Seminar Joe Sandbox – KI- und ML-gestützte Erkennung

Das Seminar ordnet Joe Sandbox AI und Joe Sandbox ML in den Analyseprozess ein. Statische ML-Erkennung, KI-gestützte Phishing- und Inhaltsanalyse, Zusammenfassungen, Reasoning-Hinweise, IOC-Extraktion, menschliche Validierung, Datenschutz, Fehlklassifikationen und operative Qualitätskontrollen werden praxisnah behandelt.

Inhaltsübersicht

• Lernziele und fachliche Einordnung
• Schrittweise Seminarinhalte
• Praxisübungen und Laborszenarien
• Zielgruppe und Voraussetzungen
• Didaktik und Arbeitsweise

Lernziele

• Statische ML-, generative KI- und klassische Signaturerkennung unterscheiden.
• KI-Zusammenfassungen und Reasoning-Hinweise kritisch validieren.
• Phishing-, Datei- und Artefaktbefunde mit technischen Daten abgleichen.
• Datenschutz, Datenklassifizierung und menschliche Freigaben definieren.
• Qualitätsmetriken und Eskalationsregeln für den Betrieb erstellen.

Schrittweise Seminarinhalte

1. Rollen von AI, ML und klassischen Verfahren

Schwerpunkt: statische Modelle, generative KI, Verhaltenssignaturen, YARA, Sigma, Suricata, dynamische Analyse und Zusammenspiel der Ergebnisse.

1. Analyseziel, Ausgangslage und Abnahmekriterien für den Themenblock „Rollen von AI, ML und klassischen Verfahren“ festlegen.
2. Relevante Objekte, Datenquellen, Rollen und Einstellungen anhand von statische Modelle, generative KI, Verhaltenssignaturen, YARA, Sigma, Suricata, dynamische Analyse und Zusammenspiel der Ergebnisse strukturiert vorbereiten.
3. Den vorgesehenen Analyse-, Konfigurations- oder Integrationsablauf in der Laborumgebung schrittweise durchführen und Zwischenergebnisse sichern.
4. Ergebnisqualität, Fehlerszenarien, Berechtigungen und Sicherheitswirkung mit definierten Positiv- und Negativtests prüfen.
5. Als Arbeitsergebnis ein klares Erkennungs- und Vertrauensmodell dokumentieren, fachlich prüfen und in einen wiederholbaren Standard überführen.

2. ML-Erkennung für Dateien und Folgeartefakte

Schwerpunkt: Initialprobe, abgelegte und entpackte Dateien, unterschiedliche Formate, Score, Abdeckung, Fehlklassifikation und ergänzende dynamische Befunde.

1. Analyseziel, Ausgangslage und Abnahmekriterien für den Themenblock „ML-Erkennung für Dateien und Folgeartefakte“ festlegen.
2. Relevante Objekte, Datenquellen, Rollen und Einstellungen anhand von Initialprobe, abgelegte und entpackte Dateien, unterschiedliche Formate, Score, Abdeckung, Fehlklassifikation und ergänzende dynamische Befunde strukturiert vorbereiten.
3. Den vorgesehenen Analyse-, Konfigurations- oder Integrationsablauf in der Laborumgebung schrittweise durchführen und Zwischenergebnisse sichern.
4. Ergebnisqualität, Fehlerszenarien, Berechtigungen und Sicherheitswirkung mit definierten Positiv- und Negativtests prüfen.
5. Als Arbeitsergebnis einen ML-Validierungs- und Eskalationsprozess dokumentieren, fachlich prüfen und in einen wiederholbaren Standard überführen.

3. KI-gestützte Phishing- und Inhaltsanalyse

Schwerpunkt: E-Mail, Absender, Links, Anhänge, Webseiten, Markenimitation, Domainanomalien, Zusammenfassung, Angriffstyp und IOCs.

1. Analyseziel, Ausgangslage und Abnahmekriterien für den Themenblock „KI-gestützte Phishing- und Inhaltsanalyse“ festlegen.
2. Relevante Objekte, Datenquellen, Rollen und Einstellungen anhand von E-Mail, Absender, Links, Anhänge, Webseiten, Markenimitation, Domainanomalien, Zusammenfassung, Angriffstyp und IOCs strukturiert vorbereiten.
3. Den vorgesehenen Analyse-, Konfigurations- oder Integrationsablauf in der Laborumgebung schrittweise durchführen und Zwischenergebnisse sichern.
4. Ergebnisqualität, Fehlerszenarien, Berechtigungen und Sicherheitswirkung mit definierten Positiv- und Negativtests prüfen.
5. Als Arbeitsergebnis einen nachvollziehbaren KI-gestützten Phishing-Workflow dokumentieren, fachlich prüfen und in einen wiederholbaren Standard überführen.

4. Analystenreview, Datenschutz und Sicherheit

Schwerpunkt: Datenklassifizierung, zulässige Eingaben, optionale Funktionen, menschliche Kontrolle, Geheimnisse, personenbezogene Daten und Dokumentation von Annahmen.

1. Analyseziel, Ausgangslage und Abnahmekriterien für den Themenblock „Analystenreview, Datenschutz und Sicherheit“ festlegen.
2. Relevante Objekte, Datenquellen, Rollen und Einstellungen anhand von Datenklassifizierung, zulässige Eingaben, optionale Funktionen, menschliche Kontrolle, Geheimnisse, personenbezogene Daten und Dokumentation von Annahmen strukturiert vorbereiten.
3. Den vorgesehenen Analyse-, Konfigurations- oder Integrationsablauf in der Laborumgebung schrittweise durchführen und Zwischenergebnisse sichern.
4. Ergebnisqualität, Fehlerszenarien, Berechtigungen und Sicherheitswirkung mit definierten Positiv- und Negativtests prüfen.
5. Als Arbeitsergebnis eine KI-Nutzungs- und Freigaberichtlinie dokumentieren, fachlich prüfen und in einen wiederholbaren Standard überführen.

5. Qualität, Tuning und Betriebsmetriken

Schwerpunkt: True und False Positives, False Negatives, Konfidenz, Stichproben, Abweichungen, Feedback, Kennzahlen und kontinuierliche Verbesserung.

1. Analyseziel, Ausgangslage und Abnahmekriterien für den Themenblock „Qualität, Tuning und Betriebsmetriken“ festlegen.
2. Relevante Objekte, Datenquellen, Rollen und Einstellungen anhand von True und False Positives, False Negatives, Konfidenz, Stichproben, Abweichungen, Feedback, Kennzahlen und kontinuierliche Verbesserung strukturiert vorbereiten.
3. Den vorgesehenen Analyse-, Konfigurations- oder Integrationsablauf in der Laborumgebung schrittweise durchführen und Zwischenergebnisse sichern.
4. Ergebnisqualität, Fehlerszenarien, Berechtigungen und Sicherheitswirkung mit definierten Positiv- und Negativtests prüfen.
5. Als Arbeitsergebnis einen messbaren Qualitäts- und Reviewzyklus dokumentieren, fachlich prüfen und in einen wiederholbaren Standard überführen.

Praxisübungen und Laborszenarien

• Vergleich von KI-, ML-, Signatur- und Verhaltensbefunden für dieselbe Analyse.
• Validierung einer KI-Zusammenfassung gegen technische Artefakte und Netzwerkdaten.
• Erstellung einer Datenschutz-, Review- und Eskalationscheckliste.

Zielgruppe und Voraussetzungen

Zielgruppe: SOC, Malware- und Phishing-Analyse, Detection Engineering, Informationssicherheit, Datenschutz und technische Führung.

Voraussetzungen: Grundkenntnisse in Malware- oder Phishing-Analyse und Verständnis statistischer Fehlklassifikationen.

Didaktik und Arbeitsweise

Kurze Fachimpulse werden unmittelbar durch Demonstrationen, strukturierte Analyseschritte, praktische Übungen und kontrollierte Fehlerfälle vertieft. Jede Übung verwendet definierte Ausgangswerte, Prüfpunkte und Dokumentationsanforderungen, damit die erarbeiteten Abläufe als Analyse-, Integrations- oder Betriebsstandard wiederholbar bleiben.