Seminar GLIMPS Malware: Detect Administration und Integration

Inhaltsübersicht

1. Seminarprofil
2. Lernziele
3. Schrittweise Seminarinhalte
   • 1. Architektur und Bereitstellung
   • 2. Grundkonfiguration und Berechtigungen
   • 3. Schnittstellen und Dateiflüsse
   • 4. Alarmierung und Beobachtbarkeit
   • 5. Wartung und Wiederherstellbarkeit
   • 6. Betriebsdiagnose
4. Praxisübungen
5. Zielgruppe und Voraussetzungen
6. Methodik

Seminarprofil

Das Seminar vermittelt den strukturierten Aufbau und Tagesbetrieb von GLIMPS Malware Detect. Behandelt werden Bereitstellung, Grundkonfiguration, Einreichungsschnittstellen, Richtlinien, Cache, Alarmierung, Rollen, Sicherung, Aktualisierung und systematische Betriebsprüfung.

Lernziele

• Detect-Komponenten, Datenflüsse und Betriebsabhängigkeiten erklären
• Grundkonfiguration, Zugänge, Token und Schnittstellen kontrolliert einrichten
• Analyse- und Benachrichtigungsabläufe für verschiedene Dateiquellen konfigurieren
• Cache, Kapazität, Protokollierung und Rollen sicher betreiben
• Backups, Updates, Funktionsprüfungen und Störungsbehandlung standardisieren

Schrittweise Seminarinhalte

1. Architektur und Bereitstellung

1. Schritt 1: Betriebsmodell, Netzwerkzonen, Datenflüsse und abhängige Dienste dokumentieren.
2. Schritt 2: Systemvoraussetzungen, Namensauflösung, Zeitquelle, Zertifikate und Speicher prüfen.
3. Schritt 3: SaaS- oder On-Premises-Zugriff mit klaren Verantwortlichkeiten vorbereiten.
4. Schritt 4: Technische Abnahme mit Erreichbarkeit, Authentifizierung und Testeinreichung durchführen.

2. Grundkonfiguration und Berechtigungen

1. Schritt 1: Administrative und technische Konten nach Aufgaben trennen.
2. Schritt 2: API-Token mit minimalem Umfang ausstellen, dokumentieren und sicher hinterlegen.
3. Schritt 3: Dateigrenzen, Analyseoptionen, Cache-Verhalten und Aufbewahrung festlegen.
4. Schritt 4: Änderungen nachvollziehbar testen, genehmigen und in den Regelbetrieb übernehmen.

3. Schnittstellen und Dateiflüsse

1. Schritt 1: REST-API für Anwendungen und Automatisierung einrichten und prüfen.
2. Schritt 2: ICAP- und SMTP-Flüsse anhand definierter Normal- und Fehlerfälle anbinden.
3. Schritt 3: Host Connector und weitere Dateiquellen mit eindeutigen Tags und Eigentümern integrieren.
4. Schritt 4: Ergebnisse, Berichte und Kontextdaten an nachgelagerte Systeme übergeben.

4. Alarmierung und Beobachtbarkeit

1. Schritt 1: Benachrichtigungen für relevante Befunde und technische Fehler konfigurieren.
2. Schritt 2: E-Mail, Syslog, SIEM- oder CTI-Ziele mit Testnachrichten verifizieren.
3. Schritt 3: Dashboard, Logs und Kennzahlen für Volumen, Dauer, Fehler und Treffer auswerten.
4. Schritt 4: Schwellenwerte und Eskalationen so festlegen, dass kritische Ereignisse nicht in Grundrauschen untergehen.

5. Wartung und Wiederherstellbarkeit

1. Schritt 1: Sicherungsumfang, Wiederherstellungsreihenfolge und Verantwortlichkeiten dokumentieren.
2. Schritt 2: Updates zunächst in einer kontrollierten Umgebung prüfen und mit Rückfallplan freigeben.
3. Schritt 3: Token, Zertifikate und Geheimnisse turnusmäßig erneuern.
4. Schritt 4: Regelmäßige Funktions-, Kapazitäts- und Wiederherstellungstests protokollieren.

6. Betriebsdiagnose

1. Schritt 1: Störungen nach Netzwerk, TLS, Authentifizierung, Datei, Analyse, Benachrichtigung und Last klassifizieren.
2. Schritt 2: Reproduzierbare Minimaltests und Korrelationskennungen verwenden.
3. Schritt 3: Cache-, Queue- und Ressourcenverhalten bei Verzögerungen prüfen.
4. Schritt 4: Eskalationspaket mit Zeitlinie, Logs, Konfiguration und reproduzierbarem Testfall erstellen.

Praxisübungen

1. Aufbau einer Grundkonfiguration mit getrennten Rollen und Token
2. Einrichtung und Test von API-, ICAP- und Benachrichtigungspfad
3. Durchführung eines Sicherungs- und Wiederherstellungsszenarios
4. Fehlersuche bei TLS-, Token-, Datei- und Lastproblemen

Zielgruppe und Voraussetzungen

Zielgruppe: Administratoren, DevOps- und Plattformteams, SOC Engineering, Security Operations und technische Serviceverantwortliche

Voraussetzungen: Grundkenntnisse in Linux oder Plattformbetrieb, Netzwerk, TLS, APIs, Protokollierung und Sicherungsverfahren

Methodik

Fachliche Einordnung, technische Demonstration und praktische Umsetzung wechseln sich ab. Jeder Themenblock folgt derselben belastbaren Reihenfolge: Ziel und Risiko bestimmen, Konfiguration oder Analyse durchführen, Sollzustand prüfen, Fehlerfall testen und den wiederholbaren Betriebsablauf dokumentieren.