Seminar Zeek Scripting und Event Engine

Das Seminar vermittelt die Zeek-Skriptsprache für eigene Analyse- und Erkennungslogik. Es geht nicht um Programmieren um des Programmierens willen, sondern um belastbare Erweiterungen der Netzwerkbeobachtung.

Inhaltsverzeichnis

1. Event-Modell
2. Sprachelemente
3. State und Datenstrukturen
4. Logging-Erweiterungen
5. Analyse- und Detection-Logik

Zielgruppe

Security Engineers, Detection Engineers, SOC-Automatisierer und technische Analysten

Voraussetzungen

Zeek-Grundlagen, Linux, TCP/IP und Grundkenntnisse in mindestens einer Skript- oder Programmiersprache

Schrittweise Seminarinhalte

1. Event-Modell

• Zeek-Events als Reaktion auf Netzwerkaktivität verstehen
• Event-Handler schreiben und laden
• Reihenfolge, Kontext und Grenzen von Events beachten

2. Sprachelemente

• Basistypen, Records, Sets, Tables und Vectors einsetzen
• Funktionen, Module und Namensräume strukturieren
• Redefinitions und Optionen kontrolliert verwenden

3. State und Datenstrukturen

• Zustand über Verbindungen, Hosts oder Zeitfenster halten
• Ablaufzeiten und Speicherverbrauch berücksichtigen
• Fehler durch unkontrolliertes Wachstum vermeiden

4. Logging-Erweiterungen

• Eigene Felder zu vorhandenen Logs ergänzen
• Eigene Logstreams definieren
• Ausgaben so gestalten, dass SIEM und Analysten sie verwerten können

5. Analyse- und Detection-Logik

• Einfache Heuristiken aus Events entwickeln
• Notices aus Bedingungen erzeugen
• Skripte mit PCAPs testen und Debugging-Ausgaben reduzieren

Praxisübungen

• Schreiben eines ersten Event-Handlers
• Erweiterung eines Logs um zusätzlichen Kontext
• Entwicklung einer kleinen Erkennung mit Test-PCAP

Methodischer Schwerpunkt

Die Übungen bauen schrittweise aufeinander auf. Erst Events verstehen, dann Daten halten, dann Erkennung bauen.