Seminar Threat Hunting & Analytics: Event Search, DQL, Dashboards

Inhaltsverzeichnis

• Abstract
• Zielgruppe
• Voraussetzungen
• Lernziele
• Inhalte und Ablauf
• Praxis

Abstract

Das Seminar verbindet Analysefähigkeiten in SIEMonster mit methodischem Threat Hunting. Behandelt werden Event Search, DQL-basierte Filterung, Visualisierungen und Dashboards sowie Vorgehensmodelle für hypothesis-driven Hunting. Ergebnis sind wiederverwendbare Hunting-Boards, gespeicherte Suchbausteine und ein Prozess, der Hunts in robuste Detektionen überführt.

Zielgruppe

Threat Hunter, SOC-Analysten (Level SIEMonster Implementierung: Deployment, Architektur, Hybrid-Anbindung/SIEMonster Log-Onboarding & Ingestion: Hydra, Syslog, API-Quellen), Detection Engineers (Analyseanteil), Incident-Responder.

Voraussetzungen

SIEMonster Essentials: Plattform, UI, SOC-Grundlagen empfohlen. Grundkenntnisse Angriffswege (Credential Abuse, Lateral Movement, Exfiltration).

Lernziele

• DQL-gestützte Analysen effizient durchführen
• Visualisierungen und Dashboards für Hunting bauen
• Hunting-Ergebnisse in Detektionen und Playbooks überführen

Inhalte und Ablauf

• Tag 1: Event Search & DQL
  • Feldmodell: Felder, Datentypen, Top Values
  • Filterdesign: positiv/negativ, Exists-Filter, Zeitfenster
  • DQL-Grundmuster: Kombinationen, Klammerung, Präzision
  • Saved Searches: Bausteine für wiederholbare Analysen
  • Performance- und Datenqualitätsindikatoren
• Tag 2: Visualisieren und Dashboarding
  • Visualisierungstypen und Aggregationen
  • Aufbau operativer Dashboards (SOC, Use-Case, Risiko)
  • Multi-Tenant-Boards und Rollenansichten
  • Drill-down: Von KPI zu Rohdaten
  • Export-/Sharing-Strategie innerhalb der Organisation
• Tag 3: Hunting-Methodik
  • Hypothesen und Datenanforderungen
  • Hunt-Pfade: Auth, Endpoint, Network, Cloud
  • Evidence Capture: Queries, Screens, Artefakte, Timestamps
  • Übergang: Hunt → Detection Rule → IR-Kriterien
  • Metrics: Coverage, Hit-Rate, Dwell-Time Einfluss

Praxis

• Query-Bibliothek erstellen
  • Basisquery für Authentifizierung erstellen
  • Rauschen reduzieren (Service-Accounts, bekannte Admins)
  • Zeitfenster anpassen und Histogramm interpretieren
  • Saved Search speichern
  • Wiederverwendung für Dashboard vorbereiten
• Hunting-Dashboard
  • Visualisierung für Anmeldeanomalien bauen
  • Split nach User/Host/IP ergänzen
  • Drill-down Link zur Rohdatensuche festlegen
  • Dashboard als „Hunt Pack“ speichern
  • Dokumentation der Fragestellungen hinzufügen
• Hunt zu Detektion
  • Hunt-Ergebnis definieren (Trigger-Logik)
  • Schwellwerte bestimmen
  • Regelentwurf skizzieren (Inputs, Tags, Observables)
  • IR-Kriterien festlegen
  • Übergabe an Detection Engineering vorbereiten