Logs und Telemetrie verwenden

Ein Hunt ist nur so gut wie die Daten, auf denen er basiert. Logs und Telemetriedaten bilden die Beweisspur, die Angreifer in den Systemen hinterlassen.

Diese Lektion behandelt die wichtigsten Datenquellen und zeigt, wie Sie sie übergreifend untersuchen.

Endpoint-Daten sind die umfangreichste Quelle. Tools wie EDR und Sysmon erfassen Prozesserstellungen, Befehlszeilen, Dateischreibvorgänge und Änderungen an der Registry.

Die meisten modernen Angriffe berühren einen Endpoint. Deshalb beginnen viele Hunts hier.

Netzwerkdaten zeigen, mit welchen Systemen Hosts Verbindungen herstellen. Firewall-, Proxy- und DNS-Protokolle sowie Zeek-Datensätze machen Beaconing, Datenexfiltration und laterale Bewegungen sichtbar.

Sie ergänzen Endpoint-Daten um die Perspektive der Kommunikation.

Authentifizierungsprotokolle zeigen, wie Konten verwendet werden. Achten Sie auf Anmeldungen zu ungewöhnlichen Uhrzeiten, von neuen Standorten oder auf Muster aus fehlgeschlagenen und anschließend erfolgreichen Anmeldungen.

Windows-Ereignis-IDs und Verzeichnisprotokolle sind dabei zentral.

Moderne Umgebungen erzeugen Cloud-Protokolle: API-Aktivitäten, Identitätsanmeldungen und Konfigurationsänderungen.

Suchen Sie nach neuen Zugriffsschlüsseln, deaktivierter Protokollierung oder ungewöhnlichen administrativen API-Aufrufen.

Ein SIEM sammelt Protokolle aus der gesamten Umgebung an einem durchsuchbaren Ort. Eine quellenübergreifende Untersuchung ist nur praktikabel, wenn die Daten zentralisiert sind.

Splunk, Elastic und Sentinel sind verbreitete Plattformen.

Unterschiedliche Quellen benennen Felder unterschiedlich. Durch Normalisierung werden sie einem gemeinsamen Schema zugeordnet, sodass eine Abfrage viele Quellen abdecken kann.

Ohne Normalisierung müssen Sie für jedes Protokollformat eine neue Abfrage schreiben.

Die eigentliche Stärke liegt in der Korrelation: Verknüpfen Sie einen Endpoint-Prozess mit einer Netzwerkverbindung und einem Authentifizierungsereignis desselben Hosts zum selben Zeitpunkt.

Eine Quelle weckt Verdacht; drei Quellen zusammen ergeben einen belastbaren Fall.

Wissen Sie, was Sie nicht protokollieren. Angreifer nutzen blinde Flecken: Hosts ohne Protokollierung, deaktivierte Befehlszeilenüberwachung oder eine kurze Aufbewahrungsdauer von Logs.

Lücken zu identifizieren, ist selbst ein wertvolles Ergebnis eines Hunts.

Logs sind umfangreich und der Speicherplatz ist begrenzt. Stimmen Sie die Aufbewahrung mit den Kosten ab, damit die Daten bei einem Hunt noch vorhanden sind.

Ein heute entdeckter Angriff kann vor Monaten begonnen haben; eine kurze Aufbewahrungsdauer verschleiert ihn.

Wenn ein Hunt in Logs eine Technik aufdeckt, codieren Sie sie als Erkennungsregel, damit das SIEM sie beim nächsten Mal automatisch erkennt.

So stärkt manuelles Threat Hunting die automatisierte Abwehr kontinuierlich.

Testen Sie Ihr Verständnis von Logs und Telemetriedaten.

Sie haben gelernt, Logs und Telemetriedaten übergreifend zu untersuchen.

• Endpoint-Daten (Prozess, Befehlszeile) sind die umfangreichste Quelle.
• Netzwerk-, Authentifizierungs- und Cloud-Protokolle liefern zusätzlichen Kontext.
• Ein SIEM zentralisiert Daten; Normalisierung ermöglicht quellenübergreifende Abfragen.
• Korrelieren Sie Quellen, um belastbare Ansatzpunkte zu gewinnen.
• Achten Sie auf Protokollierungslücken und Aufbewahrungsdauer und wandeln Sie Erkenntnisse in Detektionen um.

Als Nächstes ordnen Sie Ihre Erkenntnisse MITRE ATT&CK zu.