Seminar Enginsight SIEM und Log-Management

Seminar / Training

Inhaltsübersicht

1. Einordnung und Lernziele
2. Technische Bausteine
3. Schrittweise Umsetzung
4. Praxisübungen und Szenarien
5. Betriebsstandards und Qualitätssicherung
6. Fehleranalyse und Wiederherstellung
7. Zielgruppe und Voraussetzungen

Einordnung und Lernziele

Kapitelinhaltsverzeichnis: Logquellen nach Sicherheitsnutzen und Datenqualität priorisieren; Datenaufnahme, Normalisierung und Indexierung prüfen; Event Streams und Cockpits für konkrete Analyseziele erstellen; mehrstufige Ereignisse korrelieren und priorisieren; Workflows und Reaktionen kontrolliert anbinden.

Logdaten werden sicher aufgenommen, normalisiert, gefiltert und mit Asset- sowie Security-Kontext korreliert; Event Streams, Cockpits, Workflows und Untersuchungen werden zu einem belastbaren SIEM-Betrieb verbunden.

Begründung der Dauer: Drei Tage sind erforderlich, weil Datenquellen-Onboarding, Parser- und Feldprüfung, Streams, Dashboards, Korrelation, Workflows, Investigation, Datenschutz und Tuning praktisch umgesetzt werden.

Die Lernziele werden über nachvollziehbare Sollzustände, praktische Konfigurationen und überprüfbare Kontrollpunkte bearbeitet.

• Logquellen nach Sicherheitsnutzen und Datenqualität priorisieren
• Datenaufnahme, Normalisierung und Indexierung prüfen
• Event Streams und Cockpits für konkrete Analyseziele erstellen
• mehrstufige Ereignisse korrelieren und priorisieren
• Workflows und Reaktionen kontrolliert anbinden
• Retention, Datenschutz, Tuning und Betriebskennzahlen gestalten

Technische Bausteine

Kapitelinhaltsverzeichnis: SIEM-Architektur, Data Lake und Datenflüsse; Quellen-Onboarding, Parser, Felder und Zeitstempel; Normalisierung, Indexierung und Suchstrategie; Event Streams, Filter und Cockpits; Korrelation, Sequenzen und Risikoanreicherung.

Die technischen Inhalte werden nicht isoliert betrachtet. Jede Funktion wird in Datenfluss, Verantwortlichkeit, Schutzbedarf und nachgelagerte Betriebsprozesse eingeordnet.

• SIEM-Architektur, Data Lake und Datenflüsse
• Quellen-Onboarding, Parser, Felder und Zeitstempel
• Normalisierung, Indexierung und Suchstrategie
• Event Streams, Filter und Cockpits
• Korrelation, Sequenzen und Risikoanreicherung
• Workflows, Alarmierung und Reaktionsschritte
• Pseudonymisierung, Rollen und Aufbewahrung
• Investigation, Tuning und Qualitätskennzahlen

Schrittweise Umsetzung

Kapitelinhaltsverzeichnis: Schutzziel und priorisierte Logquellen festlegen; Datenquelle mit Eigentümer, Format und Zeitzone dokumentieren; erste Datenaufnahme durchführen und Vollständigkeit prüfen; Parser- und Feldmapping an repräsentativen Ereignissen validieren; Event Stream für ein klar definiertes Suchziel erstellen.

Der folgende Ablauf bildet einen wiederholbaren Labor- und Betriebsprozess. Jeder Schritt endet mit einem dokumentierten Prüfpunkt, bevor die nächste Stufe begonnen wird.

1. Schritt 1
   Schutzziel und priorisierte Logquellen festlegen. Zunächst werden Ziel, Verantwortlichkeit und benötigte Eingaben festgehalten. Anschließend erfolgt die Umsetzung in der Laborumgebung mit minimal erforderlichen Rechten. Der Abschluss besteht aus Funktionsprüfung, Sicherheitskontrolle und Dokumentation des Sollzustands.
2. Schritt 2
   Datenquelle mit Eigentümer, Format und Zeitzone dokumentieren. Zunächst werden Ziel, Verantwortlichkeit und benötigte Eingaben festgehalten. Anschließend erfolgt die Umsetzung in der Laborumgebung mit minimal erforderlichen Rechten. Der Abschluss besteht aus Funktionsprüfung, Sicherheitskontrolle und Dokumentation des Sollzustands.
3. Schritt 3
   erste Datenaufnahme durchführen und Vollständigkeit prüfen. Zunächst werden Ziel, Verantwortlichkeit und benötigte Eingaben festgehalten. Anschließend erfolgt die Umsetzung in der Laborumgebung mit minimal erforderlichen Rechten. Der Abschluss besteht aus Funktionsprüfung, Sicherheitskontrolle und Dokumentation des Sollzustands.
4. Schritt 4
   Parser- und Feldmapping an repräsentativen Ereignissen validieren. Zunächst werden Ziel, Verantwortlichkeit und benötigte Eingaben festgehalten. Anschließend erfolgt die Umsetzung in der Laborumgebung mit minimal erforderlichen Rechten. Der Abschluss besteht aus Funktionsprüfung, Sicherheitskontrolle und Dokumentation des Sollzustands.
5. Schritt 5
   Event Stream für ein klar definiertes Suchziel erstellen. Zunächst werden Ziel, Verantwortlichkeit und benötigte Eingaben festgehalten. Anschließend erfolgt die Umsetzung in der Laborumgebung mit minimal erforderlichen Rechten. Der Abschluss besteht aus Funktionsprüfung, Sicherheitskontrolle und Dokumentation des Sollzustands.
6. Schritt 6
   Cockpit mit handlungsorientierten Widgets aufbauen. Zunächst werden Ziel, Verantwortlichkeit und benötigte Eingaben festgehalten. Anschließend erfolgt die Umsetzung in der Laborumgebung mit minimal erforderlichen Rechten. Der Abschluss besteht aus Funktionsprüfung, Sicherheitskontrolle und Dokumentation des Sollzustands.
7. Schritt 7
   mehrere Ereignisse über Zeitfenster und Asset-Kontext korrelieren. Zunächst werden Ziel, Verantwortlichkeit und benötigte Eingaben festgehalten. Anschließend erfolgt die Umsetzung in der Laborumgebung mit minimal erforderlichen Rechten. Der Abschluss besteht aus Funktionsprüfung, Sicherheitskontrolle und Dokumentation des Sollzustands.
8. Schritt 8
   Alarmpriorität und erforderliche Evidenzen festlegen. Zunächst werden Ziel, Verantwortlichkeit und benötigte Eingaben festgehalten. Anschließend erfolgt die Umsetzung in der Laborumgebung mit minimal erforderlichen Rechten. Der Abschluss besteht aus Funktionsprüfung, Sicherheitskontrolle und Dokumentation des Sollzustands.
9. Schritt 9
   Workflow mit manueller Freigabe und Rückfalloption entwerfen. Zunächst werden Ziel, Verantwortlichkeit und benötigte Eingaben festgehalten. Anschließend erfolgt die Umsetzung in der Laborumgebung mit minimal erforderlichen Rechten. Der Abschluss besteht aus Funktionsprüfung, Sicherheitskontrolle und Dokumentation des Sollzustands.
10. Schritt 10
    Investigation anhand einer Ereigniszeitlinie durchführen. Zunächst werden Ziel, Verantwortlichkeit und benötigte Eingaben festgehalten. Anschließend erfolgt die Umsetzung in der Laborumgebung mit minimal erforderlichen Rechten. Der Abschluss besteht aus Funktionsprüfung, Sicherheitskontrolle und Dokumentation des Sollzustands.
11. Schritt 11
    False Positives analysieren und Tuning dokumentieren. Zunächst werden Ziel, Verantwortlichkeit und benötigte Eingaben festgehalten. Anschließend erfolgt die Umsetzung in der Laborumgebung mit minimal erforderlichen Rechten. Der Abschluss besteht aus Funktionsprüfung, Sicherheitskontrolle und Dokumentation des Sollzustands.
12. Schritt 12
    Retention, Zugriff und Betriebsmetriken festlegen. Zunächst werden Ziel, Verantwortlichkeit und benötigte Eingaben festgehalten. Anschließend erfolgt die Umsetzung in der Laborumgebung mit minimal erforderlichen Rechten. Der Abschluss besteht aus Funktionsprüfung, Sicherheitskontrolle und Dokumentation des Sollzustands.

Praxisübungen und Szenarien

Kapitelinhaltsverzeichnis: Onboarding einer Beispiel-Logquelle mit Feldprüfung; Event Stream und Cockpit für privilegierte Aktivitäten; Korrelation eines mehrstufigen Angriffsmusters; Investigation mit Zeitlinie, Asset- und Benutzerkontext; Tuning-Runde mit Positiv- und Negativtest.

Die Übungen werden mit klar abgegrenzten Testdaten und Rückfalloptionen durchgeführt. Zu jedem Szenario gehören Ausgangslage, Arbeitsauftrag, erwartete Beobachtung, Prüfkriterium und dokumentierte Abweichung.

1. Onboarding einer Beispiel-Logquelle mit Feldprüfung
2. Event Stream und Cockpit für privilegierte Aktivitäten
3. Korrelation eines mehrstufigen Angriffsmusters
4. Investigation mit Zeitlinie, Asset- und Benutzerkontext
5. Tuning-Runde mit Positiv- und Negativtest

Betriebsstandards und Qualitätssicherung

Kapitelinhaltsverzeichnis: Quellen nur mit Eigentümer und dokumentierter Datenqualität betreiben; Zeitstempel und Zeitzonen vor jeder Korrelation normalisieren; Workflows zunächst mit manueller Freigabe einsetzen; Pseudonymisierung und Depseudonymisierung rollenbasiert steuern; Speicher, Ingest, Suchlatenz und Alarmqualität kontinuierlich messen.

Die Überführung in den Regelbetrieb erfolgt über definierte Eigentümer, Freigaben, Messwerte und Review-Termine. Konfigurationen werden erst nach positiver Laborprüfung und dokumentierter Abnahme ausgeweitet.

• Quellen nur mit Eigentümer und dokumentierter Datenqualität betreiben
• Zeitstempel und Zeitzonen vor jeder Korrelation normalisieren
• Workflows zunächst mit manueller Freigabe einsetzen
• Pseudonymisierung und Depseudonymisierung rollenbasiert steuern
• Speicher, Ingest, Suchlatenz und Alarmqualität kontinuierlich messen

Fehleranalyse und Wiederherstellung

Kapitelinhaltsverzeichnis: Logquelle liefert nach Formatänderung keine verwertbaren Felder; Zeitstempel liegt in falscher Zeitzone; Event Stream ist zu breit und erzeugt hohe Datenmengen; Korrelation erzeugt mehrere Alarme für denselben Vorgang; Retention reicht für eine Untersuchung nicht aus.

Die Diagnose folgt einer festen Reihenfolge: Symptom eingrenzen, letzte Änderung bestimmen, Datenpfad prüfen, Berechtigungen kontrollieren, Gegenprobe ausführen und nur danach eine Änderung vornehmen. Jede Korrektur wird mit einem Negativ- und einem Positivtest verifiziert.

• Logquelle liefert nach Formatänderung keine verwertbaren Felder
• Zeitstempel liegt in falscher Zeitzone
• Event Stream ist zu breit und erzeugt hohe Datenmengen
• Korrelation erzeugt mehrere Alarme für denselben Vorgang
• Retention reicht für eine Untersuchung nicht aus

Zielgruppe und Voraussetzungen

Kapitelinhaltsverzeichnis: Rollenprofil; erforderliches Vorwissen; Laborzugang; organisatorische Vorbereitung.

Teilnehmerkreis: SIEM-Administration, SOC Analysts, Security Engineering, Incident Response und Plattformadministration.

Fachliche Voraussetzungen: Gute Kenntnisse zu Logs, Netzwerk und Security-Ereignissen; vorbereitete Logquellen oder Labor-Datensätze.

Für praktische Übungen werden administrative Rechte ausschließlich in der vorbereiteten Laborumgebung benötigt. Produktive Änderungen gehören nicht zum Seminarbetrieb.