Seminar HarfangLab EDR Analyst Operations

Dieses dreitägige Seminar schult die operative Analystenarbeit mit HarfangLab EDR. Behandelt werden Security Events, Threats, Prozess- und Eltern-Kind-Beziehungen, Korrelation, Priorisierung und die Entscheidung, wann ein Verdacht geschlossen, weiter untersucht oder eskaliert wird.

Inhaltsübersicht

• EDR-Datenmodell und Analystenansicht
• Security Events und Threats qualifizieren
• Prozessketten und Korrelation auswerten
• Triage-Entscheidungen treffen
• Eskalation und Dokumentation

Praxisorientierte Seminarinhalte

Die Inhalte sind als geführte Arbeitsschritte aufgebaut. Jede Einheit verbindet Konfiguration, Analyse und operative Bewertung im Administrations- oder SOC-Kontext.

Kapitel 1: Analystenoberfläche und Datenmodell

1. Schritt 1: Relevante Konsolenbereiche für Triage und Untersuchung identifizieren
2. Schritt 2: Security Events, Threats und Telemetrie fachlich voneinander abgrenzen
3. Schritt 3: Filter und Sichten für Tagesbetrieb und Incident-Fälle vorbereiten
4. Schritt 4: Schweregrad, Status und Zuständigkeit sauber pflegen

Kapitel 2: Security Events qualifizieren

1. Schritt 1: Erkennungsquelle und Regelkontext prüfen
2. Schritt 2: Betroffenen Endpoint, Benutzer, Prozess und Datei erfassen
3. Schritt 3: Erste Hypothese zu legitimer Aktivität oder Angriff bilden
4. Schritt 4: Sofortmaßnahmen und weitere Prüfpunkte ableiten

Kapitel 3: Prozessketten analysieren

1. Schritt 1: Parent- und Child-Prozesse auswerten
2. Schritt 2: Verdächtige Kommandozeilen und Skriptabläufe bewerten
3. Schritt 3: Zeitliche Nähe mehrerer Ereignisse prüfen
4. Schritt 4: Korrelationen zu wiederkehrenden Events oder Kampagnen erkennen

Kapitel 4: Triage-Entscheidungen standardisieren

1. Schritt 1: Kriterien für False Positive, verdächtig und bestätigt definieren
2. Schritt 2: Schwellwerte für Eskalation festlegen
3. Schritt 3: Analystennotizen nachvollziehbar formulieren
4. Schritt 4: Entscheidungen mit verfügbaren Artefakten belegen

Kapitel 5: Eskalation vorbereiten

1. Schritt 1: Incident-Übergabe an Response-Teams strukturieren
2. Schritt 2: Minimal erforderliche Informationen für Eskalationen sammeln
3. Schritt 3: Kommunikation mit IT-Betrieb und Fachbereich vorbereiten
4. Schritt 4: Abschluss- und Review-Informationen dokumentieren

Praktische Übungen

• Triage mehrerer Security Events mit unterschiedlicher Kritikalität
• Analyse einer Prozesskette mit PowerShell- und Skriptanteilen
• Erstellung einer Eskalationsnotiz
• Abgrenzung zwischen False Positive und bestätigtem Verdacht

Geeignet für

Geeignet für SOC-Teams, die HarfangLab als tägliches Analysewerkzeug einsetzen und Entscheidungen unter Zeitdruck belastbar treffen müssen.

Voraussetzungen

Vorausgesetzt werden Grundkenntnisse in Security Monitoring, Endpoint-Artefakten und Incident-Prozessen. Erfahrung mit anderen EDR-Produkten erleichtert den Einstieg.