Seminar Velociraptor Threat Hunting und Detection Engineering

Beschreibung

Dieses Seminar behandelt Velociraptor als Plattform für proaktives Threat Hunting und Detection Engineering. Statt nur auf Alarme zu warten, werden Hypothesen formuliert, geeignete Artefakte ausgewählt, Hunts kontrolliert ausgeführt und Ergebnisse kritisch validiert. Gerade hier trennt sich saubere Analyse von blindem Herumstochern.

Die Teilnehmenden arbeiten mit IOC-, TTP- und verhaltensbasierten Suchansätzen. Behandelt werden Hunt-Planung, Zielauswahl, Labels, Laufzeitkontrolle, Ergebnisinterpretation, Fehlalarme, Monitoring-Ansätze und die Rückführung von Erkenntnissen in Detection- und Response-Prozesse.

Geeignete Zielgruppe

• Threat Hunter mit Bedarf an endpointnaher Datenerhebung
• SOC-Analysten, die Alarme mit Hunts überprüfen
• Detection Engineers, die Hypothesen validieren möchten
• DFIR-Teams, die laufende Untersuchungen über mehrere Systeme ausweiten

Lernziele

• Hunting-Hypothesen präzise formulieren
• Geeignete Artefakte und Abfragen auswählen
• Hunts mit Zielgruppen, Laufzeit und Datenmenge kontrollieren
• IOC-, TTP- und verhaltensbasierte Suchen unterscheiden
• Falschpositive und Ergebnislücken methodisch bewerten
• Hunting-Erkenntnisse in Detection- und Response-Prozesse überführen

Inhaltsübersicht

• Hunting-Methodik: Hypothese, Datenquelle, Ausführung, Validierung
• Labels, Zielgruppen und Suchumfang in Velociraptor
• IOC-basierte Hunts: Hashes, Pfade, Domains, Prozessmerkmale
• TTP-basierte Hunts: Persistenz, Ausführung, laterale Bewegung und Benutzeraktivität
• Monitoring-nahe Ansätze und wiederkehrende Suchen
• Ergebnisvalidierung, False Positives und Nachsuche
• Übergabe in Detection Engineering, SOC-Runbooks und Incident Response

Praxisübungen

• Hunting-Hypothese aus einem Verdachtsfall ableiten
• Hunt-Zielgruppe mit Labels und Kriterien definieren
• IOC-basierte Suche kontrolliert ausführen
• Verhaltensbasierte Suche mit Artefakten vorbereiten
• Trefferlage bewerten und Nachsuche planen
• Detection-Verbesserung aus Hunt-Ergebnissen ableiten

Abgrenzung

Das Seminar ist kein allgemeines Angriffstechniken-Grundlagentraining. Es konzentriert sich auf die Umsetzung von Threat-Hunting- und Detection-Ideen mit Velociraptor.