Seminar Joe Sandbox – Architektur, Editionen und Grundlagen

Das Grundlagenseminar ordnet Joe Sandbox in die Abläufe von SOC, CERT, CIRT, DFIR und Malware-Analyse ein. Behandelt werden Bereitstellungsmodelle, Analyseverfahren, unterstützte Artefakte, Ergebnisarten und die Abgrenzung zwischen automatisierter Sandbox-Analyse, Live Interaction, Joe Sandbox Detect, Mail Monitor und Joe Lab.

Inhaltsübersicht

• Lernziele und fachliche Einordnung
• Schrittweise Seminarinhalte
• Praxisübungen und Laborszenarien
• Zielgruppe und Voraussetzungen
• Didaktik und Arbeitsweise

Lernziele

• Aufgaben, Nutzen und Grenzen einer Malware- und Phishing-Sandbox einordnen.
• Cloud-, On-Premise- und Analystenlabor-Modelle sachgerecht vergleichen.
• Statische, dynamische, hybride und interaktive Analyseverfahren unterscheiden.
• Berichte, IOCs, Beweismittel und Integrationsmöglichkeiten überblicken.
• Einen priorisierten Pilot- und Qualifizierungsfahrplan erstellen.

Schrittweise Seminarinhalte

1. Einsatzfelder und Rollenmodell

Schwerpunkt: SOC, CERT, CIRT, DFIR, Threat Intelligence, Malware-Analyse, Phishing-Triage, Softwareprüfung und Verantwortungsgrenzen.

1. Analyseziel, Ausgangslage und Abnahmekriterien für den Themenblock „Einsatzfelder und Rollenmodell“ festlegen.
2. Relevante Objekte, Datenquellen, Rollen und Einstellungen anhand von SOC, CERT, CIRT, DFIR, Threat Intelligence, Malware-Analyse, Phishing-Triage, Softwareprüfung und Verantwortungsgrenzen strukturiert vorbereiten.
3. Den vorgesehenen Analyse-, Konfigurations- oder Integrationsablauf in der Laborumgebung schrittweise durchführen und Zwischenergebnisse sichern.
4. Ergebnisqualität, Fehlerszenarien, Berechtigungen und Sicherheitswirkung mit definierten Positiv- und Negativtests prüfen.
5. Als Arbeitsergebnis ein abgestimmtes Rollen- und Einsatzmodell dokumentieren, fachlich prüfen und in einen wiederholbaren Standard überführen.

2. Produkte, Editionen und Bereitstellungsformen

Schwerpunkt: Cloud Basic, Cloud Pro, On-Premise, Joe Sandbox Detect, Mail Monitor, Joe Lab sowie organisatorische Auswahlkriterien.

1. Analyseziel, Ausgangslage und Abnahmekriterien für den Themenblock „Produkte, Editionen und Bereitstellungsformen“ festlegen.
2. Relevante Objekte, Datenquellen, Rollen und Einstellungen anhand von Cloud Basic, Cloud Pro, On-Premise, Joe Sandbox Detect, Mail Monitor, Joe Lab sowie organisatorische Auswahlkriterien strukturiert vorbereiten.
3. Den vorgesehenen Analyse-, Konfigurations- oder Integrationsablauf in der Laborumgebung schrittweise durchführen und Zwischenergebnisse sichern.
4. Ergebnisqualität, Fehlerszenarien, Berechtigungen und Sicherheitswirkung mit definierten Positiv- und Negativtests prüfen.
5. Als Arbeitsergebnis eine nachvollziehbare Bereitstellungs- und Auswahlmatrix dokumentieren, fachlich prüfen und in einen wiederholbaren Standard überführen.

3. Analysepipeline und technische Verfahren

Schwerpunkt: Datei- und URL-Submission, statische Analyse, dynamische Detonation, Hybrid Code Analysis, Hypervisor-Inspektion, KI und Machine Learning.

1. Analyseziel, Ausgangslage und Abnahmekriterien für den Themenblock „Analysepipeline und technische Verfahren“ festlegen.
2. Relevante Objekte, Datenquellen, Rollen und Einstellungen anhand von Datei- und URL-Submission, statische Analyse, dynamische Detonation, Hybrid Code Analysis, Hypervisor-Inspektion, KI und Machine Learning strukturiert vorbereiten.
3. Den vorgesehenen Analyse-, Konfigurations- oder Integrationsablauf in der Laborumgebung schrittweise durchführen und Zwischenergebnisse sichern.
4. Ergebnisqualität, Fehlerszenarien, Berechtigungen und Sicherheitswirkung mit definierten Positiv- und Negativtests prüfen.
5. Als Arbeitsergebnis ein konsistentes Modell der Analysepipeline dokumentieren, fachlich prüfen und in einen wiederholbaren Standard überführen.

4. Analyseartefakte und Berichte

Schwerpunkt: Verdikt, Score, Prozessbaum, Verhalten, MITRE ATT&CK, IOCs, PCAP, Screenshots, Speicherabbilder und strukturierte Exporte.

1. Analyseziel, Ausgangslage und Abnahmekriterien für den Themenblock „Analyseartefakte und Berichte“ festlegen.
2. Relevante Objekte, Datenquellen, Rollen und Einstellungen anhand von Verdikt, Score, Prozessbaum, Verhalten, MITRE ATT&CK, IOCs, PCAP, Screenshots, Speicherabbilder und strukturierte Exporte strukturiert vorbereiten.
3. Den vorgesehenen Analyse-, Konfigurations- oder Integrationsablauf in der Laborumgebung schrittweise durchführen und Zwischenergebnisse sichern.
4. Ergebnisqualität, Fehlerszenarien, Berechtigungen und Sicherheitswirkung mit definierten Positiv- und Negativtests prüfen.
5. Als Arbeitsergebnis eine Ergebnis- und Beweismittelübersicht dokumentieren, fachlich prüfen und in einen wiederholbaren Standard überführen.

5. Pilotierung und Ausbaupfad

Schwerpunkt: Use Cases, Probentypen, Zielsysteme, Datenschutz, Erfolgskriterien, Betriebsmodell und Seminarreihenfolge.

1. Analyseziel, Ausgangslage und Abnahmekriterien für den Themenblock „Pilotierung und Ausbaupfad“ festlegen.
2. Relevante Objekte, Datenquellen, Rollen und Einstellungen anhand von Use Cases, Probentypen, Zielsysteme, Datenschutz, Erfolgskriterien, Betriebsmodell und Seminarreihenfolge strukturiert vorbereiten.
3. Den vorgesehenen Analyse-, Konfigurations- oder Integrationsablauf in der Laborumgebung schrittweise durchführen und Zwischenergebnisse sichern.
4. Ergebnisqualität, Fehlerszenarien, Berechtigungen und Sicherheitswirkung mit definierten Positiv- und Negativtests prüfen.
5. Als Arbeitsergebnis einen priorisierten Pilot- und Qualifizierungsplan dokumentieren, fachlich prüfen und in einen wiederholbaren Standard überführen.

Praxisübungen und Laborszenarien

• Erstellung eines Kontextdiagramms für eine beispielhafte SOC- und DFIR-Umgebung.
• Zuordnung typischer Analysefälle zu Cloud, On-Premise, Detect, Mail Monitor oder Joe Lab.
• Ableitung eines Pilotumfangs mit technischen und organisatorischen Abnahmekriterien.

Zielgruppe und Voraussetzungen

Zielgruppe: Technische Projektleitung, SOC- und CERT-Verantwortung, Systemarchitektur, Malware-Analyse, Informationssicherheit und Beschaffung.

Voraussetzungen: Grundverständnis von IT-Sicherheit, Schadsoftware, Netzwerken und Betriebssystemen.

Didaktik und Arbeitsweise

Kurze Fachimpulse werden unmittelbar durch Demonstrationen, strukturierte Analyseschritte, praktische Übungen und kontrollierte Fehlerfälle vertieft. Jede Übung verwendet definierte Ausgangswerte, Prüfpunkte und Dokumentationsanforderungen, damit die erarbeiteten Abläufe als Analyse-, Integrations- oder Betriebsstandard wiederholbar bleiben.