Seminar Falco – Plugins und zusätzliche Event-Quellen

Das Seminar behandelt Auswahl, Installation, Konfiguration und Betrieb vorhandener Falco-Plugins für zusätzliche Ereignisquellen sowie die gemeinsame Nutzung mit Runtime-Events und Regelpaketen. Der Aufbau verbindet fachliche Einordnung, nachvollziehbare Konfigurationsschritte, kontrollierte Tests und dokumentierte Betriebsentscheidungen.

Inhaltsübersicht

• Zielsetzung
• Lernziele
• Seminarinhalte
• Praxisübungen
• Zielgruppe und Voraussetzungen
• Didaktik und Arbeitsweise

Zielsetzung

Das Seminar schafft einen belastbaren Arbeitsablauf im Themenbereich „Plugins und zusätzliche Event-Quellen“. Jede Änderung wird vorbereitet, schrittweise umgesetzt, technisch geprüft und so dokumentiert, dass sie in Test- und Produktionsumgebungen wiederholbar bleibt.

Lernziele

• Pluginmodell und Auswahl fachlich einordnen, praktisch anwenden und mit eindeutigen Prüfpunkten absichern.
• Installation und Artefakte fachlich einordnen, praktisch anwenden und mit eindeutigen Prüfpunkten absichern.
• Quellkonfiguration fachlich einordnen, praktisch anwenden und mit eindeutigen Prüfpunkten absichern.
• Felder und Regeln fachlich einordnen, praktisch anwenden und mit eindeutigen Prüfpunkten absichern.
• Mehrere Quellen betreiben fachlich einordnen, praktisch anwenden und mit eindeutigen Prüfpunkten absichern.
• Fehlerdiagnose und Lifecycle fachlich einordnen, praktisch anwenden und mit eindeutigen Prüfpunkten absichern.

Seminarinhalte

1. Pluginmodell und Auswahl

1. Schritt 1: Source- und Extractor-Funktionen sowie unterstützte Event-Quellen unterscheiden.
2. Schritt 2: Plugin nach Datenbedarf, Reife, Kompatibilität, Berechtigungen und Betriebsaufwand bewerten.
3. Schritt 3: Quellverantwortung, Datenklassifikation und Abnahmekriterien vor der Installation festlegen.

2. Installation und Artefakte

1. Schritt 1: Plugin und zugehörige Regelpakete mit eindeutiger Version beschaffen und prüfen.
2. Schritt 2: Bibliothek, Metadaten und Abhängigkeiten in den vorgesehenen Pfaden bereitstellen.
3. Schritt 3: Kompatibilität mit Falco-Version, Architektur und Konfiguration vor dem Start validieren.

3. Quellkonfiguration

1. Schritt 1: Endpunkt, Zugang, Filter, Cursor, Polling und Zeitverhalten der Quelle konfigurieren.
2. Schritt 2: Secrets minimal berechtigen und außerhalb normaler Konfigurationsdateien verwalten.
3. Schritt 3: Verbindung und Ereignisaufnahme mit einem kontrollierten Testereignis nachweisen.

4. Felder und Regeln

1. Schritt 1: Verfügbare Pluginfelder erkunden und Typen sowie optionale Werte prüfen.
2. Schritt 2: Regeln mit sauberem Event-Source-Scoping und wiederverwendbaren Makros erstellen.
3. Schritt 3: Meldungen um quellspezifischen Kontext und Reaktionshinweise ergänzen.

5. Mehrere Quellen betreiben

1. Schritt 1: Runtime-, Audit- und Cloud-Ereignisse in einer konsistenten Benennungsstruktur zusammenführen.
2. Schritt 2: Ressourcen, Ausgaben und Prioritäten nach Quelle getrennt überwachen.
3. Schritt 3: Fehlzuordnung und unerwartete Regelwirkung durch Quell-Negativtests verhindern.

6. Fehlerdiagnose und Lifecycle

1. Schritt 1: Ladefehler, Authentifizierungsprobleme, Parserfehler und Eventstillstand systematisch eingrenzen.
2. Schritt 2: Plugin- und Regelupdates in einer Kompatibilitätsmatrix testen.
3. Schritt 3: Rollback, Cache-Bereinigung und Wiederanlauf als dokumentiertes Verfahren durchführen.

Praxisübungen

1. Übung 1: Ausgangslage für „Pluginmodell und Auswahl“ erfassen, Arbeitsauftrag durchführen, erwartetes Ergebnis prüfen und Abweichungen protokollieren.
2. Übung 2: Ausgangslage für „Felder und Regeln“ erfassen, Arbeitsauftrag durchführen, erwartetes Ergebnis prüfen und Abweichungen protokollieren.
3. Übung 3: Ausgangslage für „Fehlerdiagnose und Lifecycle“ erfassen, Arbeitsauftrag durchführen, erwartetes Ergebnis prüfen und Abweichungen protokollieren.
4. Übung 4: einen integrierten Fall vom vorbereiteten Ausgangszustand bis zur technischen Abnahme durchführen.

Zielgruppe und Voraussetzungen

Zielgruppe: Falco-Administration, Security Engineering, SOC, Plattformbetrieb und Integrationsverantwortung.

Voraussetzungen: Falco-Grundkenntnisse sowie Erfahrung mit Linux, APIs, Ereignisdaten und sicherer Geheimnisverwaltung.

Didaktik und Arbeitsweise

Kurze Fachimpulse werden unmittelbar durch Demonstrationen, strukturierte Arbeitsschritte, Praxisübungen und kontrollierte Fehlerfälle vertieft. Jede Übung verwendet einen definierten Ausgangszustand, ein erwartetes Ergebnis und einen Prüfpfad. Konfigurationsstände, Messwerte und Entscheidungen werden nachvollziehbar festgehalten.