Seminar Tetragon – Prozess-, Privilegien- und Credential-Monitoring

Das Seminar konzentriert sich auf sicherheitsrelevante Veränderungen von Prozessidentität und Privilegien. Prozessstarts, Elternbeziehungen, Benutzer- und Gruppenwechsel, Capabilities und Credential-bezogene Kernelvorgänge werden zu nachvollziehbaren Erkennungsszenarien verbunden.

Die Regeln werden so aufgebaut, dass legitime administrative Abläufe von verdächtigen Privilegienketten unterschieden werden können. Dazu werden Prozessherkunft, Workload-Identität, Zielidentität und erlaubte Werkzeuge gemeinsam bewertet.

Inhaltsverzeichnis

• Lernziele
• Seminarinhalte
• Schritt 1: Identitäts- und Privilegienmodell erstellen
• Schritt 2: Prozessherkunft rekonstruieren
• Schritt 3: Prozessausführung beobachten
• Schritt 4: Credential-Änderungen technisch erfassen
• Schritt 5: Capability-Nutzung bewerten
• Schritt 6: Container-Eskalationspfade untersuchen
• Schritt 7: Erkennungsregeln formulieren
• Schritt 8: Ausnahmen sicher verwalten
• Schritt 9: Alarmierung und Reaktion staffeln
• Schritt 10: Betriebsanalyse und Nachweis gestalten
• Praxisübungen
• Zielgruppe
• Voraussetzungen

Lernziele

• Prozessketten und Identitätswechsel technisch korrekt rekonstruieren
• Benutzer, Gruppen, Capabilities und Credential-Vorgänge einordnen
• privilegierte Ausführung mit Herkunfts- und Workload-Kontext bewerten
• präzise Erkennungsregeln mit kontrollierten Ausnahmen erstellen
• Alarmierung und Reaktion anhand des Risikos staffeln

Seminarinhalte

Schritt 1: Identitäts- und Privilegienmodell erstellen

Reale und effektive Benutzer- und Gruppenidentitäten werden voneinander unterschieden.

• Capabilities, Set-ID-Mechanismen, Namespaces und containerbezogene Privilegien werden eingeordnet.
• Für die eigene Umgebung werden zulässige administrative Wege dokumentiert.

Schritt 2: Prozessherkunft rekonstruieren

Elternprozess, Startprogramm, Interpreter, Argumente und Workload werden zu einer Prozesskette verbunden.

• Shells, Wrapper und kurzlebige Hilfsprozesse werden berücksichtigt.
• Vertrauenswürdige Herkunft wird nicht allein aus dem Programmnamen abgeleitet.

Schritt 3: Prozessausführung beobachten

Exec-Ereignisse werden mit Benutzer, Gruppen, Capabilities und Containerkontext erfasst.

• Administrative Werkzeuge und ungewöhnliche Ausführungspfade werden gezielt markiert.
• Grundlast und sicherheitsrelevante Abweichungen werden getrennt.

Schritt 4: Credential-Änderungen technisch erfassen

Identitäts- und Gruppenwechsel werden an geeigneten Kernel-Punkten beobachtet.

• Ausgangs- und Zielidentität sowie Rückgabewert werden für die Bewertung genutzt.
• Fehlgeschlagene und erfolgreiche Versuche werden unterschiedlich priorisiert.

Schritt 5: Capability-Nutzung bewerten

Erteilte, angeforderte und wirksame Fähigkeiten werden im Prozesskontext betrachtet.

• Besonders kritische Fähigkeiten werden nach Workload und ausführender Binärdatei bewertet.
• Erwartete Plattformprozesse werden kontrolliert von Anwendungsprozessen getrennt.

Schritt 6: Container-Eskalationspfade untersuchen

Privilegierte Container, Host-Namespace-Nutzung, Mountzugriffe und administrative Werkzeuge werden kombiniert bewertet.

• Containeridentität und Hostwirkung werden nicht gleichgesetzt.
• Szenarien mit ephemeren Debug-Containern werden gesondert behandelt.

Schritt 7: Erkennungsregeln formulieren

Ungewöhnlicher Benutzerwechsel, kritische Capability, verdächtige Prozesskette und unzulässiger Workload-Kontext werden als getrennte Regeln aufgebaut.

• Listen für erlaubte Werkzeuge und Plattformkomponenten werden zentral gepflegt.
• Regeln beginnen beobachtend und erhalten messbare Qualitätskriterien.

Schritt 8: Ausnahmen sicher verwalten

Administrative Jobs, Wartungsfenster und Notfallzugänge werden mit engem Scope erfasst.

• Ausnahmen benötigen Eigentümer, Begründung und Ablaufdatum.
• Negativtests prüfen, dass die Ausnahme nicht auf andere Prozesse oder Workloads übergreift.

Schritt 9: Alarmierung und Reaktion staffeln

Informationsereignis, Warnung, Prozesssignal und Beendigung werden nach Vertrauensgrad gewählt.

• Kritische Identitätswechsel erhalten zusätzlichen Prozess- und Netzwerk-Kontext.
• Reaktionsregeln werden mit Rollback und Wiederherstellung getestet.

Schritt 10: Betriebsanalyse und Nachweis gestalten

Prozesskette, Identitätswechsel, Policy-Treffer und Systemwirkung werden in einer Timeline zusammengeführt.

• Fehlalarme und fehlende Treffer führen zu nachvollziehbaren Regeländerungen.
• Kennzahlen für Abdeckung, Ausnahmen und hochkritische Ereignisse werden definiert.

Praxisübungen

1. Prozesskette mit Benutzer- und Gruppeninformationen rekonstruieren
2. Capability-Nutzung eines Testprozesses beobachten und bewerten
3. Regel für einen unerwarteten Identitätswechsel erstellen
4. Ausnahme für einen autorisierten Wartungsjob eng begrenzen
5. Alarm- und Reaktionsstufen für einen Privilegienfall festlegen

Zielgruppe

Security Engineers, SOC und Incident Response, Linux- und Kubernetes-Administratoren, Plattformbetrieb und DevSecOps.

Voraussetzungen

Gute Linux-Prozesskenntnisse, Grundverständnis von Benutzerrechten und Capabilities sowie Grundkenntnisse zu Tetragon-Policies.