Seminar GLIMPS Malware: Automated Doubt Removal und Security-Workflows

Inhaltsübersicht

1. Seminarprofil
2. Lernziele
3. Schrittweise Seminarinhalte
   • 1. Anwendungsfälle und Entscheidungslogik
   • 2. Einreichungswege gestalten
   • 3. Workflow und Eskalation
   • 4. Kommunikation und Governance
   • 5. Messung und kontinuierliche Prüfung
4. Praxisübungen
5. Zielgruppe und Voraussetzungen
6. Methodik

Seminarprofil

Das Seminar entwickelt durchgängige Abläufe zur schnellen Klärung verdächtiger Dateien. Kiosk, Detect, E-Mail-Eingang, API, EDR, SOAR und Service-Desk-Prozesse werden so verbunden, dass Einreichung, Bewertung, Rückmeldung, Eskalation und Nachweis reproduzierbar funktionieren.

Lernziele

• Doubt-Removal-Fälle nach Risiko, Quelle und erforderlicher Reaktionszeit klassifizieren
• Geeignete Einreichungswege und Eskalationsstufen festlegen
• Automatisierte Rückmeldungen und menschliche Entscheidungen sauber trennen
• SOAR- und Service-Desk-Abläufe fehlertolerant gestalten
• Qualität und Wirksamkeit durch Kennzahlen und Kontrolltests nachweisen

Schrittweise Seminarinhalte

1. Anwendungsfälle und Entscheidungslogik

1. Schritt 1: Eingangsquellen wie E-Mail, Webdownload, Datenträger, Kollaborationsplattform und EDR erfassen.
2. Schritt 2: Risiko, Dringlichkeit, Schutzbedarf und zulässige Reaktionszeit je Fallklasse festlegen.
3. Schritt 3: Automatisch entscheidbare Fälle von analystenpflichtigen Fällen abgrenzen.
4. Schritt 4: Eindeutige Ergebnisse für sauber, verdächtig, schädlich, unklar und technisch fehlgeschlagen definieren.

2. Einreichungswege gestalten

1. Schritt 1: Kiosk als benutzerfreundlichen Eingang mit verständlichen Handlungsanweisungen konfigurieren.
2. Schritt 2: E-Mail-basierte Prüfung mit sicheren Weiterleitungs- und Rückmeldeprozessen planen.
3. Schritt 3: Detect-API für Anwendungen, EDR und Workflow-Plattformen anbinden.
4. Schritt 4: Duplikate, große Dateien, verschlüsselte Archive und nicht unterstützte Formate kontrolliert behandeln.

3. Workflow und Eskalation

1. Schritt 1: Normalpfad von Eingang bis Rückmeldung als überprüfbare Zustandsfolge modellieren.
2. Schritt 2: Schädliche oder unklare Dateien an Expert, SOC oder Incident Response übergeben.
3. Schritt 3: Quarantäne, Sperrung, Ticketanlage und Benachrichtigung mit Verantwortlichkeiten verknüpfen.
4. Schritt 4: Timeouts, Wiederholungen, manuelle Übersteuerung und Rückfallverfahren ergänzen.

4. Kommunikation und Governance

1. Schritt 1: Rückmeldungen für Benutzer, Service Desk, SOC und Management rollenbezogen formulieren.
2. Schritt 2: Datensparsame Protokollierung, Aufbewahrung und Zugriffskontrolle festlegen.
3. Schritt 3: Freigaben für Regeln, Ausnahmen, Whitelists und Automatisierungsänderungen definieren.
4. Schritt 4: Missbrauchs- und Fehlbedienungsfälle in Kontrollmaßnahmen übersetzen.

5. Messung und kontinuierliche Prüfung

1. Schritt 1: Kennzahlen für Eingangsvolumen, Bearbeitungszeit, Eskalationsquote und Fehlerrate definieren.
2. Schritt 2: Stichproben und synthetische Testdateien für regelmäßige Funktionskontrollen einsetzen.
3. Schritt 3: Engpässe, übermäßige Eskalationen und wiederkehrende Fehlerbilder analysieren.
4. Schritt 4: Verbesserungsmaßnahmen mit Verantwortlichem, Termin und Wirksamkeitsnachweis dokumentieren.

Praxisübungen

1. Modellierung eines vollständigen Zweifelklärungsprozesses vom Benutzer bis zum SOC
2. Entwurf eines SOAR-Playbooks mit Normal-, Fehler- und Eskalationspfad
3. Formulierung rollenbezogener Rückmeldungen für fünf Ergebniszustände
4. Aufbau eines Kennzahlensatzes und eines monatlichen Kontrolltests

Zielgruppe und Voraussetzungen

Zielgruppe: SOC-Teams, Service Desk, Security Operations, Automatisierungsverantwortliche, E-Mail-Security- und EDR-Teams

Voraussetzungen: Grundkenntnisse in Sicherheitsprozessen, Ticketing, API-basierten Workflows und Incident-Eskalation

Methodik

Fachliche Einordnung, technische Demonstration und praktische Umsetzung wechseln sich ab. Jeder Themenblock folgt derselben belastbaren Reihenfolge: Ziel und Risiko bestimmen, Konfiguration oder Analyse durchführen, Sollzustand prüfen, Fehlerfall testen und den wiederholbaren Betriebsablauf dokumentieren.