Seminar Wazuh Sysmon, Windows Security Monitoring und PowerShell

Beschreibung

Windows-Telemetrie wird aus Erkennungsfällen abgeleitet und nicht pauschal maximal aktiviert. Ereigniskanäle, Sysmon, PowerShell und Defender werden mit Rollen- und Volumenkontext zusammengeführt.

Die Praxis reicht von der Quellenaktivierung bis zur Incident-Zeitlinie. Filter werden dort eingesetzt, wo sie die beste Qualität bei geringstem Verlust erzeugen, und gegen einen festen Testkorpus geprüft.

Zielgruppe

Windows-Administration, SOC, Detection Engineering, Incident Response, Endpoint Security und Wazuh-Administration

Voraussetzungen

Sichere Windows-Administration, Gruppenrichtlinien, Ereignisanzeige, PowerShell-Grundlagen und Wazuh-Agentenerfahrung

Lernziele

• Windows-Ereigniskanäle zielgerichtet auswählen und erfassen
• Sysmon-Konfiguration aus Detection-Anforderungen entwickeln
• PowerShell- und Defender-Ereignisse sicher integrieren
• Windows-spezifische Regeln und Korrelationen testen
• Telemetrievolumen tunen und Vorfälle als Zeitlinie untersuchen

Inhaltsübersicht

1. Windows-Ereigniskanäle zielgerichtet erfassen
2. Sysmon-Ereignismodell und Konfiguration entwerfen
3. PowerShell-Aktivitäten sichtbar machen
4. Microsoft-Defender-Ereignisse integrieren
5. Windows-spezifische Regeln und Korrelationen erstellen
6. Windows-Telemetrie skalierbar tunen
7. Windows-Vorfälle untersuchen und eindämmen

Seminarinhalte

1. Windows-Ereigniskanäle zielgerichtet erfassen

Sicherheits-, System-, Anwendungs- und Spezialkanäle nach konkreten Erkennungsfällen auswählen.

1. Server- und Clientrollen sowie aktivierte Ereigniskanäle inventarisieren.
2. Sicherheits-, System-, PowerShell-, Defender- und anwendungsspezifische Quellen priorisieren.
3. Agentenkonfiguration mit kanalbezogenen Filtern vorbereiten.
4. Kontrollereignisse für Anmeldung, Dienst, Richtlinie und Prozess erzeugen.
5. Ereignis-ID, Provider, Computer, Benutzer und Nutzdaten prüfen.

2. Sysmon-Ereignismodell und Konfiguration entwerfen

Hochwertige Prozess-, Netzwerk-, Datei- und Registry-Telemetrie mit beherrschbarem Volumen erzeugen.

1. Erkennungsszenarien und dafür benötigte Sysmon-Ereignistypen bestimmen.
2. Ein- und Ausschlüsse nach Signatur, Pfad, Prozess, Ziel und Umgebung formulieren.
3. Konfiguration in einer Testgruppe ausrollen und Dienststatus prüfen.
4. Kontrollaktivitäten für Prozessstart, Netzwerkverbindung und Dateierstellung durchführen.
5. Volumen und Feldqualität messen und Filter eng nachschärfen.

3. PowerShell-Aktivitäten sichtbar machen

Skriptausführung, Modulnutzung und verdächtige Befehlsmuster mit ausreichendem Kontext erfassen.

1. Erforderliche PowerShell-Protokollierungsrichtlinien und Datenschutzgrenzen festlegen.
2. Operational-, Script-Block- und gegebenenfalls Modulprotokollierung in einer Testgruppe aktivieren.
3. Harmlose Testskripte mit verschiedenen Aufrufwegen ausführen.
4. Benutzer, Hostprozess, Skriptinhalt, Engine und Zeitbezug im Ereignis prüfen.
5. Sensible Inhalte und hohes Volumen durch eng definierte Betriebsregeln behandeln.

4. Microsoft-Defender-Ereignisse integrieren

Schutzstatus, Erkennungen und Reaktionsinformationen mit Endpoint- und Benutzerkontext korrelieren.

1. Relevante Defender-Kanäle und Ereigniskategorien auswählen.
2. Kontrollereignisse über ungefährliche Testmechanismen erzeugen.
3. Bedrohungsname, Aktion, Pfad, Benutzer, Status und Ergebnis prüfen.
4. Mehrfachmeldungen derselben Erkennung zu einem Fallkontext bündeln.
5. Fehlende oder deaktivierte Schutzfunktionen als eigene Betriebserkennung behandeln.

5. Windows-spezifische Regeln und Korrelationen erstellen

Authentisierung, Prozess, Skript und Persistenz zu belastbaren Szenarien verbinden.

1. Priorisierte Szenarien und notwendige Ereignis-IDs sowie Felder definieren.
2. Normalverhalten für Domänencontroller, Serverrollen und Administrationswerkzeuge erfassen.
3. Regeln mit Benutzer-, Prozess-, Parent-, Ziel- und Hostkontext entwickeln.
4. Positive und negative Tests auf unterschiedlichen Windows-Rollen durchführen.
5. Korrelation über Zeit und mehrere Ereigniskanäle validieren.

6. Windows-Telemetrie skalierbar tunen

Hohe Ereignisraten reduzieren, ohne sicherheitsrelevante Varianten auszublenden.

1. Top-Ereignis-IDs, Prozesse, Benutzer und Hosts nach Volumen auswerten.
2. Quelle, Sysmon-Konfiguration, Agentenfilter und Regel als mögliche Tuningebene unterscheiden.
3. Breite Ausschlüsse vermeiden und genehmigte Software gezielt eingrenzen.
4. Änderung gegen Testkorpus und historische Stichprobe prüfen.
5. Volumen, Alarmqualität und CPU- beziehungsweise Speicherwirkung vergleichen.

7. Windows-Vorfälle untersuchen und eindämmen

Alarm, Prozessbaum, Benutzeraktivität, Netzwerk und Dateispuren in eine belastbare Zeitlinie überführen.

1. Ausgangsalarm und betroffenen Host eindeutig festlegen.
2. Verknüpfte Sysmon-, PowerShell-, Defender- und Security-Ereignisse sammeln.
3. Prozesskette, Identität, Hash, Pfad und Netzwerkziele korrelieren.
4. Eindämmung nach Kritikalität und Beweissicherungsbedarf auswählen.
5. Rollback, Nachkontrolle und neue Erkennungstests dokumentieren.

Praxislabor

1. Ereigniskanäle eines Referenzservers inventarisieren und anbinden.
2. Eine Sysmon-Testkonfiguration mit Prozess-, Netzwerk- und Dateiüberwachung ausrollen.
3. Harmlose PowerShell- und Defender-Kontrollereignisse erzeugen.
4. Eine korrelierte Erkennung aus Security-, Sysmon- und PowerShell-Daten entwickeln.
5. Eine Incident-Zeitlinie erstellen und danach ein gezieltes Tuning durchführen.

Betriebliche Qualitätssicherung

• Gestufter Rollout von Sysmon- und PowerShell-Richtlinien
• Datenschutzprüfung für protokollierte Skriptinhalte
• Rollenbezogene Baselines für Server und Clients
• Regressionstest vor jeder Filteränderung