Seminar GLIMPS Malware: Überblick, Bedienung und sichere Dateianalyse

Inhaltsübersicht

1. Seminarprofil
2. Lernziele
3. Schrittweise Seminarinhalte
   • 1. Plattform und Rollen
   • 2. Sichere Probenübernahme
   • 3. Einreichung und Ergebnis
   • 4. Bericht und Kontext
   • 5. Integration und Betriebseinordnung
4. Praxisübungen
5. Zielgruppe und Voraussetzungen
6. Methodik

Seminarprofil

Das Seminar vermittelt einen praxisnahen Einstieg in die GLIMPS-Malware-Plattform. Kiosk, Detect und Expert werden entlang eines sicheren Dateiprüfprozesses eingeordnet; Einreichung, Ergebniszustände, Berichte, Indikatoren, Eskalation und grundlegende Integrationswege werden an einem durchgängigen Beispiel bearbeitet.

Lernziele

• Kiosk, Detect und Expert nach Aufgabe und Zielgruppe unterscheiden
• Verdächtige Dateien sicher übernehmen und einreichen
• Ergebniszustände und grundlegende Berichtselemente korrekt deuten
• Indikatoren und Analysehinweise für weitere Schritte nutzen
• Grenzen der automatisierten Bewertung erkennen und richtig eskalieren

Schrittweise Seminarinhalte

1. Plattform und Rollen

1. Schritt 1: Kiosk als benutzernahe Prüfung, Detect als automatisierte Analyse und Expert als Vertiefung einordnen.
2. Schritt 2: Typische Rollen für Anwender, Service Desk, Administration, SOC und Incident Response zuordnen.
3. Schritt 3: SaaS- und On-Premises-Betrieb auf Grundebene unterscheiden.
4. Schritt 4: Übergaben und Verantwortlichkeiten in einem einfachen Prozessbild darstellen.

2. Sichere Probenübernahme

1. Schritt 1: Datei nicht unnötig öffnen, ausführen oder entpacken.
2. Schritt 2: Quelle, Zeitpunkt, erwarteter Inhalt und Hashwert soweit verfügbar erfassen.
3. Schritt 3: Geeigneten Einreichungsweg nach Rolle und Dringlichkeit auswählen.
4. Schritt 4: Incident-Prozess aktivieren, wenn eine Ausführung oder erkennbare Auswirkung bereits vorliegt.

3. Einreichung und Ergebnis

1. Schritt 1: Probe über Kiosk oder Detect einreichen und Auftragsstatus verfolgen.
2. Schritt 2: Sauber, verdächtig, schädlich, unklar und technisch fehlgeschlagen unterscheiden.
3. Schritt 3: Cache, erneute Analyse und Wartezeit als betriebliche Faktoren einordnen.
4. Schritt 4: Rückmeldung und nächste Handlung anhand der Richtlinie auswählen.

4. Bericht und Kontext

1. Schritt 1: Dateimetadaten, Auffälligkeiten, Indikatoren und erkannte Funktionen lokalisieren.
2. Schritt 2: Automatische Aussage und belegende Evidenz voneinander trennen.
3. Schritt 3: Grundlegende ATT&CK- und IOC-Informationen für SOC oder Incident Response erfassen.
4. Schritt 4: Vertiefte Analyse in Expert für unklare oder schwerwiegende Fälle einplanen.

5. Integration und Betriebseinordnung

1. Schritt 1: API, ICAP, SMTP, Host Connector, SIEM und SOAR als Integrationswege unterscheiden.
2. Schritt 2: Monitoring, Alerting, Protokollierung und Datenschutz als Betriebsanforderungen benennen.
3. Schritt 3: Typische Fehler in Netzwerk, TLS, Token oder Datei erkennen.
4. Schritt 4: Geeigneten Folgekurs nach Rolle und Projektziel auswählen.

Praxisübungen

1. Durchgängige Prüfung einer Datei über Kiosk oder Detect
2. Interpretation mehrerer Ergebniszustände und Berichtsabschnitte
3. Erstellung einer kurzen SOC-Übergabe mit IOC- und Kontextdaten
4. Zuordnung von Integrations- und Betriebsaufgaben zu Rollen

Zielgruppe und Voraussetzungen

Zielgruppe: IT-Sicherheit, Administration, DevOps, Service Desk, SOC, Projektleitung und technische Entscheider

Voraussetzungen: Allgemeine Kenntnisse in IT, Dateien, Netzwerk und Sicherheitsgrundbegriffen

Methodik

Fachliche Einordnung, technische Demonstration und praktische Umsetzung wechseln sich ab. Jeder Themenblock folgt derselben belastbaren Reihenfolge: Ziel und Risiko bestimmen, Konfiguration oder Analyse durchführen, Sollzustand prüfen, Fehlerfall testen und den wiederholbaren Betriebsablauf dokumentieren.