel, Zeitzone, Rotation und Aufbewahrung dokumentieren.
3. Erwartete Felder und repräsentative Rohbeispiele je Quelle sammeln.
4. Priorität und Abnahmekriterien anhand der Erkennungsfälle bestimmen.
5. Inventar regelmäßig mit tatsächlichem Datenempfang abgleichen.

2. Unbekannte Logformate bis zur Erkennung integrieren

Neue Datenquellen von der Rohzeile über Decoder und Regel bis zur Anzeige produktionsfähig machen.

1. Rohbeispiele in normale, fehlerhafte und sicherheitsrelevante Fälle aufteilen.
2. Stabile Vorbedingungen und benötigte Felder definieren.
3. Decoder und Regeln in lokalen Dateien entwickeln und mit wazuh-logtest prüfen.
4. Quelle im Agenten- oder Serverkontext anbinden und Ende-zu-Ende testen.
5. Testkorpus, Version und fachliche Eigentümerschaft dokumentieren.

3. Windows-Ereigniskanäle zielgerichtet erfassen

Sicherheits-, System-, Anwendungs- und Spezialkanäle nach konkreten Erkennungsfällen auswählen.

1. Server- und Clientrollen sowie aktivierte Ereigniskanäle inventarisieren.
2. Sicherheits-, System-, PowerShell-, Defender- und anwendungsspezifische Quellen priorisieren.
3. Agentenkonfiguration mit kanalbezogenen Filtern vorbereiten.
4. Kontrollereignisse für Anmeldung, Dienst, Richtlinie und Prozess erzeugen.
5. Ereignis-ID, Provider, Computer, Benutzer und Nutzdaten prüfen.

4. Sysmon-Ereignismodell und Konfiguration entwerfen

Hochwertige Prozess-, Netzwerk-, Datei- und Registry-Telemetrie mit beherrschbarem Volumen erzeugen.

1. Erkennungsszenarien und dafür benötigte Sysmon-Ereignistypen bestimmen.
2. Ein- und Ausschlüsse nach Signatur, Pfad, Prozess, Ziel und Umgebung formulieren.
3. Konfiguration in einer Testgruppe ausrollen und Dienststatus prüfen.
4. Kontrollaktivitäten für Prozessstart, Netzwerkverbindung und Dateierstellung durchführen.
5. Volumen und Feldqualität messen und Filter eng nachschärfen.

5. Linux-Datenquellen priorisieren und anbinden

Authentisierung, Systemdienste, Anwendungen, Kernel und Paketverwaltung mit klarer Zielsetzung überwachen.

1. Distributionen, Logpfade, journald-Nutzung und zentrale Weiterleitung inventarisieren.
2. Relevante Quellen nach Authentisierung, Privileg, Prozess, Netzwerk und Änderung gruppieren.
3. Erfassung über Dateien, Journal oder Syslog passend zur Quelle konfigurieren.
4. Kontrollereignisse erzeugen und Zeit, Host, Benutzer, Prozess und Ergebnis prüfen.
5. Dubletten und Lücken zwischen mehreren Transportwegen beseitigen.

6. Auditd-Regelwerk für sicherheitsrelevante Aktionen entwerfen

Kernelnahe Aktivitäten zielgerichtet erfassen, ohne das System mit ungerichteten Regeln zu überlasten.

1. Überwachungsziele für Identität, Privilegien, Dateien, Prozesse und Systemaufrufe festlegen.
2. Regeln mit eindeutigen Schlüsseln und begrenztem Geltungsbereich formulieren.
3. Regelwerk laden und Syntax sowie Aktivierungsstatus prüfen.
4. Testaktionen durchführen und Auditdatensatz vollständig auswerten.
5. Last, Backlog und verlorene Ereignisse überwachen.

7. Eigene Regeln mit klarer Logik erstellen

Aus dekodierten Feldern nachvollziehbare Erkennungen mit angemessener Alarmstufe ableiten.

1. Erkennungsziel, notwendige Bedingungen und erwartete Ausnahmefälle formulieren.
2. Eindeutige Regel-ID, Gruppe, Beschreibung und Feldbedingungen festlegen.
3. Abhängigkeiten zu vorhandenen Regeln nur bewusst und dokumentiert verwenden.
4. Positive, negative und Grenzfälle mit wazuh-logtest ausführen.
5. Regel zunächst im Beobachtungsmodus bewerten und anschließend freigeben.

8. Mehrere Ereignisse zeitlich korrelieren

Wiederholungen, Sequenzen und Kontextwechsel erkennen, die ein Einzelereignis nicht ausreichend abbildet.

1. Basisevent und korrelierendes Verhalten mit Zeitfenster und Gruppierung definieren.
2. Frequenz, Zeitrahmen und Bezug auf Quelle, Benutzer oder Agent festlegen.
3. Normalverhalten und erwartete Spitzen als Negativtests aufnehmen.
4. Korrelation mit synthetischen Ereignisfolgen und realen Stichproben testen.
5. Auswirkung auf Alarmmenge und Untersuchungskontext messen.

9. CDB-Listen für Kontext und IOC-Abgleich einsetzen

Verwaltete Wertelisten in Regeln nutzen, ohne Logik und Datenbestand unkontrolliert zu vermischen.

1. Anwendungsfall und Schlüsselstruktur für Allow-, Deny-, Asset- oder IOC-Liste bestimmen.
2. Daten normalisieren, Dubletten entfernen und Herkunft intern dokumentieren.
3. Liste im vorgesehenen Verzeichnis bereitstellen und Serverkonfiguration aktualisieren.
4. Treffer und Nichttreffer mit repräsentativen Werten testen.
5. Aktualisierung, Freigabe, Ablauf und Rücknahme der Liste organisieren.

10. Erkennungen mit MITRE ATT&CK kontextualisieren

Regeln mit Taktiken und Techniken verbinden, um Abdeckung und Untersuchung zu strukturieren.

1. Erkennungslogik und tatsächlich beobachtetes Verhalten fachlich beschreiben.
2. Passende Technik nur bei nachvollziehbarer Evidenz auswählen.
3. Zuordnung in der Regelmetadatenpflege ergänzen.
4. Darstellung und Filterung im Dashboard kontrollieren.
5. Abdeckungsmatrix auf Überschneidungen, Lücken und überbreite Zuordnungen prüfen.

11. Threat-Hunting-Hypothesen bearbeiten

Aus einer Annahme einen überprüfbaren Suchplan mit klarer Entscheidungslogik entwickeln.

1. Hypothese, betroffene Taktik, Systeme und erwartete Spuren formulieren.
2. Verfügbare Datenquellen und notwendige Felder gegen die Hypothese prüfen.
3. Breite Basissuche erstellen und anschließend über Kontext eingrenzen.
4. Treffer stichprobenartig bis zum Rohereignis validieren.
5. Ergebnis als bestätigt, widerlegt oder nicht entscheidbar dokumentieren.

12. Alarme reproduzierbar priorisieren

Aus Alarmstufe, Kontext und Assetkritikalität eine konsistente Erstbewertung ableiten.

1. Zeit, Agent, Regel, Quellereignis und relevante Felder vollständig erfassen.
2. Erkennung gegen erwartete Aktivität, Wartungsfenster und bekannte Änderungen prüfen.
3. Betroffene Identität, Prozess, Datei, Netzwerkziel und Umfang bestimmen.
4. Alarm als Fehlalarm, benign, verdächtig oder bestätigter Vorfall klassifizieren.
5. Entscheidung, Begründung und nächste Aktion strukturiert dokumentieren.

13. Robuste Automatisierungsabläufe entwickeln

API-Aufrufe in wiederholbare, fehlertolerante und prüfbare Workflows überführen.

1. Eingaben validieren und zwischen Lese-, Planungs- und Änderungsmodus unterscheiden.
2. Zeitüberschreitungen, Wiederholungen mit Begrenzung und Rate-Limits berücksichtigen.
3. Änderungen idempotent ausführen und vorab den Istzustand prüfen.
4. Dry-Run, Bestätigung und Rollback für risikoreiche Aktionen vorsehen.
5. Maschinenlesbares Ergebnis und verständlichen Betriebsreport erzeugen.

14. Active-Response-Konzept sicher entwerfen

Automatisierte Aktionen nur für ausreichend sichere, reversible und überwachte Szenarien einsetzen.

1. Geeignete Anwendungsfälle nach Erkennungsqualität, Auswirkung und Reversibilität auswählen.
2. Befehl, Ausführungsort, Parameter, Timeout und Rücknahme festlegen.
3. Allowlist, Assetkritikalität und Wartungsfenster als Schutzgrenzen berücksichtigen.
4. Protokollierung und Alarm bei fehlgeschlagener Reaktion definieren.
5. Vier-Augen-Freigabe und stufenweisen Übergang von Simulation zu Produktion planen.

15. Reaktionsskripte robust und sicher entwickeln

Eingaben validieren, Rechte begrenzen und unerwartete Seiteneffekte verhindern.

1. Ein- und Ausgabeformat sowie zulässige Parameter exakt definieren.
2. Shell-Injection, Pfadmanipulation und unkontrollierte Wildcards ausschließen.
3. Mit kleinstmöglichen Rechten arbeiten und sensible Daten nicht protokollieren.
4. Exitcodes und verständliche Statusmeldungen für Erfolg, Nichtanwendbarkeit und Fehler zurückgeben.
5. Skript mit positiven, negativen und bösartigen Eingaben testen.

16. Erkenntnisse in Erkennungen und Betrieb zurückführen

Nach einem Vorfall Regeln, Datenquellen und Runbooks gezielt verbessern.

1. Erkennungszeitpunkt, fehlende Signale und unnötige Verzögerungen analysieren.
2. Neue Testereignisse aus der bestätigten Zeitlinie ableiten.
3. Regel, Decoder, Dashboard oder Datenquelle mit kontrollierter Änderung anpassen.
4. Regressionstest und Beobachtungsphase durchführen.
5. Maßnahme, Eigentümer und Wirksamkeitsprüfung terminieren.

Praxislabor

1. Eine Datei-, Syslog- und Windows-/Linux-Quelle mit Abnahmekriterien integrieren.
2. Decoder, Regeln, Korrelation und CDB-Kontext gegen einen vollständigen Testkorpus entwickeln.
3. Ein plattformübergreifendes Szenario mit Sysmon-, Audit- und Intelligence-Daten untersuchen.
4. Eine Hunting-Hypothese in eine strukturierte Fallübergabe und Regelverbesserung überführen.
5. Einen API-gestützten Analyseablauf und eine reversible Active Response mit Rollback testen.

Betriebliche Qualitätssicherung

• Rohereignisbezug und Zeitbasis für jede Schlussfolgerung
• Versionierung und Vier-Augen-Freigabe für Regeln, Listen und Skripte
• Dry-Run und Minimalrechte für Automatisierung
• Beweissicherung und getesteter Rückweg vor automatischer Eindämmung