Seminar Joe Sandbox – Kompaktseminar Analyse, Betrieb und Automatisierung

Das dreitägige Kompaktseminar vermittelt einen zusammenhängenden Einstieg von Architektur und sicherer Submission über Malware- und Phishing-Analyse bis zu Berichten, Live Interaction, Regeln, API, Integrationen und Betrieb. Das Format schafft eine gemeinsame Arbeitsbasis für Teams, die Joe Sandbox in kurzer Zeit produktiv einsetzen müssen.

Inhaltsübersicht

• Lernziele und fachliche Einordnung
• Schrittweise Seminarinhalte
• Praxisübungen und Laborszenarien
• Zielgruppe und Voraussetzungen
• Didaktik und Arbeitsweise

Lernziele

• Joe Sandbox in Architektur, Betrieb und Analyseprozess einordnen.
• Datei-, URL- und E-Mail-Analysen mit geeigneten Profilen durchführen.
• Berichte, IOCs, ATT&CK, PCAP und weitere Artefakte auswerten.
• Live Interaction, Regeln und API-Automatisierung grundlegend anwenden.
• Einen priorisierten Einführungs-, Betriebs- und Ausbauplan erstellen.

Schrittweise Seminarinhalte

1. Architektur, Editionen und Sicherheitsmodell

Schwerpunkt: Cloud, On-Premise, Detect, Mail Monitor, Joe Lab, Rollen, Datenflüsse, Datenschutz, Isolation und Einsatzkriterien.

1. Analyseziel, Ausgangslage und Abnahmekriterien für den Themenblock „Architektur, Editionen und Sicherheitsmodell“ festlegen.
2. Relevante Objekte, Datenquellen, Rollen und Einstellungen anhand von Cloud, On-Premise, Detect, Mail Monitor, Joe Lab, Rollen, Datenflüsse, Datenschutz, Isolation und Einsatzkriterien strukturiert vorbereiten.
3. Den vorgesehenen Analyse-, Konfigurations- oder Integrationsablauf in der Laborumgebung schrittweise durchführen und Zwischenergebnisse sichern.
4. Ergebnisqualität, Fehlerszenarien, Berechtigungen und Sicherheitswirkung mit definierten Positiv- und Negativtests prüfen.
5. Als Arbeitsergebnis ein abgestimmtes Architektur- und Betriebszielbild dokumentieren, fachlich prüfen und in einen wiederholbaren Standard überführen.

2. Submission, Systeme und Analyseprofile

Schwerpunkt: Dateien, URLs, E-Mails, Systeme, Cookbooks, Optionen, Internetmodus, Analysezeit, Mehrfachläufe und Testfälle.

1. Analyseziel, Ausgangslage und Abnahmekriterien für den Themenblock „Submission, Systeme und Analyseprofile“ festlegen.
2. Relevante Objekte, Datenquellen, Rollen und Einstellungen anhand von Dateien, URLs, E-Mails, Systeme, Cookbooks, Optionen, Internetmodus, Analysezeit, Mehrfachläufe und Testfälle strukturiert vorbereiten.
3. Den vorgesehenen Analyse-, Konfigurations- oder Integrationsablauf in der Laborumgebung schrittweise durchführen und Zwischenergebnisse sichern.
4. Ergebnisqualität, Fehlerszenarien, Berechtigungen und Sicherheitswirkung mit definierten Positiv- und Negativtests prüfen.
5. Als Arbeitsergebnis einen reproduzierbaren Submission- und Profilstandard dokumentieren, fachlich prüfen und in einen wiederholbaren Standard überführen.

3. Windows-Malware-Analyse

Schwerpunkt: Prozessbaum, Verhalten, Persistenz, Injection, Skripte, Netzwerk, IOCs, Score, ATT&CK und technische Bewertung.

1. Analyseziel, Ausgangslage und Abnahmekriterien für den Themenblock „Windows-Malware-Analyse“ festlegen.
2. Relevante Objekte, Datenquellen, Rollen und Einstellungen anhand von Prozessbaum, Verhalten, Persistenz, Injection, Skripte, Netzwerk, IOCs, Score, ATT&CK und technische Bewertung strukturiert vorbereiten.
3. Den vorgesehenen Analyse-, Konfigurations- oder Integrationsablauf in der Laborumgebung schrittweise durchführen und Zwischenergebnisse sichern.
4. Ergebnisqualität, Fehlerszenarien, Berechtigungen und Sicherheitswirkung mit definierten Positiv- und Negativtests prüfen.
5. Als Arbeitsergebnis einen vollständigen Malware-Analystenbericht dokumentieren, fachlich prüfen und in einen wiederholbaren Standard überführen.

4. Phishing-, E-Mail- und URL-Analyse

Schwerpunkt: Header, Anhänge, Redirects, QR-Codes, Browserautomation, KI-Hinweise, Live Interaction, DOM, Screenshots und Reaktion.

1. Analyseziel, Ausgangslage und Abnahmekriterien für den Themenblock „Phishing-, E-Mail- und URL-Analyse“ festlegen.
2. Relevante Objekte, Datenquellen, Rollen und Einstellungen anhand von Header, Anhänge, Redirects, QR-Codes, Browserautomation, KI-Hinweise, Live Interaction, DOM, Screenshots und Reaktion strukturiert vorbereiten.
3. Den vorgesehenen Analyse-, Konfigurations- oder Integrationsablauf in der Laborumgebung schrittweise durchführen und Zwischenergebnisse sichern.
4. Ergebnisqualität, Fehlerszenarien, Berechtigungen und Sicherheitswirkung mit definierten Positiv- und Negativtests prüfen.
5. Als Arbeitsergebnis einen vollständigen Phishing-Triagebericht dokumentieren, fachlich prüfen und in einen wiederholbaren Standard überführen.

5. Reports, IOCs und Evidenz

Schwerpunkt: Berichtstypen, Verdikt, Konfidenz, ATT&CK, PCAP, Speicher, Dateien, Screenshots, Managementübergabe und Qualitätssicherung.

1. Analyseziel, Ausgangslage und Abnahmekriterien für den Themenblock „Reports, IOCs und Evidenz“ festlegen.
2. Relevante Objekte, Datenquellen, Rollen und Einstellungen anhand von Berichtstypen, Verdikt, Konfidenz, ATT&CK, PCAP, Speicher, Dateien, Screenshots, Managementübergabe und Qualitätssicherung strukturiert vorbereiten.
3. Den vorgesehenen Analyse-, Konfigurations- oder Integrationsablauf in der Laborumgebung schrittweise durchführen und Zwischenergebnisse sichern.
4. Ergebnisqualität, Fehlerszenarien, Berechtigungen und Sicherheitswirkung mit definierten Positiv- und Negativtests prüfen.
5. Als Arbeitsergebnis ein qualitätsgesichertes Ergebnis- und Evidenzpaket dokumentieren, fachlich prüfen und in einen wiederholbaren Standard überführen.

6. Live Interaction und Detection Rules

Schwerpunkt: manuelle Analyse, Echtzeitdaten, YARA, Sigma, Suricata, Positiv- und Negativtests, False Positives und Dokumentation.

1. Analyseziel, Ausgangslage und Abnahmekriterien für den Themenblock „Live Interaction und Detection Rules“ festlegen.
2. Relevante Objekte, Datenquellen, Rollen und Einstellungen anhand von manuelle Analyse, Echtzeitdaten, YARA, Sigma, Suricata, Positiv- und Negativtests, False Positives und Dokumentation strukturiert vorbereiten.
3. Den vorgesehenen Analyse-, Konfigurations- oder Integrationsablauf in der Laborumgebung schrittweise durchführen und Zwischenergebnisse sichern.
4. Ergebnisqualität, Fehlerszenarien, Berechtigungen und Sicherheitswirkung mit definierten Positiv- und Negativtests prüfen.
5. Als Arbeitsergebnis einen kontrollierten interaktiven und regelbasierten Workflow dokumentieren, fachlich prüfen und in einen wiederholbaren Standard überführen.

7. REST API und SOC-Integration

Schwerpunkt: API-Key, Submission, Polling, Downloads, Fehlerbehandlung, SIEM, SOAR, Threat Intelligence, Case Management und Secrets.

1. Analyseziel, Ausgangslage und Abnahmekriterien für den Themenblock „REST API und SOC-Integration“ festlegen.
2. Relevante Objekte, Datenquellen, Rollen und Einstellungen anhand von API-Key, Submission, Polling, Downloads, Fehlerbehandlung, SIEM, SOAR, Threat Intelligence, Case Management und Secrets strukturiert vorbereiten.
3. Den vorgesehenen Analyse-, Konfigurations- oder Integrationsablauf in der Laborumgebung schrittweise durchführen und Zwischenergebnisse sichern.
4. Ergebnisqualität, Fehlerszenarien, Berechtigungen und Sicherheitswirkung mit definierten Positiv- und Negativtests prüfen.
5. Als Arbeitsergebnis einen funktionierenden Automatisierungs- und Integrationsentwurf dokumentieren, fachlich prüfen und in einen wiederholbaren Standard überführen.

8. Betrieb, Monitoring und Ausbaupfad

Schwerpunkt: Benutzer, Rollen, Kapazität, Retention, Löschung, Updates, Logs, Kennzahlen, Runbooks, Spezialseminare und Intensivpfade.

1. Analyseziel, Ausgangslage und Abnahmekriterien für den Themenblock „Betrieb, Monitoring und Ausbaupfad“ festlegen.
2. Relevante Objekte, Datenquellen, Rollen und Einstellungen anhand von Benutzer, Rollen, Kapazität, Retention, Löschung, Updates, Logs, Kennzahlen, Runbooks, Spezialseminare und Intensivpfade strukturiert vorbereiten.
3. Den vorgesehenen Analyse-, Konfigurations- oder Integrationsablauf in der Laborumgebung schrittweise durchführen und Zwischenergebnisse sichern.
4. Ergebnisqualität, Fehlerszenarien, Berechtigungen und Sicherheitswirkung mit definierten Positiv- und Negativtests prüfen.
5. Als Arbeitsergebnis einen priorisierten Betriebs- und Qualifizierungsfahrplan dokumentieren, fachlich prüfen und in einen wiederholbaren Standard überführen.

Praxisübungen und Laborszenarien

• Durchführung einer Windows-Dateianalyse und einer Phishing-URL-Analyse.
• Auswertung von Bericht, IOCs, ATT&CK, PCAP und herunterladbaren Artefakten.
• Manuelle Vertiefung eines Analysefalls mit Live Interaction.
• Implementierung eines einfachen API-Workflows für Submission und Ergebnisabruf.
• Erstellung eines kompakten Einführungs-, Betriebs- und Ausbauplans.

Zielgruppe und Voraussetzungen

Zielgruppe: SOC, CERT, Malware- und Phishing-Analyse, Plattformadministration, Security Automation und technische Projektteams.

Voraussetzungen: Grundverständnis von Betriebssystemen, Netzwerken, Malware, Phishing und SOC-Prozessen.

Didaktik und Arbeitsweise

Kurze Fachimpulse werden unmittelbar durch Demonstrationen, strukturierte Analyseschritte, praktische Übungen und kontrollierte Fehlerfälle vertieft. Jede Übung verwendet definierte Ausgangswerte, Prüfpunkte und Dokumentationsanforderungen, damit die erarbeiteten Abläufe als Analyse-, Integrations- oder Betriebsstandard wiederholbar bleiben.