Früher verbrachtest du Stunden damit, Stack Overflow zu durchsuchen, Snippets zusammenzukopieren und sie dann mühsam zu debuggen. Heute kann ein KI-Assistent in Sekunden einen ersten Entwurf liefern. Der Haken: KI-generierter Code ist nicht automatisch sicher, vollständig oder korrekt. Genau hier setzt diese Anleitung an. Du lernst, wie du mit einem strukturierten Prompt-Template präzise Anforderungen formulierst, den Code kritisch prüfst und iterativ verbesserst. Am Ende stehen drei praktische Skripte: ein PowerShell-Script für Threat Hunting auf verdächtige Scheduled Tasks, ein Hardening-Check für Windows sowie ein Triage-Script für die Incident Response. Zusätzlich erstellst du einen Linux-Hardening-Check in Bash.
Das Video wird erst beim Abspielen von YouTube geladen – dabei werden Daten (u. a. deine IP-Adresse) an YouTube bzw. Google übertragen. Mehr dazu in der Datenschutzerklärung
Wichtigste Erkenntnisse
- Ein gutes Ergebnis hängt von der Präzision des Prompts ab. Beschreibe Zweck, Input, Output, Umgebung, Berechtigungen, Qualitätskriterien und Error Handling.
- Verlange immer Fehlerbehandlung, Logging und deutsche Kommentare.
- Führe niemals Code blind aus. Prüfe ihn auf Sicherheitsprobleme, unsichere Funktionen und Edge Cases.
- Verbessere den Code iterativ, indem du gezielt nach Schwachstellen und Erweiterungen fragst.
- Teste jedes Skript in einer Laborumgebung, bevor es in die Produktion geht.
Schritt 1: Das Prompt-Template verstehen
Der Grundstein jedes brauchbaren Skripts ist ein strukturierter Prompt. Dein Template sollte die Aufgabe, den Zweck, die Ein- und Ausgaben, die Zielumgebung, die benötigten Berechtigungen und die Qualitätskriterien klar benennen. Ergänze außerdem Vorgaben für Error Handling, Logging und Kommentare auf Deutsch. Wichtig sind auch Constraints: keine externen Module, keine Hardcoded Credentials, Idempotenz bei mehrfacher Ausführung und eine Sanitisierung der Ausgabe. Mit diesem Gerüst erhältst du produktionsreifen Code statt eines schnell zusammengeschusterten Quick-and-Dirty-Skripts.
Schritt 2: Threat-Hunting-Script für verdächtige Scheduled Tasks
Angreifer missbrauchen Scheduled Tasks gern für Persistenz. Dein erster Prompt beschreibt deshalb ein PowerShell-Script, das typische Malware-Indikatoren in Aufgabenplanungen findet. Als Detection-Kriterien nennst du Tasks mit verdächtigen Ausführungsprogrammen, Tasks, die in den letzten sieben Tagen erstellt wurden, und Tasks, die von unbekannten Benutzern angelegt wurden. Der Output soll als CSV erfolgen und alle verdächtigen Tasks mit Risikobewertung und empfohlener Aktion enthalten. Als Umgebung gibst du Windows Server an, als Berechtigung Administrationsrechte, und du forderst Error Handling und Logging ein.
ChatGPT liefert daraufhin ein umfangreiches Script, das die relevanten Windows-Bereiche abdeckt. Lass dich davon nicht blenden: Der Code ist ein Ausgangspunkt, kein Endprodukt.
Schritt 3: Kritische Prüfung und iterative Verbesserung
Bevor du das Script ausführst, prüfe es. Ein sinnvoller Folgeprompt lautet: Prüfe das Script auf Sicherheitsprobleme, unsichere Funktionen, Performance-Probleme und fehlende Edge Cases. Nenne anschließend Verbesserungsmöglichkeiten und setze sie um. Im Beispiel kamen eine Whitelist für legitime Tools wie SCCM oder Backup-Software, eine Option für die Remote-Ausführung auf mehreren Servern und ein zusätzlicher HTML-Report hinzu. Achte darauf, dass ChatGPT den vollständigen Code neu ausgibt. So musst du nicht einzelne Bausteine mühsam zusammensuchen.
Die überarbeitete Version enthält nun die Whitelist-Logik und eine Funktion zum Laden der Regeln. Prüfe auch diese Version erneut. Wenn du dir unsicher bist, lass dir einzelne Abschnitte erklären oder formuliere Rückfragen, bis du jede Zeile nachvollziehen kannst.
Schritt 4: Hardening-Check für Windows
Das zweite Skript prüft, ob Sicherheitseinstellungen korrekt konfiguriert sind. Dafür formulierst du einen neuen Prompt mit dem Zweck des Compliance-Checks, dem gewünschten Output als Konsolenausgabe und HTML-Report sowie den Zielsystemen Windows 10/11 Enterprise und Windows Server 2019 und 2022. Ein solches Skript kannst du täglich automatisiert laufen lassen und erhältst eine Bewertung, ohne jede Einstellung manuell zu kontrollieren.
Die generierte Lösung ist meist schnell fertig und direkt einsatzbereit, sofern du sie anschließend gegen deine Richtlinien abgleichst. Genau dieser Abgleich ist der Teil, den du nicht delegieren solltest.
Schritt 5: Triage-Script für die Incident Response
Wenn ein System kompromittiert sein könnte, zählt jede Minute. Ein Triage-Script sammelt die wichtigsten Artefakte schnell und ohne Änderungen am System. Dein Prompt sollte deshalb laufende Prozesse mit Commandline und Parent-Prozess, aktive Netzwerkverbindungen, lauschende Ports, Scheduled Tasks, verdächtige Autostart-Einträge in Registry-Run-Keys und im Startup-Ordner, kürzlich erstellte Dateien im Temp-Verzeichnis sowie angemeldete Benutzer, installierte Software, die letzten 100 Windows-Event-Log-Einträge und den ARP-Cache erfassen. Alle Daten sollen in separaten CSV-Dateien landen. Zusätzlich verlangst du ein zusammenfassendes HTML-Dashboard und eine automatische ZIP-Erstellung für den Transport. Wichtige Vorgaben sind eine Ausführungszeit von unter zwei Minuten und die Forderung, keine Änderungen am System vorzunehmen.
Das Ergebnis ist ein Script, das in kurzer Zeit alle relevanten Spuren sichert. Teste es in einer Laborumgebung, bevor du es im Ernstfall einsetzt, und prüfe besonders, ob es tatsächlich nichts am System verändert.
Schritt 6: Linux-Hardening-Check in Bash
Dasselbe Prinzip funktioniert auch für Linux. Ein kurzer Prompt genügt: Erstelle ein Bash-Script für einen Security-Hardening-Check. Prüfe, ob der SSH-Root-Login deaktiviert ist, die Firewall aktiv ist und Unattended Upgrades eingerichtet sind. Kontrolliere außerdem, dass nur der Benutzer Root die UID 0 besitzt, das Temp-Verzeichnis mit noexec gemountet ist und eine Passwort-Policy konfiguriert ist. Die Ausgabe soll farbig auf der Konsole erscheinen und zusätzlich in ein Logfile geschrieben werden.
Bash-Skripte sind oft kürzer und prägnanter als PowerShell-Code. Ob dir das liegt, hängt aber stark von deiner Erfahrung ab. Entscheidend ist, dass du den Code verstehst, bevor du ihn nutzt.
Ein praktischer Hinweis: Führe das Skript als Root aus. Ohne Root-Rechte fehlen dir bei den SSH-Konfiguration und den Firewall-Abfragen die nötigen Berechtigungen, und das Ergebnis wäre unvollständig. Die Passwort-Policy wird bewusst konservativ geprüft, daher können Abweichungen auftauchen, die in deiner Umgebung unkritisch sind. Das solltest du bei der Auswertung berücksichtigen.
Schritt 7: Best Practices für den Umgang mit generiertem Code
Die wichtigste Regel lautet: Übernimm keinen Code ungeprüft. Teste jedes Script zuerst in einer Laborumgebung. Versioniere deine Skripte, zum Beispiel mit Git, damit Änderungen nachvollziehbar bleiben. Dokumentiere außerdem, was ein Script genau macht. Bitte ChatGPT bei Bedarf, ausführliche Erklärungen als Kommentare in den Code aufzunehmen. Das hilft dir und deinen Kollegen später bei der Wartung.
Hinterlege niemals Credentials im Code. Nutze stattdessen einen Credential Manager oder übergib Zugangsdaten als Parameter.
Zusammenfassung – Security-Scripts mit ChatGPT erstellen: Prompt-Template für Threat Hunting, Hardening und Incident Response
Du hast gelernt, wie ein präziser Prompt mit Zweck, Input, Output, Umgebung, Berechtigungen und Qualitätskriterien aufgebaut wird und warum Error Handling, Logging und Constraints dazugehören. Du hast drei Skripte erstellt: ein Threat-Hunting-Script für verdächtige Scheduled Tasks, einen Windows-Hardening-Check und ein Triage-Script für die Incident Response. Außerdem kennst du den Linux-Hardening-Check in Bash. Der wichtigste Punkt bleibt die kritische Prüfung. Code wird nicht blind ausgeführt, sondern hinterfragt, getestet, dokumentiert und versioniert. Die nächste Lektion behandelt Detection Rules für Sigma, Splunk (SPL) und CrowdStrike-Queries.
FAQ
Warum sollte ich KI-generierten Code nicht ungeprüft ausführen?KI-generierter Code kann Sicherheitslücken, unsichere Funktionen, fehlende Edge Cases oder falsche Annahmen über deine Umgebung enthalten. Prüfe ihn deshalb immer und teste ihn in einer Laborumgebung.
Welche Angaben sollte ein guter Prompt für Security-Scripts enthalten?Ein guter Prompt beschreibt Zweck, Input, Output, Zielumgebung, benötigte Berechtigungen, Qualitätskriterien, Error Handling, Logging, Sprache der Kommentare sowie Constraints wie keine externen Module oder keine Hardcoded Credentials.
Was bedeutet Idempotenz bei einem Script?Idempotenz bedeutet, dass ein Script bei mehrfacher Ausführung dasselbe Ergebnis liefert und keine ungewollten Nebeneffekte erzeugt.
Warum muss der Linux-Hardening-Check als Root ausgeführt werden?Ohne Root-Rechte fehlen dem Script die Berechtigungen, um SSH-Konfigurationen und Firewall-Einstellungen auszulesen. Das Ergebnis wäre dadurch unvollständig.
Wie gehe ich mit Credentials in Scripts um?Hinterlege keine Zugangsdaten im Code. Nutze einen Credential Manager oder übergib die Daten als Parameter.
Wie kann ich ein generiertes Script verbessern?Bitte ChatGPT, das Script auf Sicherheitsprobleme, Performance-Probleme und Edge Cases zu prüfen, und fordere den vollständigen, überarbeiteten Code an. Stelle bei Unklarheiten Rückfragen oder lass dir einzelne Abschnitte erklären.
