// Artikel

Detection & Monitoring

Angriffe erkennen, bevor sie Schaden anrichten: SIEM, EDR und NDR, Logquellen, Sigma-Regeln, Threat Hunting und der Umgang mit Alarmen.

180Artikel
144Angriffe mit Sigma-Regel
97Event-IDs im Lexikon

// Hier anfangen

Die Grundlagen in dieser Reihenfolge

Vier Artikel, die aufeinander aufbauen. Danach verstehst du jede Regel und jeden Hunt auf dieser Seite.

01SIEM erklärtWas ein SIEM leistet, wo es blind ist und welche Logquellen zuerst angebunden gehören.02Windows Event LogsDie Event-IDs, ohne die keine Erkennung unter Windows funktioniert, und wie sie entstehen.03Sysmon einrichtenEndpunkt-Telemetrie, die Windows selbst nicht schreibt, mit sinnvoller Konfiguration.04Sigma-RegelnEine Erkennung einmal schreiben und in jedes SIEM übersetzen.

// Serie "Angriff erkennen"

144 Angriffe, sortiert nach ATT&CK-Taktik

Jeder Beitrag folgt demselben Aufbau: was der Angreifer tut, welche Logs es zeigen, eine Sigma-Regel, der Test im Lab und das Tuning.

TA0001Initial AccessMFA-Phishing und Token-DiebstahlQuishingE-Mail-BombingMark of the Web und HTML-SmugglingExploit Public-Facing ApplicationExternal Remote ServicesDrive-by CompromiseSpearphishing AttachmentReplication Through Removable MediaSpearphishing LinkValid Accounts
TA0002ExecutionVerschleierte PowerShellGeplante AufgabenWMI-AusfuehrungDienst-Erstellung / PsExecLNK-AusfuehrungMalicious File (Office-Makro)Windows Script Host (VBScript/JScript)Dynamic Data Exchange (DDE)Windows Command Shell (cmd.exe)Python-AusfuehrungDLL-HijackingUnix-Shell-Ausführung (Linux)AppleScript/osascript (macOS)Dylib-Hijacking (macOS)
TA0005StealthLiving off the LandProcess InjectionMSHTA / HTARegsvr32 / Rundll32Deobfuscate / DecodeMasqueradingTimestompingMsiexec-MissbrauchInstallUtil-MissbrauchCompiled HTML File (CHM)File Deletion
TA0112Defense ImpairmentEDR-UmgehungEvent-Log-LöschungAMSI-UmgehungETW-ManipulationAudit-Logging abschaltenWindows-Firewall abschaltenSafe Mode BootInstall Root CertificateDateirechte-ManipulationGatekeeper-/Quarantine-Umgehung (macOS)
TA0006Credential AccessKerberoastingAS-REP-RoastingPassword SprayingDCSyncGolden und Silver TicketMimikatz und LSASS-DumpNTLM-Relay und ResponderInfostealerSAM-DumpNTDS-DiebstahlAD-CS-Missbrauch (ESC1-16)Keychain-Zugriff (macOS)
TA0004Privilege EscalationRBCD und Shadow CredentialsUAC-BypassToken-ManipulationNamed-Pipe-Impersonation (Potato)Exploitation for Privilege EscalationDienst-Hijack (Service Modification)COM-HijackingApplication ShimmingGPO-ManipulationSUID/SGID-Missbrauch (Linux)Sudo-Missbrauch (Linux)Dienst-Fehlkonfiguration (unquoted Paths)TCC-Manipulation (macOS)
TA0007DiscoveryBloodHound und SharpHoundAD- und Netz-EnumerationLokale Host-ErkundungNetwork Share DiscoveryRemote System DiscoverySecurity Software DiscoveryDomain Trust DiscoveryNetwork Service DiscoverySystem Service DiscoveryAccount Discovery
TA0008Lateral MovementSeitliche BewegungPass-the-HashImpacketRDP-MissbrauchSMB und Admin-SharesWinRM / PS RemotingDCOM-FernausfuehrungRDP-Session-HijackingSSH Lateral MovementLateral Tool Transfer
TA0003PersistencePersistenzAD-HintertürenRegistry-Run-KeysWMI Event SubscriptionNeues Konto (Hintertuer)IFEO / Sticky KeysBITS-JobsPowerShell ProfileWeb ShellCron- und systemd-Persistenz (Linux)SSH authorized_keys (Linux)LaunchAgents/LaunchDaemons (macOS)
TA0011Command and ControlDNS-TunnelingLiving off the CloudCobalt Strike und BeaconingRMM-MissbrauchIngress Tool TransferWeb-Service-C2Protocol TunnelingInternal Proxy (Pivoting)Multi-hop Proxy (Tor)External ProxyDomain Fronting
TA0009CollectionDatenarchivierung vor dem AbflussKeyloggingScreen Capture und ClipboardData from Local SystemData from Network Shared DriveLocal Email CollectionAutomated CollectionLocal Data StagingRemote Data StagingEmail Forwarding Rule
TA0010ExfiltrationDatenabfluss: rclone und CloudAlternative Protokolle (FTP/SMTP/ICMP)Gedrosselte und geplante ExfiltrationExfiltration zu Code-RepositoriesExfiltration zu Paste-DienstenExfiltration over C2 ChannelExfiltration over WebhookExfiltration over USBExfiltration over BluetoothTransfer to Cloud Account
TA0040ImpactRansomware-VorbereitungRansomware-VerschlüsselungSchattenkopien und Backups sabotierenDienste stoppen (Service Stop)Datenvernichtung und WiperResource HijackingAccount Access RemovalSystem Shutdown/RebootInternal DefacementDisk Wipe

Die Kopfzeile jeder Spalte führt zu den passenden Event-IDs im Lexikon. Einstieg in die Serie: Kerberoasting erkennen: Event 4769, RC4 und das Muster im Kerberos-Log.

// Logquellen

Logs sammeln und Windows sichtbar machen

Was nicht geloggt und zentral gesammelt wird, kann keine Regel finden. Hier geht es um die Windows-Seite.

Windows Event Forwarding (WEF)Ereignisse agentenlos zentral sammeln, mit sinnvollem Abonnement.Log-Management und AufbewahrungFristen, Speicherstufen und Schutz vor Manipulation.PowerShell für VerteidigerScript Block Logging, AMSI und Constrained Language Mode.Windows-Firewall als Sperre und SensorAbgewiesene Verbindungen als Erkennungsquelle gegen seitliche Bewegung.Windows Defender deaktivierenDer offizielle Weg und was ein SOC dabei im Log sieht.

// Plattformen

Netz, Cloud, Linux und macOS

Die Telemetrie jenseits von Windows: Netzwerk, Mail, Cloud-Konten und die anderen Betriebssysteme.

EDR, XDR, NDRWas welche Technologie sieht und wo sie blind ist.ZeekNetzwerk-Monitoring mit strukturierten Logs für jede Verbindung.DNS-SicherheitDNS als ergiebigste Erkennungsquelle und als Kontrollpunkt.SPF, DKIM und DMARCE-Mail-Authentifizierung gegen Spoofing nutzen.Cloud-SicherheitControl-Plane-Logs, Korrelation und Fehlkonfiguration.Container und KubernetesImage, Steuerungsebene und Laufzeit absichern und überwachen.Linux-Sicherheitsmonitoringauditd, journald und Sysmon for Linux.macOS-SicherheitsmonitoringUnified Log und Endpoint Security Framework.

// Detection Engineering

Regeln bauen, testen und gezielt suchen

Vom einzelnen Alarm zum gepflegten Regelbestand, dazu Threat Hunting und Tests gegen echte Angriffstechniken.

Detection Engineering als ProzessLebenszyklus, Detection as Code und Abdeckungskarte.Threat Hunting: der EinstiegMit Hypothesen suchen statt auf Alarme warten.Threat Hunting mit HypothesenDrei Hunts von der Idee bis zum Ergebnis.KQL für EinsteigerDie Abfragesprache für Sentinel und Defender.Purple Team mit Atomic Red TeamErkennung im Lab testen statt hoffen.Adversary EmulationEinen realen Angreifer über die ganze Kette nachstellen.Purple-Team-Metriken und ReifegradATT&CK-Abdeckung und SOC-Reife messbar machen.Honeypots und DeceptionKöder, die nur ein Angreifer anfasst.

// SOC-Betrieb

Alarme, Kennzahlen und Automatisierung

Wie ein SOC im Alltag funktioniert, ohne an der Alarmflut zu ersticken.

Alert FatigueWoher die Alarmflut kommt und was sie wirklich senkt.Dwell Time und SOC-KennzahlenMTTD, MTTR und was die Zahlen aussagen.Häufige Fehler im SOCAcht Stolpersteine und ihre Lösungen.SOAR und AutomatisierungDie Routine abgeben, das Urteil behalten.Insider-BedrohungenAngreifer mit legitimem Zugang erkennen.KI im SOCNutzen und Grenzen großer Sprachmodelle ohne Hype.

// KI-Sicherheit

KI-Systeme verteidigen

Wenn Sprachmodelle und Agenten selbst zur Angriffsfläche werden.

KI-Agenten-SicherheitPrompt Injection und die Grenzen des Modells.Prompt Injection für VerteidigerDie zwei Formen und ihre Abwehr.

// Mensch als Sensor

Social Engineering erkennen und melden

Die Belegschaft ist die Erkennungsschicht, die keine Technik ersetzt.

Social Engineering und MeldewegeEin-Klick-Meldeweg und schuldfreie Kultur.Awareness-Kampagne planenPhishing-Simulation, die Verhalten ändert.Pretexting und VishingDie Szenarien am Telefon und ihre Abwehr.

// Event-ID-Lexikon

97 Event-IDs mit Sigma-Regel, nach Taktik sortiert

Die Artikel hier verweisen auf die Ereignisse, die einen Angriff zeigen. Im Lexikon findest du sie einzeln, mit Feldern, Voraussetzung und geprüfter Regel.

Initial AccessExecutionPersistencePrivilege EscalationStealthDefense ImpairmentCredential AccessDiscoveryLateral MovementCollectionCommand and ControlImpact
Zum Lexikon

// Alle Artikel

Alle Artikel, neueste zuerst

  • Dylib- und Dyld-Hijacking unter macOS erkennen

    Dylib- und Dyld-Hijacking sind unter macOS nur an den Raendern belastbar zu fassen: das Setzen von DYLD_INSERT_LIBRARIES und das Ablegen einer dylib. Der eigentliche Ladevorgang bleibt ein ehrlicher…

  • TCC-Manipulation unter macOS erkennen

    TCC regelt den Zugriff auf Kamera, Mikrofon und Festplatte. Erkennung der Umgehung ueber tccutil, sqlite3 und Schreibzugriffe auf die TCC.db abseits von tccd - mit besonders ehrlichen Telemetrie-Grenzen…

  • Keychain-Zugriff unter macOS erkennen

    Die Keychain ist der zentrale Passwortspeicher von macOS. Erkennung des Zugriffs ueber das security-Werkzeug und den Dateiabzug im Endpoint Security Framework, mit ehrlichem API-Blindspot und drei sigma-cli-validierten Sigma-Regeln.

  • AppleScript und osascript: Missbrauch unter macOS erkennen

    AppleScript-Missbrauch laeuft fast immer ueber osascript: do shell script, der Admin-Rechte-Dialog und verdaechtige Elternprozesse. Erkennung ueber das ESF-Prozessereignis, mit ehrlichen API-Blindspots und drei sigma-cli-validierten Sigma-Regeln.

  • Gatekeeper und Quarantine: Umgehung unter macOS erkennen

    Gatekeeper prueft Downloads nur, solange sie com.apple.quarantine tragen. Erkennung der Umgehung ueber xattr und spctl im Endpoint Security Framework, mit ehrlichen Telemetrie-Grenzen und drei sigma-cli-validierten Sigma-Regeln.

  • LaunchAgents und LaunchDaemons: macOS-Persistenz erkennen

    LaunchAgents und LaunchDaemons sind der haeufigste Persistenzweg unter macOS. Erkennung ueber die plist als Artefakt und das Endpoint Security Framework, mit sauberer Trennung von ESF, Unified Log und…

  • Domain Fronting erkennen: C2 hinter einem CDN

    Domain Fronting versteckt C2-Verkehr hinter einem grossen CDN - der TLS-Name zeigt auf eine harmlose Frontdomaene, das eigentliche Ziel steht im verschluesselten Host-Header. Warum SNI und DNS allein…

  • Dienst-Fehlkonfiguration erkennen: unquoted Paths und schwache Dienstrechte

    Dienst-Fehlkonfigurationen als Rechteausweitungs-Pfad erkennen: ein ungequoteter Dienstpfad mit Leerzeichen (T1574.009), eine beschreibbare Dienst-Binary (T1574.010) und schwache Rechte auf dem Dienst-Registry-Schlüssel (T1574.011) - jeweils mit den tatsächlichen Voraussetzungen. Mit…

  • Valid Accounts erkennen: den Missbrauch legitimer Konten sichtbar machen

    Valid Accounts (T1078) erkennen: den Missbrauch legitimer Konten sichtbar machen und dabei lokale Konten, Domänenkonten, Cloud-/Entra-Identitäten und Dienstkonten sauber unterscheiden - über die Windows-Anmeldeereignisse (4624, 4648, 4672), Kerberos…

  • Sudo-Missbrauch erkennen: Rechteausweitung über sudoers und sudo-Caching

    Sudo-Missbrauch als Linux-Rechteausweitung erkennen: eine geänderte sudoers-Konfiguration mit NOPASSWD, sudo, das direkt eine Root-Shell öffnet, und die Enumeration per sudo -l - sichtbar über die sudo-Logs in journald,…