Seminar Tenzir – Threat Hunting, historische Analyse und Visualisierung

Threat Hunting ist keine Sammlung beliebiger Suchabfragen, sondern eine überprüfbare Untersuchung mit klaren Annahmen, Alternativen und Belegen. Im Mittelpunkt stehen einen nachvollziehbaren Hunting-Prozess von der Hypothese über Datenprüfung und TQL-Analyse bis zur Visualisierung und Überführung in dauerhafte Detections.

Seminarziel

Nach dem Seminar können Hunting-Hypothesen in effiziente TQL-Analysen übersetzt, Ergebnisse bewertet und in Detections oder Qualitätsmaßnahmen überführt werden.

Inhaltsübersicht

1. Kapitel 1: Hypothese und Untersuchungsplan
2. Kapitel 2: Live- und historische Datenbasis
3. Kapitel 3: TQL-Huntingtechniken
4. Kapitel 4: Visualisierung und Bewertung
5. Kapitel 5: Hunting-Ergebnisse operationalisieren
6. Praxisübungen
7. Zielgruppe und Voraussetzungen

Kapitel 1: Hypothese und Untersuchungsplan

1. Schritt 1: Angriffsannahme, erwartete Spuren, betroffene Assets und relevanten Zeitraum formulieren.
2. Schritt 2: Notwendige Datenquellen, OCSF-Klassen, Contexts und detection-kritische Felder bestimmen.
3. Schritt 3: Alternative Erklärungen und Ausschlusskriterien vor der Analyse festlegen.
4. Schritt 4: Ergebnisform, Dokumentation und Eskalationsweg definieren.

Kapitel 2: Live- und historische Datenbasis

1. Schritt 1: Live-Ströme, Edge Storage und Data-Lake-Bestände passend zur Fragestellung auswählen.
2. Schritt 2: Zeitbezug, Zeitzonen, Datenlücken, Duplikate und Schemaabweichungen vor der Interpretation prüfen.
3. Schritt 3: Unterschiedliche Quellen über OCSF oder kontrollierte Normalisierung vergleichbar machen.
4. Schritt 4: Context-Alter und Datenherkunft für angereicherte Aussagen berücksichtigen.

Kapitel 3: TQL-Huntingtechniken

1. Schritt 1: Filter schrittweise von breit zu spezifisch entwickeln und Zwischenergebnisse prüfen.
2. Schritt 2: Zeitfenster, Gruppierungen, Aggregationen, Häufigkeiten und seltene Werte für Anomaliefragen einsetzen.
3. Schritt 3: Benutzer-, Host-, Prozess-, Datei- und Netzwerkbeziehungen über gemeinsame Schlüssel untersuchen.
4. Schritt 4: Abfragen auf große Zeiträume und Datenmengen hinsichtlich Kosten und Laufzeit optimieren.

Kapitel 4: Visualisierung und Bewertung

1. Schritt 1: Tabellen, Kennzahlen, Zeitreihen und geeignete Charts für die jeweilige Hypothese auswählen.
2. Schritt 2: Treffer nach Kritikalität, Vertrauen, Datenqualität und alternativen Erklärungen bewerten.
3. Schritt 3: Belege, Unsicherheiten und nicht verfügbare Daten transparent dokumentieren.
4. Schritt 4: Ergebnisse für Analysten, Incident Response und technische Eigentümer aufbereiten.

Kapitel 5: Hunting-Ergebnisse operationalisieren

1. Schritt 1: Wiederkehrende Hunts als parametrische Abfragen oder geplante Pipelines vorbereiten.
2. Schritt 2: Belastbare Muster in Sigma- oder TQL-basierte Echtzeiterkennungen überführen.
3. Schritt 3: Fehlende Felder, Contexts und Qualitätsprobleme als konkrete Verbesserungsaufträge erfassen.
4. Schritt 4: Hunt-Dokumentation, Abfragen, Testdaten und Entscheidungen versioniert ablegen.

Praxisübungen

1. Übung 1: Vollständigen Hypothesen-getriebenen Hunt durchführen.
2. Übung 2: Mehrere OCSF-Ereignisklassen gemeinsam analysieren.
3. Übung 3: Visualisierung mit dokumentierter Interpretation erstellen.
4. Übung 4: Bestätigtes Muster in Detection-Idee überführen.

Zielgruppe

Threat Hunter, SOC-Analysten, Detection Engineers, Incident-Response-Teams und Security Data Analysts.

Voraussetzungen

TQL-Grundkenntnisse, Erfahrung mit Security-Ereignissen und grundlegendes Verständnis von Angriffstechniken.