Seminar Falco

Falco überwacht sicherheitsrelevantes Verhalten zur Laufzeit auf Linux-Systemen, in Containern und in Kubernetes-Umgebungen. Das Seminarprogramm trennt Einstieg, Plattformbetrieb, Regelentwicklung, Audit-Quellen, Integration und Entwicklung, damit jede Rolle die erforderliche Tiefe erhält.

Inhaltsübersicht

• Plattform und Einsatzfelder
• Seminarportfolio
• Empfohlene Lernreihenfolge
• Lernpfade nach Rolle
• Kompakt- und Intensivformate
• Auswahl in vier Schritten

Plattform und Einsatzfelder

Falco verarbeitet Ereignisse aus dem Betriebssystem und aus zusätzlichen Quellen. Regeln bewerten beobachtetes Verhalten und erzeugen strukturierte Sicherheitsmeldungen. Typische Einsatzfelder sind Laufzeiterkennung auf Hosts und Containerknoten, Kubernetes-Kontext, API-Audit, Cloud-Audit, zentrale Alarmweiterleitung und die Einbindung in SOC-Prozesse.

Seminarportfolio

Die Einzelseminare sind modular aufgebaut. Ein- und zweitägige Formate behandeln klar abgegrenzte Aufgaben. Drei- und viertägige Formate decken Themen mit höherem Entwicklungs-, Test- oder Integrationsanteil ab. Das Kompaktformat schafft in drei Tagen eine belastbare Arbeitsgrundlage. Die drei Intensivformate fassen zusammen sämtliche Einzelseminare in den Bereichen Plattformbetrieb, Detection und Erweiterung zusammen.

• Einstieg und Plattform: Architektur, Installation, Treiber, Kubernetes, Metadaten, Betrieb und Upgrade.
• Regeln und Detection: Regelsyntax, Exceptions, Detection Engineering, GitOps und Qualitätssteuerung.
• Audit und Erweiterung: Kubernetes Audit, AWS CloudTrail, Plugins und Plugin-Entwicklung.
• SOC und Governance: Falcosidekick, SIEM, Incident Response, Hardening und Multi-Cluster-Betrieb.

Empfohlene Lernreihenfolge

1. Falco – Architektur und Grundlagen
2. Falco – Installation auf Linux und in Containern
3. Falco – Treiber, Modern eBPF und Troubleshooting
4. Falco – Kubernetes mit Operator und Helm
5. Falco – Kubernetes-Metadaten und Runtime-Kontext
6. Falco – Regeln entwickeln: Syntax, Felder, Makros und Listen
7. Falco – Regeln optimieren: Exceptions, Overrides und Noise Reduction
8. Falco – Detection Engineering und Regelqualität
9. Falco – GitOps, CI/CD und Artefaktmanagement
10. Falco – SIEM, Falcosidekick und Alarmweiterleitung
11. Falco – Incident Response und SOC-Prozesse
12. Falco – Betrieb, Monitoring und Performance-Tuning
13. Falco – Security Hardening und Least-Privilege-Betrieb
14. Falco – Multi-Cluster-Architektur und skalierbarer Betrieb
15. Falco – Upgrade, Migration und sichere Wartung

Die Spezialseminare zu Kubernetes Audit, AWS CloudTrail sowie vorhandenen Plugins folgen nach den Regelgrundlagen. Die Plugin-Entwicklung mit Go setzt zusätzlich sichere Go-Kenntnisse voraus. Diese Spezialisierungen können nach dem achten Schritt parallel gewählt werden.

Lernpfade nach Rolle

• Plattformbetrieb: Architektur, Installation, Treiber, Kubernetes, Betrieb, Hardening, Multi-Cluster und Upgrade.
• Detection Engineering: Architektur, Regelentwicklung, Regeloptimierung, Detection Engineering, GitOps und SIEM-Integration.
• SOC und Incident Response: Architektur, Regelgrundlagen, SIEM-Weiterleitung, Incident Response und Audit-Quellen.
• Integration und Entwicklung: Architektur, Plugins, Kubernetes Audit oder CloudTrail, anschließend Plugin-Entwicklung mit Go.

Kompakt- und Intensivformate

Das dreitägige Kompaktseminar eignet sich für Teams, die schnell arbeitsfähig werden müssen und anschließend gezielt vertiefen. Das Intensivseminar Plattformbetrieb und Kubernetes bündelt Installation, Clusterbetrieb, Hardening, Monitoring und Wartung. Das Intensivseminar Detection Engineering und SOC-Integration verbindet Regeln, Qualität, GitOps, SIEM und Reaktion. Das Intensivseminar Plugins, Audit-Quellen und Erweiterung verbindet Kubernetes Audit, CloudTrail, Metadaten, Pluginbetrieb und Go-Entwicklung. Die drei Intensivformate decken gemeinsam das vollständige Portfolio ab; jedes Format bleibt auf fünf Tage begrenzt.

Auswahl in vier Schritten

1. Schritt 1: Rolle, vorhandenes Falco-Wissen und Zielplattform erfassen.
2. Schritt 2: Einzelthema, Kompaktpfad oder passendes Intensivformat auswählen.
3. Schritt 3: Voraussetzungen für Linux, Kubernetes, Cloud, SIEM oder Go gegen die Zielgruppe prüfen.
4. Schritt 4: Aufbaukurse erst nach erfolgreichem Grundlagen- und Praxistransfer einplanen.