Seminar Intruder – Risikobasierte Priorisierung und Security Operations

Schweregrade allein reichen für belastbare Prioritäten nicht aus. Exposition, tatsächliche Ausnutzbarkeit, Asset-Kritikalität, vorhandene Schutzmaßnahmen und mögliche Angriffspfade müssen zu einer nachvollziehbaren Entscheidung verbunden werden.

Das Seminar entwickelt ein Prioritätsmodell und integriert es in Triage, Eskalation und Security Operations. Übungen zeigen, wie widersprüchliche Signale bewertet und operative Warteschlangen vor Überlastung geschützt werden.

Inhaltsübersicht

1. Risikofaktoren und Datenqualität
2. Prioritätsmodell und Kalibrierung
3. Triage und operative Warteschlangen
4. SOC- und Incident-nahe Übergaben
5. SLAs, Eskalation und Kennzahlen
6. Praxis und Übungen
7. Arbeitsweise
8. Vorkenntnisse und Zielgruppe

Zielsetzung

Befunde können nach einem transparenten, wiederholbaren Risikomodell priorisiert und in Security-Operations-Abläufe überführt werden. Eskalationen und Fristen folgen nachvollziehbaren Kriterien statt Einzelentscheidungen.

Schrittweise Seminarinhalte

1. Risikofaktoren und Datenqualität

Schwerpunkt: technischer Schweregrad, Exposition, Ausnutzbarkeit, Asset-Wert, Identitätsbezug, Schutzmaßnahmen und Unsicherheit.

1. Ausgangslage, Schutzbedarf und messbare Zielkriterien für den Themenblock „Risikofaktoren und Datenqualität“ erfassen.
2. Relevante Objekte, Rollen und Abhängigkeiten anhand von technischer Schweregrad, Exposition, Ausnutzbarkeit, Asset-Wert, Identitätsbezug, Schutzmaßnahmen und Unsicherheit strukturiert modellieren.
3. Risikofaktoren definieren und ihre Datenquellen bewerten und jeden Konfigurations- beziehungsweise Prozessschritt protokollieren.
4. Vollständigkeit, Aktualität und dokumentierte Unsicherheit mit definierten Positiv-, Negativ- und Fehlerfällen prüfen.
5. Als Arbeitsergebnis einen abgestimmten Risikofaktorenkatalog dokumentieren, fachlich abnehmen und in einen wiederholbaren Standard überführen.

2. Prioritätsmodell und Kalibrierung

Schwerpunkt: Gewichtung, Schwellenwerte, Override-Regeln, zeitkritische Bedrohungen, kombinierte Befunde und Geschäftsfolgen.

1. Ausgangslage, Schutzbedarf und messbare Zielkriterien für den Themenblock „Prioritätsmodell und Kalibrierung“ erfassen.
2. Relevante Objekte, Rollen und Abhängigkeiten anhand von Gewichtung, Schwellenwerte, Override-Regeln, zeitkritische Bedrohungen, kombinierte Befunde und Geschäftsfolgen strukturiert modellieren.
3. Ein Prioritätsmodell auf einen Beispieldatensatz anwenden und kalibrieren und jeden Konfigurations- beziehungsweise Prozessschritt protokollieren.
4. Stabile Entscheidungen und nachvollziehbare Ausnahmen mit definierten Positiv-, Negativ- und Fehlerfällen prüfen.
5. Als Arbeitsergebnis eine freigegebene Prioritätsmatrix dokumentieren, fachlich abnehmen und in einen wiederholbaren Standard überführen.

3. Triage und operative Warteschlangen

Schwerpunkt: Eingangskanäle, Deduplizierung, Zuständigkeiten, Triage-Zeit, Eskalation und Kapazitätsgrenzen.

1. Ausgangslage, Schutzbedarf und messbare Zielkriterien für den Themenblock „Triage und operative Warteschlangen“ erfassen.
2. Relevante Objekte, Rollen und Abhängigkeiten anhand von Eingangskanäle, Deduplizierung, Zuständigkeiten, Triage-Zeit, Eskalation und Kapazitätsgrenzen strukturiert modellieren.
3. Befunde in abgestufte Warteschlangen und Bearbeitungspfade verteilen und jeden Konfigurations- beziehungsweise Prozessschritt protokollieren.
4. Keine verlorenen Hochrisikofälle und beherrschbare Last mit definierten Positiv-, Negativ- und Fehlerfällen prüfen.
5. Als Arbeitsergebnis einen Triage- und Queue-Standard dokumentieren, fachlich abnehmen und in einen wiederholbaren Standard überführen.

4. SOC- und Incident-nahe Übergaben

Schwerpunkt: aktive Ausnutzung, verdächtige Signale, Asset-Kontext, Evidenz, Eindämmung und Rückmeldung.

1. Ausgangslage, Schutzbedarf und messbare Zielkriterien für den Themenblock „SOC- und Incident-nahe Übergaben“ erfassen.
2. Relevante Objekte, Rollen und Abhängigkeiten anhand von aktive Ausnutzung, verdächtige Signale, Asset-Kontext, Evidenz, Eindämmung und Rückmeldung strukturiert modellieren.
3. Kriterien für die Übergabe eines Befunds an Security Operations definieren und jeden Konfigurations- beziehungsweise Prozessschritt protokollieren.
4. Klare Eintritts- und Austrittskriterien mit definierten Positiv-, Negativ- und Fehlerfällen prüfen.
5. Als Arbeitsergebnis ein gemeinsames Übergabe-Runbook dokumentieren, fachlich abnehmen und in einen wiederholbaren Standard überführen.

5. SLAs, Eskalation und Kennzahlen

Schwerpunkt: Fristen, Alter, Überfälligkeit, Wiederholung, Ausnahmebestand, Durchsatz und Risikoreduktion.

1. Ausgangslage, Schutzbedarf und messbare Zielkriterien für den Themenblock „SLAs, Eskalation und Kennzahlen“ erfassen.
2. Relevante Objekte, Rollen und Abhängigkeiten anhand von Fristen, Alter, Überfälligkeit, Wiederholung, Ausnahmebestand, Durchsatz und Risikoreduktion strukturiert modellieren.
3. SLAs und Kennzahlen aus dem Prioritätsmodell ableiten und jeden Konfigurations- beziehungsweise Prozessschritt protokollieren.
4. Realistische Zielwerte und belastbare Berechnung mit definierten Positiv-, Negativ- und Fehlerfällen prüfen.
5. Als Arbeitsergebnis ein operatives Review-Dashboard-Konzept dokumentieren, fachlich abnehmen und in einen wiederholbaren Standard überführen.

Praxis und Übungen

1. Risikofaktoren und Datenquellen für verschiedene Asset-Typen definieren.
2. Ein Prioritätsmodell auf widersprüchliche Befunde anwenden und kalibrieren.
3. Triage-Warteschlangen und SOC-Übergabekriterien entwerfen.
4. SLAs, Eskalationsstufen und Kennzahlen aus dem Modell ableiten.

Arbeitsweise

Fachliche Einordnung, Demonstrationen und angeleitete Laborphasen wechseln sich ab. Jede Übung folgt dem Schema Vorbereitung, kontrollierte Durchführung, technische Prüfung, Dokumentation und betriebliche Standardisierung. Produktive Ziele werden nur innerhalb eines schriftlich freigegebenen Scopes und mit abgestimmten Schutzmaßnahmen geprüft.

Vorkenntnisse und Zielgruppe

Zielgruppe: Vulnerability Management, Security Operations Center, Incident Response, Risk Management, Infrastruktur- und Application Security sowie Service Owner.

Vorkenntnisse: Grundkenntnisse zu Schwachstellen, Risikobewertung, Asset-Kritikalität, SOC- und Ticketprozessen.