Seminar Exein Runtime: Grundlagen, Architektur und Plattformbetrieb

Einordnung: Das Grundlagenseminar erklärt die Architektur aus Runtime Agent und zentraler Plattform und führt in Installation, Gerätezuteilung, Ereignisverarbeitung, Richtlinien und Alarmbearbeitung ein. Die Beziehung zum offenen Pulsar-Framework wird technisch eingeordnet, ohne bereits tief in Modul- oder Regelentwicklung einzusteigen.

Inhaltsübersicht

1. Runtime Security einordnen
2. Architektur von Agent und Plattform verstehen
3. Zielgerät vorbereiten und anbinden
4. Ereignisse und Telemetrie untersuchen
5. Grundrichtlinien anwenden
6. Alarmbearbeitung und Betrieb
7. Projektplanung und Vertiefung

Zielgruppe

Embedded- und Plattformentwickler, Security-Analysten, Systemadministratoren, Product-Security-Teams, technische Projektleitungen und neue Runtime-Betriebsverantwortliche.

Lernziele

• Agent, Plattform, Datenfluss und Richtlinienmodell verständlich erklären.
• Ein Gerät kontrolliert anbinden und seinen Betriebszustand prüfen.
• Prozess-, Datei- und Netzwerkereignisse fachlich interpretieren.
• Grundrichtlinien zuweisen und Alarmmeldungen nachvollziehbar bearbeiten.
• Eignung, Aufwand und nächste technische Vertiefung für ein Projekt bestimmen.

Seminarinhalte

Runtime Security einordnen

1. Schritt 1: Statische Firmwareanalyse, Logging, EDR und eingebettete Runtime-Security voneinander abgrenzen.
2. Schritt 2: Bekannte und unbekannte Verhaltensabweichungen als unterschiedliche Erkennungsprobleme verstehen.
3. Schritt 3: Schutzwirkung auf dem Gerät und zentrale Flottenübersicht als zwei Ebenen des Systems einordnen.

Architektur von Agent und Plattform verstehen

1. Schritt 1: Ereigniserfassung, lokale Bewertung, Alarmübermittlung und zentrale Analyse als Datenfluss darstellen.
2. Schritt 2: Pulsar als offene technologische Grundlage und Runtime als integrierte Produktlösung unterscheiden.
3. Schritt 3: Vertrauensgrenzen, Geräteidentität, Konfiguration und Richtlinienverteilung auf Architekturebene erfassen.

Zielgerät vorbereiten und anbinden

1. Schritt 1: Kernel-, Ressourcen- und Netzwerkvoraussetzungen eines Schulungsgeräts prüfen.
2. Schritt 2: Agent und Grundkonfiguration kontrolliert bereitstellen und starten.
3. Schritt 3: Gerät registrieren, einer Gruppe zuordnen und den gesunden Betriebszustand verifizieren.

Ereignisse und Telemetrie untersuchen

1. Schritt 1: Prozessstarts, Dateizugriffe und Netzwerkaktivität anhand repräsentativer Geräteabläufe beobachten.
2. Schritt 2: Ereignisfelder, Prozesskontext und zeitliche Reihenfolge lesen.
3. Schritt 3: Normale Produktfunktion von ungewöhnlichem, aber legitimen Wartungsverhalten unterscheiden.

Grundrichtlinien anwenden

1. Schritt 1: Eine einfache Beobachtungsrichtlinie auswählen und einer Testgruppe zuweisen.
2. Schritt 2: Einen kontrollierten Richtlinienverstoß auslösen und die Alarmkette nachvollziehen.
3. Schritt 3: Bedingung oder Ausnahme so anpassen, dass der legitime Vergleichsfall erhalten bleibt.

Alarmbearbeitung und Betrieb

1. Schritt 1: Alarme nach Schweregrad, Gerätefunktion und Kontext priorisieren.
2. Schritt 2: Erstprüfung, Zuweisung, Dokumentation und Abschluss als wiederholbaren Ablauf definieren.
3. Schritt 3: Agentenstand, Richtlinienversion und Verbindungszustand als Betriebskennzahlen überwachen.

Projektplanung und Vertiefung

1. Schritt 1: Pilotgeräte, Erfolgskriterien und technische Risiken auswählen.
2. Schritt 2: Rollen für Integration, Richtlinien, Betrieb und Incident Response bestimmen.
3. Schritt 3: Passende Folgeseminare für Integration, Detection Engineering oder Fleet Operations ableiten.

Praxisübungen

• Ein Schulungsgerät wird angebunden, gruppiert und auf gesunden Agentenbetrieb geprüft.
• Normale und auffällige Prozess-, Datei- und Netzwerkereignisse werden verglichen.
• Eine Grundrichtlinie wird zugewiesen, ausgelöst und anhand des Alarmkontexts bewertet.

Arbeitsweise

Architekturvermittlung, geführte Plattformdemonstrationen und grundlegende Geräte- und Alarmübungen wechseln einander ab.

Voraussetzungen

Linux- und Netzwerkgrundkenntnisse. Erfahrung mit Embedded-Systemen oder Security Monitoring ist hilfreich.