-
Cloud-Sicherheit für Blue Teams: Logquellen, Korrelation, Fehlkonfiguration
Cloud-Sicherheit für Blue Teams: das geteilte Verantwortungsmodell, die drei zentralen Control-Plane-Logquellen (AWS CloudTrail, Azure Activity Log und Entra ID, GCP Cloud Audit Logs), warum Cloud-Erkennung ein Korrelationsproblem statt…
-
Quishing erkennen: QR-Code-Phishing und der blinde Fleck des Gateways
Quishing erkennen: wie QR-Code-Phishing die textbasierten Mail-Filter umgeht, indem die URL in einem Bild oder PDF steckt, und den Klick auf das ungeschützte Privathandy verlagert, welche Spuren an…
-
KI im SOC: Nutzen und Grenzen ohne Hype
KI im SOC: Nutzen und Grenzen ehrlich eingeordnet. Wofür große Sprachmodelle taugen (Alarme erklären, Kontext bündeln, Abfragen und Berichte entwerfen, Triage vorbereiten), wo sie versagen (Halluzination, kein Urteil,…
-
Detection Engineering als Prozess: vom Alarm-Backlog zum Regelbestand
Detection Engineering als Prozess: wie aus dem Schreiben einzelner Regeln ein System mit Lebenszyklus wird, von der Idee über Test und Produktion bis zur Außerdienststellung, das Prinzip Detection-as-Code…
-
EDR-Umgehung erkennen: BYOVD, Unhooking und die Spuren, die bleiben
EDR-Umgehung erkennen aus Verteidigersicht: drei Mechanismen (Schutzkonfiguration ändern, Prozesse/Dienste beenden, BYOVD mit verwundbarem Treiber), ATT&CK T1685 plus T1543.003 und T1068, Treiber-Load in Sysmon 6, Treiberdienst in 7045, Code-Integrity-Blocks,…
-
Golden Ticket und Silver Ticket erkennen: gefälschte Kerberos-Tickets
Golden Ticket und Silver Ticket erkennen: wie Angreifer mit dem krbtgt-Hash ein TGT und mit einem Dienstkonto-Hash ein Diensticket fälschen, warum die Erkennung schwer ist (das Ticket entsteht…
-
MFA-Phishing erkennen: AiTM, Token-Diebstahl und wie du ihn siehst
MFA-Phishing und Token-Diebstahl erkennen: wie AiTM-Angriffe mit Evilginx MFA umgehen, indem sie das Sitzungscookie stehlen, warum das SOC die Anmeldung selbst kaum sieht, welche Spuren die Token-Nutzung hinterlässt…
-
Purple-Team-Übung mit Atomic Red Team: Erkennung testen statt hoffen
Purple-Team-Übung mit Atomic Red Team: was die freie Testbibliothek ist, wie du sie sicher im Lab einrichtest, ein Test von der Erwartung über die Ausführung bis zur Regel,…
-
DNS-Tunneling erkennen: lange Anfragen, hohe Volumen, seltene Typen
DNS-Tunneling erkennen: wie Daten in DNS-Anfragen versteckt werden, welche Logquellen es zeigen (dns.log, Sysmon 22, DNS-Server-Logs), die fünf Merkmale von Länge über Entropie bis zum Anteil eindeutiger Subdomains,…