Bei baseVISION setzen wir Velociraptor als forensischen Agenten neben Microsoft Defender XDR in Incident Response Fällen ein, um zu verstehen, was auf den betroffenen Systemen geschehen ist.
In vielen Umgebungen werden forensische Daten nach wie vor ausserhalb des zentralen Sicherheitsstacks verarbeitet. Dies erfordert oft eine manuelle Kollektion und lässt sich nicht gut mit anderen Sicherheitssignalen integrieren, wie z.B. EDR/XDR Telemetrie.
Als Microsoft spezialisierter Sicherheitspartner ist es unser Ziel, den Microsoft Security Stack konsequent zu nutzen, nicht nur für unsere Kunden, sondern auch bei unserer eigenen Incident-Response-Arbeit.
Aktivierung von Velociraptor in Azure
In den letzten Monaten haben wir eine Velociraptor-Integration konzipiert, entwickelt und bereitgestellt, mit welcher forensische Daten direkt in den Azure Data Explorer (ADX) eingespiesen werden können.
Dadurch ist es möglich, mit forensischen Artefakte in derselben Umgebung zu arbeiten, die bereits für Microsoft Defender, Sentinel und fortgeschrittene Hunting-Szenarien genutzt wird, ohne dass eine separate Plattform für forensische Daten erforderlich ist.
Was dies in der Praxis bedeutet
Dieser Ansatz ermöglicht:
- Bessere Nutzung bestehender Azure-Investitionen: Azure-basierte Detections und Huntings können mit forensischen Artefakten von Velociraptor angereichert werden.
- Daten mit KQL korrelieren: Velociraptor-Artefakte lassen sich mit der Kusto Query Language (KQL) analysieren und bei Bedarf mit Defender-, Identitäts- oder Netzwerkdaten kombinieren.
- Manuellen Aufwand reduzieren: Der direkte Zugriff auf die Daten innerhalb der Azure-Umgebung vereinfacht Analyse- und Untersuchungsprozesse und offline Kollektionen können nur noch Fall-spezifisch angewendet werden.
- Tool-Landschaft konsolidieren: Die Verarbeitung und Analyse der Daten kann innerhalb des Microsoft-Ökosystems erfolgen, anstatt weitere Plattformen hinzuzufügen..
Beispiel: Velociraptor-Daten in Azure
Das folgende Beispiel zeigt die Analyse von Velociraptor-Artefakten in Azure Data Explorer (ADX) mithilfe von KQL.
Velociraptor-Artefakte wurden in den Azure Data Explorer eingespiesen, wodurch eine Analyse mit KQL möglich ist