Den Beleg prüfen.
Agent, Event-ID, Regel, Level und Zeitstempel kontrollieren. Lokale Telemetrie mit dem SIEM-Datensatz abgleichen.
BLUE TEAM SOC LAB
Vom Log zum
klaren Signal.
Ein eigenes Security-Labor. Echte Telemetrie. Nachvollziehbare Detection und Triage.
Ich verbinde Windows, Linux und Netzwerkdaten in Wazuh – und zeige, wie aus einer Erkennungslücke ein überprüfbarer Alert wird.
DETECTION WORKFLOWLAB / 2026
01 / TELEMETRIEWindows · Linux · Netzwerk
LOGSecurity Events / Sysmon / eve.json
ERFASSEN & KORRELIEREN
02 / DETECTION ENGINEWazuh SIEM
Decoder → Regeln → Korrelation
PRÜFEN & EINORDNEN
✓
03 / ANALYSTENENTSCHEIDUNGTrue Positive. Autorisierter Test.
Beleg prüfen. Kontext verstehen. Fall schließen.
SCHEMATISCHER DATENFLUSSArchitektur öffnen ↗
03überwachte EndpunkteWindows Server · Windows 11 · Ubuntu
08verbundene TechnologienHost- und Netzwerksicht in einem SIEM
01Detection Gap geschlossenVom fehlenden Alert zur validierten Regel
DER STACKWazuhSysmonSigmaSuricataActive DirectorySCAFIMHyper-V
VISUELLER PROJEKTEINBLICK
Blue Team.
Auf einen Blick.
Konzeptionelle Visualisierungen ergänzen die technischen Nachweise und vermitteln die Ausrichtung des Labors: zentrale Überwachung, vernetzte Telemetrie und nachvollziehbare Analystenentscheidungen.
01 / LABORARCHITEKTUR
Ein Labor.
Zwei Blickwinkel.
Host-Ereignisse liefern Prozess- und Benutzerkontext. Netzwerkdaten ergänzen die Sicht auf Verbindungen. Wazuh führt die Signale zusammen.
ISOLIERTE HYPER-V-LABORUMGEBUNG SCHEMATISCH
WAZUH AGENTS ZENTRALE AUSWERTUNG
Die Darstellung zeigt Systemrollen und Datenwege. Interne IP-Adressen, Domänen- und Kontonamen sind bewusst ausgelassen. Der Suricata-Test belegt die Sicht auf den Ubuntu-Sensor, keine vollständige Netzabdeckung.
02 / FALLSTUDIE IM FOKUS
Der Scan war da.
Der Alert fehlte.
DETECTION GAP GESCHLOSSEN
Ein Nmap-Test wurde lokal protokolliert, erzeugte aber zunächst keinen passenden Wazuh-Alert. Ich habe die fehlende Regellogik ergänzt und die Erkennung erneut geprüft.
WAS DAS ZEIGT
Ein aktiver Agent allein garantiert keine Detection. Telemetrie, Regellogik und erneuter Test müssen zusammenpassen.
Alle Szenarien ↗03 / DETECTION EXPLORER
Signale mit Kontext.
Von der Logquelle bis zur Entscheidung: acht dokumentierte Szenarien, filterbar nach Themen. Öffne ein Szenario für Ablauf, Triage und Nachweise.
Kein passendes Szenario.
Versuche einen anderen Begriff oder setze die Filter zurück.
MITRE-Tags beschreiben das getestete Verhalten. FIM und SCA werden hier nicht pauschal einer Angriffstechnik zugeordnet. Die Tests belegen Laborergebnisse, keine produktive Erkennungsquote.
04 / ANALYSTENPERSPEKTIVE
Ein Alert ist
erst der Anfang.
Ich prüfe Quelle, Zeitpunkt, Benutzer und Folgeaktivität gemeinsam. Ein korrekt erkannter, genehmigter Test bleibt ein True Positive – und ist damit noch kein Security Incident.
Den Kontext verstehen.
Testfreigabe, Quell- und Zielrolle, Prozesskette und begleitende Aktivitäten prüfen. Zusammenhänge nur mit passenden Belegen annehmen.
Die Entscheidung begründen.
Klassifizierung und Maßnahmen dokumentieren. Temporäre Testkonten entfernen, privilegierte Änderungen zurücknehmen und Bereinigung prüfen.
GRENZEN & LERNEFFEKTE
Klare Ergebnisse.
Klare Grenzen.
Wie weit reicht die Scan-Erkennung?
Die ursprüngliche Windows-Regel ist an die bekannte Testquelle gebunden. Suricata wurde gegen den Ubuntu-Sensor geprüft. Für einen produktiven Einsatz wären eine geeignete Sensorplatzierung, verhaltensbasierte Kriterien, Ausnahmen und False-Positive-Tests erforderlich.
Ist die Sigma-Regel produktionsreif?
Die Regel für whoami /priv wurde mit Sigma CLI ohne Syntax- und Condition-Fehler validiert. Ihr Status ist experimental. Das bestätigt die technische Prüfung, ersetzt aber keine Validierung in einer produktiven Umgebung.
Warum bleibt ein SCA-Check auf Failed?
Check 35517 für /dev/shm wurde gehärtet und nach Neustart bestanden. Bei Check 35509 wurden technische Abhängigkeiten des Ubuntu-Desktops und ein fest eingebautes Modul bewertet. Die verbleibende Abweichung wurde als Risk Acceptance dokumentiert.
IM PROJEKTGESPRÄCH
Technik erklären.
Entscheidungen zeigen.
Gerne erläutere ich die Regellogik, das Alert-Tuning und meine Triage anhand der dokumentierten Tests.
IH↗
Ibrahim HamwiehBlue Team · Detection Engineering · SOC TriageGitHub-Profil ansehen (öffnet einen neuen Tab)