Seminar Falco – AWS CloudTrail und Cloud-Audit-Überwachung

Das Seminar erschließt Cloud-Audit-Ereignisse als zusätzliche Falco-Quelle und entwickelt belastbare Erkennungen für Identitätsmissbrauch, riskante Verwaltungsaktionen und auffällige Änderungen in AWS-Umgebungen. Der Aufbau verbindet fachliche Einordnung, nachvollziehbare Konfigurationsschritte, kontrollierte Tests und dokumentierte Betriebsentscheidungen.

Inhaltsübersicht

• Zielsetzung
• Lernziele
• Seminarinhalte
• Praxisübungen
• Zielgruppe und Voraussetzungen
• Didaktik und Arbeitsweise

Zielsetzung

Das Seminar schafft einen belastbaren Arbeitsablauf im Themenbereich „AWS CloudTrail und Cloud-Audit-Überwachung“. Jede Änderung wird vorbereitet, schrittweise umgesetzt, technisch geprüft und so dokumentiert, dass sie in Test- und Produktionsumgebungen wiederholbar bleibt.

Lernziele

• CloudTrail als Ereignisquelle fachlich einordnen, praktisch anwenden und mit eindeutigen Prüfpunkten absichern.
• Plugin-Konfiguration und Berechtigungen fachlich einordnen, praktisch anwenden und mit eindeutigen Prüfpunkten absichern.
• Feldmodell und Normalisierung fachlich einordnen, praktisch anwenden und mit eindeutigen Prüfpunkten absichern.
• Detection Engineering für AWS fachlich einordnen, praktisch anwenden und mit eindeutigen Prüfpunkten absichern.
• Tests und Qualitätssicherung fachlich einordnen, praktisch anwenden und mit eindeutigen Prüfpunkten absichern.
• Alarmierung und Betrieb fachlich einordnen, praktisch anwenden und mit eindeutigen Prüfpunkten absichern.

Seminarinhalte

1. CloudTrail als Ereignisquelle

1. Schritt 1: Management- und Data-Events sowie regionale und organisationsweite Trails fachlich einordnen.
2. Schritt 2: Aufnahmeweg, Pufferung und Verarbeitung der Audit-Ereignisse als Datenfluss modellieren.
3. Schritt 3: Lücken, Verzögerungen und Duplikate als prüfbare Betriebsrisiken erfassen.

2. Plugin-Konfiguration und Berechtigungen

1. Schritt 1: Zugriffsmodell mit minimalen Leserechten und kontrollierter Geheimnisbereitstellung planen.
2. Schritt 2: Plugin-Parameter, Warteschlangen- oder Dateiquelle und Startreihenfolge konfigurieren.
3. Schritt 3: Verbindung, Ereignisrate und Parserfehler mit definierten Prüfschritten validieren.

3. Feldmodell und Normalisierung

1. Schritt 1: Akteur, API-Aktion, Ressource, Region, Quelladresse und Fehlercode aus Ereignissen extrahieren.
2. Schritt 2: Unterschiedliche Ereignisformen in wiederverwendbare Makros und Listen überführen.
3. Schritt 3: Fehlende oder mehrdeutige Felder durch robuste Bedingungen absichern.

4. Detection Engineering für AWS

1. Schritt 1: Erkennungen für IAM-Änderungen, Logging-Manipulation und auffällige Schlüsselaktivitäten entwickeln.
2. Schritt 2: Legitime Automatisierung durch kontextbezogene Ausnahmen und Scoping berücksichtigen.
3. Schritt 3: Priorität, Nachricht und Runbook-Hinweis an Schadenspotenzial und Reaktionsbedarf ausrichten.

5. Tests und Qualitätssicherung

1. Schritt 1: Repräsentative CloudTrail-Beispiele als Positiv- und Negativtests vorbereiten.
2. Schritt 2: Regeln gegen Normalbetrieb, Administrationsfenster und simulierte Angriffsmuster prüfen.
3. Schritt 3: Trefferquote, Rauschen und nicht abgedeckte Varianten in einer Testmatrix dokumentieren.

6. Alarmierung und Betrieb

1. Schritt 1: Cloud-Audit-Meldungen um Konto, Region, Identität und Ressource für das SOC anreichern.
2. Schritt 2: Weiterleitung, Deduplizierung und Eskalation anhand von Prioritäten definieren.
3. Schritt 3: Gesundheitskontrollen für Aufnahmeverzug, Fehlerquote und Ereignisstillstand festlegen.

Praxisübungen

1. Übung 1: Ausgangslage für „CloudTrail als Ereignisquelle“ erfassen, Arbeitsauftrag durchführen, erwartetes Ergebnis prüfen und Abweichungen protokollieren.
2. Übung 2: Ausgangslage für „Detection Engineering für AWS“ erfassen, Arbeitsauftrag durchführen, erwartetes Ergebnis prüfen und Abweichungen protokollieren.
3. Übung 3: Ausgangslage für „Alarmierung und Betrieb“ erfassen, Arbeitsauftrag durchführen, erwartetes Ergebnis prüfen und Abweichungen protokollieren.
4. Übung 4: einen integrierten Fall vom vorbereiteten Ausgangszustand bis zur technischen Abnahme durchführen.

Zielgruppe und Voraussetzungen

Zielgruppe: Cloud Security, SOC, Detection Engineering, AWS-Plattformbetrieb, DevSecOps und Incident Response.

Voraussetzungen: Sichere AWS-Grundkenntnisse, Verständnis von CloudTrail-Ereignissen und Falco-Regelgrundlagen.

Didaktik und Arbeitsweise

Kurze Fachimpulse werden unmittelbar durch Demonstrationen, strukturierte Arbeitsschritte, Praxisübungen und kontrollierte Fehlerfälle vertieft. Jede Übung verwendet einen definierten Ausgangszustand, ein erwartetes Ergebnis und einen Prüfpfad. Konfigurationsstände, Messwerte und Entscheidungen werden nachvollziehbar festgehalten.