Seminar ASGARD Analysis Cockpit – Administration, Logquellen und Integrationen

Das Seminar vermittelt die produktionsnahe Administration des ASGARD Analysis Cockpit als zentrale Plattform für THOR-Ereignisse und Sigma-Matches. Der Schwerpunkt liegt auf stabilen Datenwegen, eindeutigen Vertrauensgrenzen, kontrollierten Benutzerrechten und nachvollziehbaren Betriebsprüfungen.

Inhaltsübersicht

• Lernziele und fachliche Einordnung
• Schrittweise Seminarinhalte
• Praxisübungen und Laborszenarien
• Zielgruppe und Voraussetzungen
• Didaktik und Arbeitsweise

Lernziele

• Eine belastbare Administrations- und Integrationsarchitektur entwerfen.
• ASGARD Management Center, THOR Cloud und weitere Logquellen kontrolliert anbinden.
• TLS, LDAP, Rollen und Benachrichtigungen sicher konfigurieren.
• Sandbox- und API-Integrationen mit klaren Datenflüssen aufbauen.
• Betriebsprüfungen, Fehleranalyse und Konfigurationsnachweise standardisieren.

Schrittweise Seminarinhalte

1. Administrationszielbild und Datenflüsse

Schwerpunkt: Cockpit-Komponenten, Ereignisquellen, Vertrauenszonen, Rollen, Schnittstellen und Aufbewahrungsziele.

1. Ausgangslage, Schutzbedarf und Zielkriterien für den Themenblock „Administrationszielbild und Datenflüsse“ erfassen.
2. Relevante Datenquellen, Objekte, Rollen und Abhängigkeiten anhand von Cockpit-Komponenten, Ereignisquellen, Vertrauenszonen, Rollen, Schnittstellen und Aufbewahrungsziele modellieren.
3. Die erforderliche Konfiguration, Analyse- oder Prozessfolge am Laborsystem schrittweise umsetzen.
4. Funktion, Berechtigungen, Protokollierung und Fehlerverhalten mit definierten Positiv- und Negativfällen prüfen.
5. Als Arbeitsergebnis ein vollständiges Administrations- und Datenflussmodell dokumentieren, fachlich abnehmen und in einen wiederholbaren Standard überführen.

2. Grundkonfiguration und Systemstatus

Schwerpunkt: Lizenz, Updates, Systemstatus, Zeit, DNS, Speicher, Zertifikate und administrative Baseline.

1. Ausgangslage, Schutzbedarf und Zielkriterien für den Themenblock „Grundkonfiguration und Systemstatus“ erfassen.
2. Relevante Datenquellen, Objekte, Rollen und Abhängigkeiten anhand von Lizenz, Updates, Systemstatus, Zeit, DNS, Speicher, Zertifikate und administrative Baseline modellieren.
3. Die erforderliche Konfiguration, Analyse- oder Prozessfolge am Laborsystem schrittweise umsetzen.
4. Funktion, Berechtigungen, Protokollierung und Fehlerverhalten mit definierten Positiv- und Negativfällen prüfen.
5. Als Arbeitsergebnis eine geprüfte administrative Basiskonfiguration dokumentieren, fachlich abnehmen und in einen wiederholbaren Standard überführen.

3. ASGARD Management Center anbinden

Schwerpunkt: Kopplung, Authentisierung, Synchronisation, Live Event Streaming, Fehlerzustände und Abnahme.

1. Ausgangslage, Schutzbedarf und Zielkriterien für den Themenblock „ASGARD Management Center anbinden“ erfassen.
2. Relevante Datenquellen, Objekte, Rollen und Abhängigkeiten anhand von Kopplung, Authentisierung, Synchronisation, Live Event Streaming, Fehlerzustände und Abnahme modellieren.
3. Die erforderliche Konfiguration, Analyse- oder Prozessfolge am Laborsystem schrittweise umsetzen.
4. Funktion, Berechtigungen, Protokollierung und Fehlerverhalten mit definierten Positiv- und Negativfällen prüfen.
5. Als Arbeitsergebnis eine verifizierte Management-Center-Verbindung dokumentieren, fachlich abnehmen und in einen wiederholbaren Standard überführen.

4. THOR Cloud, Syslog und Dateiimport

Schwerpunkt: Cloud-Quelle, Syslog-Eingang, dateibasierter Import, Formate, Zeitbezug und Dublettenvermeidung.

1. Ausgangslage, Schutzbedarf und Zielkriterien für den Themenblock „THOR Cloud, Syslog und Dateiimport“ erfassen.
2. Relevante Datenquellen, Objekte, Rollen und Abhängigkeiten anhand von Cloud-Quelle, Syslog-Eingang, dateibasierter Import, Formate, Zeitbezug und Dublettenvermeidung modellieren.
3. Die erforderliche Konfiguration, Analyse- oder Prozessfolge am Laborsystem schrittweise umsetzen.
4. Funktion, Berechtigungen, Protokollierung und Fehlerverhalten mit definierten Positiv- und Negativfällen prüfen.
5. Als Arbeitsergebnis einen kontrollierten Mehrquellen-Importprozess dokumentieren, fachlich abnehmen und in einen wiederholbaren Standard überführen.

5. TLS, LDAP und Benutzerverwaltung

Schwerpunkt: Zertifikatsketten, FQDN, Verzeichnisbindung, Gruppen, Rollen, Mehrfaktorverfahren und Rezertifizierung.

1. Ausgangslage, Schutzbedarf und Zielkriterien für den Themenblock „TLS, LDAP und Benutzerverwaltung“ erfassen.
2. Relevante Datenquellen, Objekte, Rollen und Abhängigkeiten anhand von Zertifikatsketten, FQDN, Verzeichnisbindung, Gruppen, Rollen, Mehrfaktorverfahren und Rezertifizierung modellieren.
3. Die erforderliche Konfiguration, Analyse- oder Prozessfolge am Laborsystem schrittweise umsetzen.
4. Funktion, Berechtigungen, Protokollierung und Fehlerverhalten mit definierten Positiv- und Negativfällen prüfen.
5. Als Arbeitsergebnis ein belastbares Zugriffs- und Vertrauensmodell dokumentieren, fachlich abnehmen und in einen wiederholbaren Standard überführen.

6. Sandbox, API und Benachrichtigungen

Schwerpunkt: Sandbox-Übergabe, API-Schlüssel, Berechtigungen, Ereignisweitergabe, E-Mail- und GUI-Meldungen.

1. Ausgangslage, Schutzbedarf und Zielkriterien für den Themenblock „Sandbox, API und Benachrichtigungen“ erfassen.
2. Relevante Datenquellen, Objekte, Rollen und Abhängigkeiten anhand von Sandbox-Übergabe, API-Schlüssel, Berechtigungen, Ereignisweitergabe, E-Mail- und GUI-Meldungen modellieren.
3. Die erforderliche Konfiguration, Analyse- oder Prozessfolge am Laborsystem schrittweise umsetzen.
4. Funktion, Berechtigungen, Protokollierung und Fehlerverhalten mit definierten Positiv- und Negativfällen prüfen.
5. Als Arbeitsergebnis eine dokumentierte Integrations- und Benachrichtigungsstrecke dokumentieren, fachlich abnehmen und in einen wiederholbaren Standard überführen.

7. Betriebsprüfung und Fehlerdiagnose

Schwerpunkt: Statuskontrollen, Logpfade, Testereignisse, Synchronisationsfehler, Zertifikatsfehler und Eskalation.

1. Ausgangslage, Schutzbedarf und Zielkriterien für den Themenblock „Betriebsprüfung und Fehlerdiagnose“ erfassen.
2. Relevante Datenquellen, Objekte, Rollen und Abhängigkeiten anhand von Statuskontrollen, Logpfade, Testereignisse, Synchronisationsfehler, Zertifikatsfehler und Eskalation modellieren.
3. Die erforderliche Konfiguration, Analyse- oder Prozessfolge am Laborsystem schrittweise umsetzen.
4. Funktion, Berechtigungen, Protokollierung und Fehlerverhalten mit definierten Positiv- und Negativfällen prüfen.
5. Als Arbeitsergebnis ein wiederholbares Administrations- und Diagnose-Runbook dokumentieren, fachlich abnehmen und in einen wiederholbaren Standard überführen.

Praxisübungen und Laborszenarien

• Anbindung eines vorbereiteten Management Centers und Prüfung der Ereignisübernahme.
• Konfiguration einer LDAP-Rolle und eines TLS-Zertifikats mit Negativtests.
• Einrichtung eines zusätzlichen Logimportwegs und einer Benachrichtigungsregel.

Zielgruppe und Voraussetzungen

Zielgruppe: Analysis-Cockpit-Administration, SOC-Plattformbetrieb, SIEM Engineering, Incident Response und technische Projektleitung.

Voraussetzungen: Grundkenntnisse in Linux-Appliances, Netzwerken, TLS, Verzeichnisdiensten und THOR- beziehungsweise ASGARD-Datenflüssen.

Didaktik und Arbeitsweise

Kurze Fachimpulse werden unmittelbar durch Demonstrationen, strukturierte Konfigurationsschritte, praktische Übungen und kontrollierte Fehlerfälle vertieft. Jede Übung verwendet definierte Ausgangswerte, Prüfpunkte und Dokumentationsanforderungen, damit die erarbeiteten Abläufe als Betriebsstandard wiederholbar bleiben.