Seminar Zeek Threat Hunting und Incident Response

Das Seminar nutzt Zeek-Daten für hypothesenbasiertes Hunting und strukturierte Incident Response. Im Fokus stehen nachvollziehbare Suchpfade, Logkorrelation und die Trennung von Verdacht, Befund und Beleg.

Inhaltsverzeichnis

1. Hunting-Modell
2. DNS- und TLS-Hunting
3. HTTP- und Dateiaktivitäten
4. Lateral Movement
5. Fallarbeit

Zielgruppe

Threat Hunter, SOC-Analysten, Incident Responder und Security Engineers

Voraussetzungen

Kenntnisse in Netzwerksicherheit, Zeek-Logs oder vergleichbaren NSM-Daten; Grundverständnis aktueller Angriffstechniken

Schrittweise Seminarinhalte

1. Hunting-Modell

• Hypothesen aus Angriffsverhalten und Umgebung ableiten
• Suchpfade mit verfügbaren Zeek-Logs abgleichen
• Erwartetes Verhalten und Anomalien sauber trennen

2. DNS- und TLS-Hunting

• Seltene Domains, NXDOMAIN-Muster und ungewöhnliche Auflösungen untersuchen
• SNI, Zertifikate, JA3/JA3S und TLS-Versionen bewerten
• C2-Indizien ohne vorschnelle Schlussfolgerung prüfen

3. HTTP- und Dateiaktivitäten

• Ungewöhnliche Methoden, User Agents, Pfade und Statuscodes analysieren
• Dateitransfers, MIME-Typen und Hashes korrelieren
• Download- und Staging-Muster erkennen

4. Lateral Movement

• SSH-, SMB-, RDP- und interne Kommunikationsmuster prüfen
• Hostrollen und Kommunikationsrichtung aus Zeek-Daten ableiten
• Bewegung im Netz von normalem Admin-Verkehr unterscheiden

5. Fallarbeit

• Mehrstufige Szenarien anhand von Zeitlinien untersuchen
• Befunde für Triage und Eskalation dokumentieren
• Hunting-Erkenntnisse in Detection-Anforderungen überführen

Praxisübungen

• Hunting nach Beaconing-Mustern
• Untersuchung eines mehrstufigen Vorfalls mit DNS, TLS und HTTP
• Erstellung einer kompakten Incident-Response-Fallnotiz

Methodischer Schwerpunkt

Das Seminar arbeitet mit Fällen. Einzelne Logzeilen sind nur Puzzleteile; die Musik spielt in der Korrelation.