Seminar HarfangLab Threat Hunting und MITRE ATT&CK

Dieses dreitägige Seminar richtet sich an Teams, die mit HarfangLab nicht nur auf Alarme reagieren, sondern aktiv nach Spuren von Angriffen suchen wollen. Grundlage sind Hypothesen, Endpoint-Telemetrie, TTP-orientiertes Denken und eine saubere Übergabe von Erkenntnissen an Detection Engineering und Incident Response.

Inhaltsübersicht

• Threat-Hunting-Methodik
• MITRE-orientierte Hypothesen
• Endpoint-Telemetrie und Prozessketten
• Hunt-Durchführung und Befundbewertung
• Detection-Lücken und Folgemaßnahmen

Praxisorientierte Seminarinhalte

Die Inhalte sind als geführte Arbeitsschritte aufgebaut. Jede Einheit verbindet Konfiguration, Analyse und operative Bewertung im Administrations- oder SOC-Kontext.

Kapitel 1: Hunting-Prozess aufbauen

1. Schritt 1: Unterschied zwischen Alarmtriage und proaktivem Hunting festlegen
2. Schritt 2: Hunt-Ziele, Zeitfenster und Datenquellen definieren
3. Schritt 3: Hypothesen aus Risiko, CTI und interner Lage ableiten
4. Schritt 4: Dokumentationsschema für Hunt-Ergebnisse vorbereiten

Kapitel 2: TTPs strukturieren

1. Schritt 1: Angreifertechniken nach Taktik und Ziel einordnen
2. Schritt 2: Techniken in beobachtbare Endpoint-Ereignisse übersetzen
3. Schritt 3: Priorisierte Hunt-Fragen formulieren
4. Schritt 4: Erwartete legitime Muster als Gegenprobe definieren

Kapitel 3: Telemetrie auswerten

1. Schritt 1: Prozessstarts, Skriptaktivität, Dateioperationen und Netzwerkbezug untersuchen
2. Schritt 2: Zeitliche Sequenzen und wiederkehrende Muster analysieren
3. Schritt 3: Auffälligkeiten gegen Baselines und Systemrolle prüfen
4. Schritt 4: Verdachtsketten mit weiteren Artefakten anreichern

Kapitel 4: Befunde bewerten

1. Schritt 1: Hunt-Ergebnisse in unauffällig, erklärungsbedürftig und bestätigter Verdacht trennen
2. Schritt 2: Eskalationskriterien für Incident Response anwenden
3. Schritt 3: Unsichere Befunde sauber dokumentieren
4. Schritt 4: Fachliche Rückfragen an Betrieb oder Applikationsteams formulieren

Kapitel 5: Detection verbessern

1. Schritt 1: Detection-Lücken aus Hunt-Ergebnissen ableiten
2. Schritt 2: Regelideen an YARA-, Sigma- oder IOC-Prozesse übergeben
3. Schritt 3: Whitelisting-Bedarf von Erkennungsbedarf trennen
4. Schritt 4: Regelmäßige Hunting-Zyklen planen

Praktische Übungen

• Formulierung einer Hunt-Hypothese zu lateraler Bewegung
• Analyse einer Prozess- und Skriptsequenz
• Bewertung unklarer Befunde
• Ableitung einer Detection-Idee aus einem Hunt-Ergebnis

Geeignet für

Geeignet für erfahrenere Security-Teams, die aus HarfangLab-Telemetrie aktive Suchprozesse, Detection-Verbesserungen und belastbare Lagebilder entwickeln wollen.

Voraussetzungen

Erforderlich sind gute Kenntnisse in Endpoint-Artefakten, SOC-Arbeit und Angreifertechniken. Für Einsteiger empfiehlt sich vorher das Seminar EDR Analyst Operations.