Seminar GoodAccess Monitoring, SIEM-Integration und Log-Analyse

Inhaltsübersicht

• Logquellen und Ereignistypen
• SIEM-Zielsystem und Transportweg
• Admin-, Threat-, Device- und Gateway-Logs
• Alarmregeln und Korrelation
• Reaktionsabläufe bei Vorfällen
• Qualitätssicherung und Betriebskontrollen

Praxisorientierte Beschreibung

Das Seminar behandelt Monitoring und SIEM-Anbindung für GoodAccess. Vermittelt werden Log-Arten, Weiterleitung, Transportprotokolle, Ereignisklassifikation, Alarmierung, Korrelation mit Security-Prozessen und Reaktion auf Auffälligkeiten. Zwei Tage sind erforderlich, weil Logs ohne Auswertung nur teure Textsammlungen sind.

Zielgruppe

Security-Operations-Teams, SIEM-Verantwortliche, GoodAccess-Administrierende und IT-Betriebsteams mit Monitoring-Aufgaben.

Voraussetzungen

Grundkenntnisse in Log-Analyse, SIEM-Grundlagen, Netzwerkprotokollen und IT-Sicherheitsprozessen.

Schrittweise Inhalte

Schritt 1: Logbedarf definieren

Zuerst werden sicherheitsrelevante Fragen festgelegt: Wer greift worauf zu, welche Geräte fallen durch, welche Bedrohungen werden blockiert.

Schritt 2: SIEM-Anbindung planen

Danach werden Zielhost, Port, Transportprotokoll, TLS-Anforderungen und Datenkategorien bestimmt.

Schritt 3: Ereignisse klassifizieren

Admin Logs, Threat Blocker Logs, Device Posture Logs und Gateway Access Logs werden nach Relevanz und Kritikalität eingeordnet.

Schritt 4: Alarmierung entwerfen

Auffällige Muster wie ungewöhnliche Länder, wiederholte Zugriffsfehler oder nicht konforme Geräte werden in Regeln übersetzt.

Schritt 5: Reaktionsprozess testen

Zum Abschluss wird ein Ereignis vom Logeintrag über Alarmierung bis zur administrativen Maßnahme durchgespielt.

Praxisübungen

• Planung einer SIEM-Weiterleitung
• Klassifikation typischer GoodAccess-Logs
• Entwurf von Alarmregeln
• Durchspielen einer Incident-Kette auf Basis von Gateway- und Geräteereignissen

Umsetzung im Betrieb

• Nur Logs sammeln, die ausgewertet werden
• Alarmregeln regelmäßig justieren
• SIEM-Verbindung überwachen
• Automatisierte Reaktionen nur nach sauberer Freigabe aktivieren