Seminar Enginsight Intensivseminar Security Operations

Seminar / Training

Inhaltsübersicht

1. Einordnung und Lernziele
2. Technische Bausteine
3. Schrittweise Umsetzung
4. Praxisübungen und Szenarien
5. Betriebsstandards und Qualitätssicherung
6. Fehleranalyse und Wiederherstellung
7. Zielgruppe und Voraussetzungen

Einordnung und Lernziele

Kapitelinhaltsverzeichnis: Pulsar-, Watchdog-, FIM-, Pentest- und SIEM-Daten gemeinsam auswerten; priorisierte Security Use Cases mit nachvollziehbarer Evidenz entwickeln; Triage und Investigation reproduzierbar durchführen; Eindämmung über Host-, Netzwerk- und Segmentierungsmaßnahmen steuern; Threat Hunts und Wiederholungsprüfungen planen.

Der operative Security-Lifecycle wird über Endpoint-, Netzwerk-, Integritäts-, Schwachstellen-, Pentest- und SIEM-Daten trainiert und in Detection, Triage, Eindämmung, Wiederherstellung sowie kontinuierliche Verbesserung überführt.

Begründung der Dauer: Fünf Tage sind erforderlich, um die Security-Operations-Anteile der übrigen Fachseminare zusammenfassend mit mehreren Angriffssimulationen, Tuning-Runden und einem Schichtbetriebsmodell zu bearbeiten.

Die Lernziele werden über nachvollziehbare Sollzustände, praktische Konfigurationen und überprüfbare Kontrollpunkte bearbeitet.

• Pulsar-, Watchdog-, FIM-, Pentest- und SIEM-Daten gemeinsam auswerten
• priorisierte Security Use Cases mit nachvollziehbarer Evidenz entwickeln
• Triage und Investigation reproduzierbar durchführen
• Eindämmung über Host-, Netzwerk- und Segmentierungsmaßnahmen steuern
• Threat Hunts und Wiederholungsprüfungen planen
• SOC-Betrieb, Kennzahlen und Qualitätskontrollen gestalten

Technische Bausteine

Kapitelinhaltsverzeichnis: SOC-Prozess, Rollen, Übergaben und Eskalationen; Endpoint- und Netzwerk-Telemetrie mit Asset-Kontext; Schwachstellen, Exposition und Angriffspfad; SIEM-Datenmodell, Event Streams und Korrelation; Detection Engineering und Use-Case-Qualität.

Die technischen Inhalte werden nicht isoliert betrachtet. Jede Funktion wird in Datenfluss, Verantwortlichkeit, Schutzbedarf und nachgelagerte Betriebsprozesse eingeordnet.

• SOC-Prozess, Rollen, Übergaben und Eskalationen
• Endpoint- und Netzwerk-Telemetrie mit Asset-Kontext
• Schwachstellen, Exposition und Angriffspfad
• SIEM-Datenmodell, Event Streams und Korrelation
• Detection Engineering und Use-Case-Qualität
• Incident Response, Threat Hunting und Eindämmung
• Mikrosegmentierung, FIM und kontrollierte Reaktion
• Reporting, Compliance und kontinuierliche Verbesserung

Schrittweise Umsetzung

Kapitelinhaltsverzeichnis: Tag 1: Datenquellen, Asset-Kontext und SOC-Rollenmodell prüfen; Tag 1: Triage-Runbook und Schweregradmodell erstellen; Tag 2: SIEM-Stream und erste korrelierte Erkennung aufbauen; Tag 2: Testereignisse replayen und False Positives tunen; Tag 3: Endpoint- und Netzwerkangriff im Labor untersuchen.

Der folgende Ablauf bildet einen wiederholbaren Labor- und Betriebsprozess. Jeder Schritt endet mit einem dokumentierten Prüfpunkt, bevor die nächste Stufe begonnen wird.

1. Schritt 1
   Tag 1: Datenquellen, Asset-Kontext und SOC-Rollenmodell prüfen. Zunächst werden Ziel, Verantwortlichkeit und benötigte Eingaben festgehalten. Anschließend erfolgt die Umsetzung in der Laborumgebung mit minimal erforderlichen Rechten. Der Abschluss besteht aus Funktionsprüfung, Sicherheitskontrolle und Dokumentation des Sollzustands.
2. Schritt 2
   Tag 1: Triage-Runbook und Schweregradmodell erstellen. Zunächst werden Ziel, Verantwortlichkeit und benötigte Eingaben festgehalten. Anschließend erfolgt die Umsetzung in der Laborumgebung mit minimal erforderlichen Rechten. Der Abschluss besteht aus Funktionsprüfung, Sicherheitskontrolle und Dokumentation des Sollzustands.
3. Schritt 3
   Tag 2: SIEM-Stream und erste korrelierte Erkennung aufbauen. Zunächst werden Ziel, Verantwortlichkeit und benötigte Eingaben festgehalten. Anschließend erfolgt die Umsetzung in der Laborumgebung mit minimal erforderlichen Rechten. Der Abschluss besteht aus Funktionsprüfung, Sicherheitskontrolle und Dokumentation des Sollzustands.
4. Schritt 4
   Tag 2: Testereignisse replayen und False Positives tunen. Zunächst werden Ziel, Verantwortlichkeit und benötigte Eingaben festgehalten. Anschließend erfolgt die Umsetzung in der Laborumgebung mit minimal erforderlichen Rechten. Der Abschluss besteht aus Funktionsprüfung, Sicherheitskontrolle und Dokumentation des Sollzustands.
5. Schritt 5
   Tag 3: Endpoint- und Netzwerkangriff im Labor untersuchen. Zunächst werden Ziel, Verantwortlichkeit und benötigte Eingaben festgehalten. Anschließend erfolgt die Umsetzung in der Laborumgebung mit minimal erforderlichen Rechten. Der Abschluss besteht aus Funktionsprüfung, Sicherheitskontrolle und Dokumentation des Sollzustands.
6. Schritt 6
   Tag 3: Eindämmung durch Isolation und Mikrosegmentierung bewerten. Zunächst werden Ziel, Verantwortlichkeit und benötigte Eingaben festgehalten. Anschließend erfolgt die Umsetzung in der Laborumgebung mit minimal erforderlichen Rechten. Der Abschluss besteht aus Funktionsprüfung, Sicherheitskontrolle und Dokumentation des Sollzustands.
7. Schritt 7
   Tag 4: Threat Hunt nach Persistenz und lateraler Bewegung durchführen. Zunächst werden Ziel, Verantwortlichkeit und benötigte Eingaben festgehalten. Anschließend erfolgt die Umsetzung in der Laborumgebung mit minimal erforderlichen Rechten. Der Abschluss besteht aus Funktionsprüfung, Sicherheitskontrolle und Dokumentation des Sollzustands.
8. Schritt 8
   Tag 4: FIM-, Schwachstellen- und Pentest-Kontext ergänzen. Zunächst werden Ziel, Verantwortlichkeit und benötigte Eingaben festgehalten. Anschließend erfolgt die Umsetzung in der Laborumgebung mit minimal erforderlichen Rechten. Der Abschluss besteht aus Funktionsprüfung, Sicherheitskontrolle und Dokumentation des Sollzustands.
9. Schritt 9
   Tag 5: Wiederherstellung, Nachkontrolle und Reporting umsetzen. Zunächst werden Ziel, Verantwortlichkeit und benötigte Eingaben festgehalten. Anschließend erfolgt die Umsetzung in der Laborumgebung mit minimal erforderlichen Rechten. Der Abschluss besteht aus Funktionsprüfung, Sicherheitskontrolle und Dokumentation des Sollzustands.
10. Schritt 10
    Tag 5: Use Cases, Runbooks und Qualitätskennzahlen reviewen. Zunächst werden Ziel, Verantwortlichkeit und benötigte Eingaben festgehalten. Anschließend erfolgt die Umsetzung in der Laborumgebung mit minimal erforderlichen Rechten. Der Abschluss besteht aus Funktionsprüfung, Sicherheitskontrolle und Dokumentation des Sollzustands.
11. Schritt 11
    Schichtübergabe mit offener Hypothese und Evidenzpaket simulieren. Zunächst werden Ziel, Verantwortlichkeit und benötigte Eingaben festgehalten. Anschließend erfolgt die Umsetzung in der Laborumgebung mit minimal erforderlichen Rechten. Der Abschluss besteht aus Funktionsprüfung, Sicherheitskontrolle und Dokumentation des Sollzustands.
12. Schritt 12
    Verbesserungsbacklog nach Risiko und Wirksamkeit priorisieren. Zunächst werden Ziel, Verantwortlichkeit und benötigte Eingaben festgehalten. Anschließend erfolgt die Umsetzung in der Laborumgebung mit minimal erforderlichen Rechten. Der Abschluss besteht aus Funktionsprüfung, Sicherheitskontrolle und Dokumentation des Sollzustands.

Praxisübungen und Szenarien

Kapitelinhaltsverzeichnis: Triage eines mehrstufigen Angriffsszenarios; Detection-Tuning mit positivem und negativem Testdatensatz; Host-Isolation und Mikrosegmentierung mit Rückfallplan; Threat Hunt über Endpoint- und SIEM-Daten; Schichtübergabe mit Zeitlinie und offenen Prüfaufträgen.

Die Übungen werden mit klar abgegrenzten Testdaten und Rückfalloptionen durchgeführt. Zu jedem Szenario gehören Ausgangslage, Arbeitsauftrag, erwartete Beobachtung, Prüfkriterium und dokumentierte Abweichung.

1. Triage eines mehrstufigen Angriffsszenarios
2. Detection-Tuning mit positivem und negativem Testdatensatz
3. Host-Isolation und Mikrosegmentierung mit Rückfallplan
4. Threat Hunt über Endpoint- und SIEM-Daten
5. Schichtübergabe mit Zeitlinie und offenen Prüfaufträgen
6. Post-Incident-Review mit Anpassung von Use Case und Runbook

Betriebsstandards und Qualitätssicherung

Kapitelinhaltsverzeichnis: Use Cases nur mit gesicherter Datenverfügbarkeit aktiv betreiben; Alarmqualität, Bearbeitungszeit und Wiederholungsrate getrennt messen; Eindämmungsmaßnahmen nach Reversibilität und Betriebswirkung staffeln; Schichtübergaben mit standardisiertem Evidenzpaket durchführen; Angriffssimulationen regelmäßig als Wirksamkeitstest wiederholen.

Die Überführung in den Regelbetrieb erfolgt über definierte Eigentümer, Freigaben, Messwerte und Review-Termine. Konfigurationen werden erst nach positiver Laborprüfung und dokumentierter Abnahme ausgeweitet.

• Use Cases nur mit gesicherter Datenverfügbarkeit aktiv betreiben
• Alarmqualität, Bearbeitungszeit und Wiederholungsrate getrennt messen
• Eindämmungsmaßnahmen nach Reversibilität und Betriebswirkung staffeln
• Schichtübergaben mit standardisiertem Evidenzpaket durchführen
• Angriffssimulationen regelmäßig als Wirksamkeitstest wiederholen

Fehleranalyse und Wiederherstellung

Kapitelinhaltsverzeichnis: SIEM-Alarm besitzt keinen ausreichenden Asset-Kontext; mehrere Analysten bearbeiten denselben Vorfall parallel; Tuning reduziert Alarmmenge, aber auch Erkennungsabdeckung; Eindämmung wird durch fehlende Systemverantwortung verzögert; Schichtübergabe verliert eine noch offene Angriffshypothese.

Die Diagnose folgt einer festen Reihenfolge: Symptom eingrenzen, letzte Änderung bestimmen, Datenpfad prüfen, Berechtigungen kontrollieren, Gegenprobe ausführen und nur danach eine Änderung vornehmen. Jede Korrektur wird mit einem Negativ- und einem Positivtest verifiziert.

• SIEM-Alarm besitzt keinen ausreichenden Asset-Kontext
• mehrere Analysten bearbeiten denselben Vorfall parallel
• Tuning reduziert Alarmmenge, aber auch Erkennungsabdeckung
• Eindämmung wird durch fehlende Systemverantwortung verzögert
• Schichtübergabe verliert eine noch offene Angriffshypothese

Zielgruppe und Voraussetzungen

Kapitelinhaltsverzeichnis: Rollenprofil; erforderliches Vorwissen; Laborzugang; organisatorische Vorbereitung.

Teilnehmerkreis: SOC Analysts, Incident Response, Detection Engineering, Security Administration und technische SOC-Leitung.

Fachliche Voraussetzungen: Gute Kenntnisse zu Netzwerk, Hosts, Logs und Security-Prozessen; idealerweise Enginsight-Grundlagen oder vergleichbare Praxiserfahrung.

Für praktische Übungen werden administrative Rechte ausschließlich in der vorbereiteten Laborumgebung benötigt. Produktive Änderungen gehören nicht zum Seminarbetrieb.