Seminar Wazuh Kompakt – SIEM, XDR und SOC-Praxis

Beschreibung

Das Kompaktformat vermittelt die wesentlichen Zusammenhänge in einer kleinen, durchgängigen Laborumgebung. Architektur, Komponenten, Agenten, Suche und Erkennung werden nicht isoliert, sondern als kompletter Daten- und Betriebsweg behandelt.

Die Tiefe ist bewusst auf sichere Grundlagen und praktische Orientierung begrenzt. Spezialthemen wie Mehrknotenbetrieb, komplexe Detection-Entwicklung oder Multi-Cloud-Integration werden in den Einzelseminaren und Intensivpfaden vertieft.

Zielgruppe

IT-Security, Systemadministration, SOC-Einstieg, technische Projektleitung und Teams vor einer Wazuh-Einführung

Voraussetzungen

Linux- und Netzwerkgrundlagen, grundlegendes Verständnis von Logdaten und Endpoint-Sicherheit

Lernziele

• Wazuh-Komponenten und Datenfluss sicher einordnen
• Eine kleine Umgebung installieren und einen Agenten anbinden
• Alarme im Dashboard triagieren und filtern
• Eine einfache benutzerdefinierte Erkennung testen
• FIM-, Schwachstellen- und Reaktionsfunktionen im Zusammenhang bewerten

Inhaltsübersicht

1. Komponenten und Datenfluss nachvollziehen
2. Installationsvoraussetzungen systematisch prüfen
3. Indexer installieren und initial absichern
4. Server und Analyse-Engine bereitstellen
5. Dashboard und administrative Zugänge einrichten
6. Ersten Agenten anbinden und Baseline erzeugen
7. Alarme reproduzierbar priorisieren
8. Eigene Regeln mit klarer Logik erstellen
9. Periodische und Echtzeitüberwachung konfigurieren
10. Funde technisch triagieren
11. Active-Response-Konzept sicher entwerfen

Seminarinhalte

1. Komponenten und Datenfluss nachvollziehen

Die Rollen von Agent, Server, Indexer und Dashboard einschließlich Analyse- und Transportpfad verstehen.

1. Ereignisse vom Endpoint bis zur Darstellung im Dashboard schrittweise verfolgen.
2. Agentenkommunikation, Enrollment, Analyse-Engine, Filebeat, Indexierung und API-Zugriff zuordnen.
3. Abhängigkeiten zwischen DNS, Zeitquelle, Zertifikaten, Ports und Dienstkonten markieren.
4. Kontrollpunkte definieren, an denen Vollständigkeit, Integrität und Latenz geprüft werden.
5. Ein Datenflussdiagramm für die geplante Umgebung erstellen.

2. Installationsvoraussetzungen systematisch prüfen

Betriebssystem, Ressourcen, Datenträger, Paketquellen, Berechtigungen und Netzwerkzugänge vor der Installation validieren.

1. Hostnamen, DNS, Zeitabgleich und administrative Zugriffe auf allen vorgesehenen Knoten testen.
2. Erforderliche Ports und Netzwerkpfade rollenbezogen erfassen und kontrolliert freigeben.
3. Vorhandene Sicherheitsrichtlinien, Proxys, noexec-Mounts und Service-Härtungen auf Konflikte prüfen.
4. Eine reproduzierbare Preflight-Ausgabe mit Sollwerten und Abweichungen erstellen.
5. Erst nach dokumentierter Freigabe mit der Komponenteninstallation beginnen.

3. Indexer installieren und initial absichern

Den Such- und Speicherbaustein reproduzierbar auf Einzel- oder Mehrknotenbasis bereitstellen.

1. Pakete und Konfiguration auf dem vorgesehenen System installieren und Dienststatus prüfen.
2. Knotennamen, Clustername, Bind-Adressen und Datenpfade konsistent konfigurieren.
3. Zertifikate und Vertrauensbeziehungen einspielen und Dateiberechtigungen kontrollieren.
4. Cluster- und Indexzustand über administrative Prüfungen verifizieren.
5. Installationswerte, Versionen und Prüfergebnisse im Betriebsprotokoll festhalten.

4. Server und Analyse-Engine bereitstellen

Den zentralen Analyse- und Managementbaustein installieren, anbinden und kontrolliert starten.

1. Serverpakete installieren und die grundlegenden Dienste sowie Konfigurationspfade prüfen.
2. Verbindung zum Indexer und den Transport über Filebeat konfigurieren.
3. Enrollment-, Agenten- und API-Dienste mit den vorgesehenen Bind-Adressen aktivieren.
4. Standardregeln, Decoder und interne Ereignisverarbeitung mit Testdaten validieren.
5. Dienstabhängigkeiten und Startreihenfolge dokumentieren.

5. Dashboard und administrative Zugänge einrichten

Die Bedien-, Such- und Administrationsoberfläche sicher mit Indexer und Server-API verbinden.

1. Dashboardpaket installieren und Bind-Adresse, Port sowie Servername festlegen.
2. Zertifikate und Zugangsdaten für Indexer und API hinterlegen.
3. Anmeldung, Mandanten- beziehungsweise Rollenwirkung und grundlegende Abfragen prüfen.
4. Eine erste gespeicherte Suche und ein Kontroll-Dashboard anlegen.
5. Zugangsweg, Verantwortlichkeit und Wiederanlaufprüfung dokumentieren.

6. Ersten Agenten anbinden und Baseline erzeugen

Die komplette Verarbeitungskette mit einem kontrollierten Referenz-Endpoint nachweisen.

1. Agentenpaket auf einem repräsentativen System installieren.
2. Manageradresse, Enrollment und eindeutige Agentenidentität konfigurieren.
3. Agentenstatus, Gruppenmitgliedschaft und zentrale Konfiguration prüfen.
4. Definierte Testereignisse erzeugen und deren Weg bis zum Dashboard verfolgen.
5. Abweichungen als Korrekturliste für den späteren Massenrollout dokumentieren.

7. Alarme reproduzierbar priorisieren

Aus Alarmstufe, Kontext und Assetkritikalität eine konsistente Erstbewertung ableiten.

1. Zeit, Agent, Regel, Quellereignis und relevante Felder vollständig erfassen.
2. Erkennung gegen erwartete Aktivität, Wartungsfenster und bekannte Änderungen prüfen.
3. Betroffene Identität, Prozess, Datei, Netzwerkziel und Umfang bestimmen.
4. Alarm als Fehlalarm, benign, verdächtig oder bestätigter Vorfall klassifizieren.
5. Entscheidung, Begründung und nächste Aktion strukturiert dokumentieren.

8. Eigene Regeln mit klarer Logik erstellen

Aus dekodierten Feldern nachvollziehbare Erkennungen mit angemessener Alarmstufe ableiten.

1. Erkennungsziel, notwendige Bedingungen und erwartete Ausnahmefälle formulieren.
2. Eindeutige Regel-ID, Gruppe, Beschreibung und Feldbedingungen festlegen.
3. Abhängigkeiten zu vorhandenen Regeln nur bewusst und dokumentiert verwenden.
4. Positive, negative und Grenzfälle mit wazuh-logtest ausführen.
5. Regel zunächst im Beobachtungsmodus bewerten und anschließend freigeben.

9. Periodische und Echtzeitüberwachung konfigurieren

Geeignete FIM-Modi kontrolliert einsetzen und deren Ressourcenwirkung messen.

1. Baseline-Scan auf einem Referenzsystem ausführen und Laufzeit dokumentieren.
2. Echtzeitüberwachung für ausgewählte, häufig relevante Pfade aktivieren.
3. Periodische Prüfung für große oder weniger dynamische Bereiche konfigurieren.
4. Gezielte Dateiänderungen, Anlage, Löschung und Umbenennung testen.
5. Last, Ereignisqualität und Wiederanlauf nach Agentenneustart kontrollieren.

10. Funde technisch triagieren

Aus einer Trefferliste priorisierte, überprüfte Maßnahmen ableiten.

1. Assetkritikalität, Exposition, Paketfunktion und Ausnutzbarkeit erfassen.
2. Installierte Version und tatsächliche Nutzung auf dem Endpoint verifizieren.
3. Mehrfachfunde und abhängige Pakete zu einem Bearbeitungsfall bündeln.
4. Priorität und Frist anhand technischer und geschäftlicher Kriterien festlegen.
5. Entscheidung mit Evidenz und Eigentümer dokumentieren.

11. Active-Response-Konzept sicher entwerfen

Automatisierte Aktionen nur für ausreichend sichere, reversible und überwachte Szenarien einsetzen.

1. Geeignete Anwendungsfälle nach Erkennungsqualität, Auswirkung und Reversibilität auswählen.
2. Befehl, Ausführungsort, Parameter, Timeout und Rücknahme festlegen.
3. Allowlist, Assetkritikalität und Wartungsfenster als Schutzgrenzen berücksichtigen.
4. Protokollierung und Alarm bei fehlgeschlagener Reaktion definieren.
5. Vier-Augen-Freigabe und stufenweisen Übergang von Simulation zu Produktion planen.

Praxislabor

1. Eine kompakte Einzelknotenumgebung vorbereiten und die zentralen Komponenten installieren.
2. Einen Windows- oder Linux-Agenten registrieren und Kontrollereignisse erzeugen.
3. Alarme mit Zeit-, Agenten- und Regelkontext triagieren.
4. Eine einfache lokale Regel mit positivem und negativem Testfall erstellen.
5. FIM-Änderung, Schwachstellenfund und eine nur simulierte Reaktionsentscheidung dokumentieren.

Betriebliche Qualitätssicherung

• Klarer Laborumfang ohne Produktionsfreigabe
• Ende-zu-Ende-Kontrollereignis nach jedem Installationsschritt
• Positive und negative Tests für die eigene Regel
• Dokumentierte Grenzen und Auswahl des passenden Vertiefungsseminars