Seminar ESET Threat Intelligence und Threat Hunting Grundlagen

Überblick

Inhaltsverzeichnis

• Einordnung und Einsatzbereich
• Zielgruppe
• Voraussetzungen
• Seminarinhalte nach Arbeitsschritten
• Praktische Übungen
• Administrationsleitfaden
• Abgrenzung und Aufbaupfad

Einordnung und Einsatzbereich

Threat Intelligence ist nur dann nützlich, wenn Indikatoren bewertet und in konkrete Such- oder Reaktionsprozesse übersetzt werden. Das Seminar vermittelt die Grundlagen für verwertbare Threat-Hunting-Arbeit.

Behandelt werden Indikatorarten, Kontextbewertung, Priorisierung, Suchhypothesen, Datenquellen, Dokumentation und Übergabe an Inspect- oder Incident-Prozesse.

Zielgruppe

Security Analysts, SOC-nahe Rollen, Security Engineers und Administratoren, die Bedrohungsinformationen technisch nutzbar machen.

Voraussetzungen

Grundkenntnisse in Netzwerken, Endpoint-Ereignissen, Malware-Begriffen und Sicherheitsanalyse werden vorausgesetzt.

Seminarinhalte nach Arbeitsschritten

Schritt 1: Threat-Intelligence-Begriffe ordnen

Indikatoren, Taktiken, Techniken, Kampagnen und Kontext werden voneinander getrennt.

• IoC-Typen unterscheiden
• Kontextqualität bewerten
• Relevanz für eigene Umgebung prüfen

Schritt 2: Indikatoren priorisieren

Nicht jeder Indikator ist gleich relevant. Priorisierung verhindert Sucharbeit ohne Ergebniswert.

• Aktualität bewerten
• Umgebungsbezug herstellen
• Falschpositive Risiken beachten

Schritt 3: Suchhypothesen formulieren

Threat Hunting beginnt mit einer überprüfbaren Annahme und nicht mit blindem Suchen.

• Hypothese schreiben
• Datenquelle zuordnen
• Erfolgskriterium festlegen

Schritt 4: Hunting-Ablauf durchführen

Suchen werden iterativ verfeinert und dokumentiert.

• Abfrage starten
• Ergebnisse filtern
• Funde klassifizieren

Schritt 5: Übergabe an Reaktion vorbereiten

Verwertbare Funde werden in Incident-, XDR- oder Hardening-Prozesse überführt.

• Priorität vergeben
• Betroffene Assets benennen
• Folgeaktion definieren

Praktische Übungen

Die Übungen orientieren sich an typischen Administrationsaufgaben und werden in einer nachvollziehbaren Reihenfolge durchgeführt. Jede Übung endet mit einer technischen Prüfung, damit Konfiguration, Wirkung und Protokollierung zusammenpassen.

1. Indikatorenliste nach Relevanz sortieren
2. Suchhypothese für verdächtige Netzwerkkommunikation erstellen
3. Hunting-Ergebnisse klassifizieren
4. Fund an Incident-Prozess übergeben und dokumentieren

Administrationsleitfaden

Der Leitfaden dient als Arbeitsfolge für den späteren Betrieb. Er reduziert Ad-hoc-Änderungen und sorgt dafür, dass Änderungen dokumentiert, geprüft und kontrolliert ausgerollt werden.

1. Indikatoren nie ohne Kontext verwenden
2. Hypothesen schriftlich formulieren
3. Suchergebnisse reproduzierbar speichern
4. Falschpositive dokumentieren
5. Verwertbare Funde in Response-Prozesse übergeben

Abgrenzung und Aufbaupfad

Das Seminar ergänzt LiveGuard Advanced und ESET Inspect und ist eine sinnvolle Vorbereitung auf das XDR-Intensivseminar.