KQL – Advanced Hunting mit Microsoft Defender for Endpoint

Hast du jemals von Kusto Query Language (KQL) gehört und dich gefragt, was das denn eigentlich ist?
Nun, lass uns das Rätsel auf humorvolle Weise lösen! KQL ist das magische Etwas, mit dem du die riesigen Datensätze von Microsoft Defender for Endpoint (MDE) durchforsten und wertvolle Erkenntnisse für die Sicherheitsanalyse gewinnen kannst.

Und ja, als frische:r Security Analyst:in sind die Basics nicht nur interessant – sie sind essentiell!
Denn ohne solides Grundlagenwissen ist es, als würdest du versuchen, ohne Brille ein Buch zu lesen.

Inhaltsverzeichnis:

1. Was ist KQL und warum sollte es mich interessieren?

   • Der Schlüssel zur Schatztruhe namens Daten.

2. Top 10 KQL-Operatoren:
   

   • Take: Eine Kostprobe von dem, was kommt.

   • Search: Die Lupe in der Datendetektiv-Ausrüstung.

   • Where: Die Entscheidungslinie zwischen “Brauche ich” und “Brauche ich nicht”.

   • Zeichenfolgenoperatoren: Weil Daten nicht nur aus Zahlen bestehen!

   • Distinct: Die einzigartige Brille, die Dopplungen einfach verschwinden lässt.

   • Order-By: Sortiere das Datenchaos in eine geordnete Parade.

   • Count: Dein persönlicher Datenzähler.

   • Summarize: Fasse Datenpunkte effektiv zusammen.

   • Let: Gib deinen Daten coole Spitznamen.

   • Join: Daten-Party! Wo sich alle Tabellen treffen.

3. Deep Dive in MDE-Tabellen:
   

   • DeviceInfo: Der Personalausweis deines Geräts.

   • DeviceNetworkInfo: Ein Blick hinter die Kulissen des Netzwerks.

   • DeviceProcessEvents: Die Herzschläge deiner Maschine.

   • DeviceNetworkEvents: Die sozialen Netzwerke deiner Devices.

   • DeviceFileEvents: Die Biografie jedes einzelnen Files.

   • DeviceRegistryEvents: Das Stammbuch deiner Geräte.

   • DeviceLogonEvents: Wer kam wann rein und ging wann raus?

   • DeviceImageLoadEvents: Das Familienalbum deines PCs.

   • DeviceEvents: Die täglichen News deines Systems.

   • DeviceFileCertificateInfo: Die Zeugnisse deiner Files.

4. Quiz-Time: Ein wenig Gehirnjogging, damit das Erlernte nicht verfliegt.

5. Live-Fallanalyse: Echter Fall, echte Herausforderungen.

6. Abschluss-Praxistest: Zeige, dass du bereit bist, das Gelernte in der Praxis anzuwenden.

Für wen ist dieser Kurs gedacht?

• Neugierige Einsteiger, die das Mysterium von KQL lüften wollen.

• Angehende Sicherheitsanalytiker, die sich für ihre Reise rüsten möchten.

• Daten-Enthusiasten mit einem Sinn für Humor.

Wer sollte lieber weiterziehen?

• Erfahrene KQL-Nutzer, die bereits mit den Grundlagen vertraut sind und nach fortgeschrittenen Themen suchen.

• Diejenigen, die nach spezifischen Infos zu Defender suchen (dieser Kurs konzentriert sich nur auf KQL mit MDE Daten).

Zum Schluss: Dieser Kurs ist ein bisschen wie das Fitnessstudio für dein Daten-Gehirn. Du kommst rein, fühlst dich vielleicht etwas verloren, aber gehst mit neuem Wissen und einem Lächeln heraus. Bist du bereit?