Mein Ziel ist es, mich in SOC, DFIR und Security Engineering weiterzuentwickeln.
Aufbauen, absichern, verteidigen.
Fast alles, was ich tue, dreht sich um diese drei Verben. Ich komme aus dem Cloud-Deployment und der Systemadministration, habe also zuerst gelernt, Infrastruktur aufzubauen (Microservice-Architekturen auf AWS und Azure, Datenbanken, Caching, Orchestrierung mit Kubernetes) und sie mit CI/CD-Pipelines auf GitHub und GitLab zu automatisieren.
Die Spezialisierung in Cybersicherheit hat diese Praxis in Richtung DevSecOps geführt: Kontrollen direkt in den Entwicklungszyklus einzubauen, mit Codeanalyse, Dependency-Scanning und Container-Prüfung, bevor irgendetwas in Produktion geht.
Danach habe ich gelernt, das zu verteidigen, was ich aufgebaut hatte.
Ich habe vollständige Blue-Team-Umgebungen aufgesetzt: SIEM mit Wazuh und den zugehörigen Detection-Regeln, Response-Automatisierung über SOAR, OPNsense-Firewalls, EDR und VPN sowie Honeypots, die dem Internet ausgesetzt sind. Der Hintergrund in der Systemadministration ist hier ein Vorteil: Wer weiß, wie eine gesunde Maschine aussieht, erkennt Abweichungen deutlich früher.
Am meisten fasziniert mich aber, was nach dem Angriff passiert.
Mein Honeypot verzeichnet täglich echte Eindringversuche, und jeder hinterlässt Spuren, die es zu rekonstruieren gilt: wo der Angreifer hereinkam, welche Befehle er ausführte, was er herunterlud und wie weit er kam. Dafür stütze ich mich auf Memory-Forensik und das MITRE-ATT&CK-Framework, mit dem sich jeder Schritt bekannten Taktiken und Techniken zuordnen lässt.
Und was dabei herauskommt, bleibt nicht im Labor: Ich melde die IP-Adressen der Angreifer und lade die Malware-Samples auf öffentliche Threat-Intelligence-Plattformen hoch, darunter mehrere Binaries, die noch keine Antiviren-Engine erfasst hatte.
Tatsächlich...
Sprechen wir über Erfolge und Zahlen:
Kumulierte Zahlen aus meinen eigenen Honeypots und Laboren, Stand August 2026. Bei Interesse gebe ich zu jedem dieser Beiträge gern nähere Auskunft.
Das ist Dirtylands, ein Projekt mit Cowrie + Dionaea, dessen Mehrwert die schnelle Bereitstellung ist. Funktionierende Befehle, realistische Umgebung, Gründlichkeit und Projektreife. Außerdem ist es voll in der Lage, jedes Ereignis per Telegram und bösartige Aktivitäten an die jeweiligen Plattformen zu melden, und bietet Observability.
In 5 Sprachen übersetzt: Spanisch, Französisch, Englisch, Deutsch und Bulgarisch.
Forensisches Gutachten zum Lab "Sysinternals" von CyberDefenders.org. E01-Image, analysiert mit Autopsy und Registry Explorer, HTTP-Download, der sich als Microsoft ausgibt, Ausführung als SYSTEM, SHA-1 aus Amcache, Trojaner Rozena, C2 und Persistenz über einen Dienst. Mit Beweismittelkette und gutachterlichen Schlussfolgerungen.
Forensisches Gutachten zu einem Netzwerkmitschnitt (.PCAP) eines mit Lumma Stealer infizierten Rechners. Analyse in Wireshark, Identifizierung des Hosts über DHCP und Kerberos, HTTP-Beaconing zum C2, Exfiltration komprimierter Zugangsdaten und fünf in VirusTotal geprüfte bösartige Domains. Mit IoCs und Beweismittelkette.
Forensisches Gutachten zu einem RAM-Speicherabbild (.dmp) eines durch StrelaStealer kompromittierten Rechners. Analyse mit Volatility 3: verwaiste Prozesse, Living-off-the-Land-Kette mit PowerShell, dateiloses Laden einer DLL über WebDAV, Verbindung zum C2 und Code-Injection in Thunderbird zum Diebstahl von Zugangsdaten.
Lab 1: IAM-Lab mit Keycloak auf Docker und WSL. OAuth-2.0- und OpenID-Connect-Flows, Aufbau der drei Tokens, PKCE, Introspection, Rotation und Widerruf. Enthält absichtlich ausgelöste Fehler, jeweils mit der echten Antwort des Servers.
Lab 2: Ressourcenserver in FastAPI, der von Keycloak ausgestellte JWTs gegen dessen JWKS validiert und dabei Signatur, Aussteller, Audience, Ablauf und Rollen prüft. Enthält sechs Arten absichtlich ausgelöster Fehler, jeweils mit der echten Antwort der API.
Lab 3: Active-Directory-Föderation in Keycloak über LDAPS. Der Domänencontroller läuft auf Hyper-V, Keycloak auf Docker in WSL2. Benutzer, die nur im AD existieren, melden sich per OIDC an, und ihre Attribute und Gruppen landen im Token. Mit Mappern, Lebenszyklus und verwaisten Konten.
Auf Azure bereitgestellter Honeypot mit dynamischem Port Knocking über iptables und Telegram-Alarmen in Echtzeit.
Vollständige DevSecOps-Pipeline auf GitLab CI/CD mit SonarQube, GitLeaks, Snyk und OWASP ZAP, die Codequalität und Sicherheit durchgängig prüft. Der Status der Pipeline wird automatisch und in Echtzeit über Discord gemeldet.
Lift-and-Shift-Migration einer zuvor lokal aufgebauten mehrschichtigen Java-Webanwendung zu AWS (IaaS). Tomcat-Server hinter einem Elastic Load Balancer mit Auto Scaling, MariaDB, Memcached und RabbitMQ als Backend-Dienste, privates DNS in Route 53, Artefakte aus S3 bereitgestellt und Zugriffe per IAM eingeschränkt.
Bereitstellung eines verwalteten Kubernetes-Clusters auf AWS mit EKS, ausgehend von einem neuen Konto. Absicherung des Zugangs mit IAM-Benutzern und MFA, ein Abrechnungsalarm in CloudWatch, die VPC mit ihren öffentlichen Subnetzen, die Knotengruppe mit den nötigen Rollen und die echten Fehler, die unterwegs auftraten.
Projekt, in dem ich die Grundlagen von Ansible anwende und alle Module des Udemy-Kurses abschließe. Außerdem musste ich mich dem Szenario stellen, in dem die .pem-Schlüssel meiner EC2-Maschine verloren gehen, und versuche, es zu lösen.
Dieses GitHub-Projekt gehört zum Udemy-Kurs "DevOps Beginners to Advanced". Dabei wird mit Vagrant, Nginx, Tomcat, RabbitMQ, Memcached und MySQL eine Website aufgebaut.
Dieses Projekt zeigt den Aufbau einer CI/CD-Pipeline mit AWS-Diensten, die eine Webanwendung verwaltet, baut und auf AWS Elastic Beanstalk bereitstellt, mit AWS CodePipeline, AWS CodeBuild und Anbindung an eine AWS-RDS-Datenbank. Als Git-Repository für den Quellcode dient Bitbucket.
Dieses GitHub-Projekt gehört zum Udemy-Kurs "DevOps Beginners to Advanced". Unser voriges AWS-Projekt stellte eine mehrschichtige Webapp mit Memcached, MySQL, Tomcat, RabbitMQ und einem Load Balancer bereit. Jetzt bauen wir alles mit AWS-Diensten wie ElastiCache, Amazon MQ, RDS und Beanstalk neu auf.
