Seminar ASGARD Analysis Cockpit – Baselining und False-Positive-Management

Das Seminar behandelt Baselining als kontrollierten Prozess zur Reduktion wiederkehrender, erklärbarer Ereignisse, ohne relevante Abweichungen zu verdecken. Filter werden aus belastbaren Beobachtungen abgeleitet, getestet, freigegeben und regelmäßig überprüft.

Inhaltsübersicht

• Lernziele und fachliche Einordnung
• Schrittweise Seminarinhalte
• Praxisübungen und Laborszenarien
• Zielgruppe und Voraussetzungen
• Didaktik und Arbeitsweise

Lernziele

• Geeignete Referenzzeiträume und Datenmengen für Baselining bestimmen.
• Wiederkehrende Muster erkennen und fachlich bewerten.
• Filter mit möglichst engem Geltungsbereich entwerfen und testen.
• Automatische Case-Erzeugung kontrolliert mit Baselines verbinden.
• Ein Review- und Rezertifizierungsverfahren für Ausnahmen etablieren.

Schrittweise Seminarinhalte

1. Baseline-Zielbild und Risikogrenzen

Schwerpunkt: Geschäftskritische Assets, Wiederholungsmuster, akzeptierte Abweichungen, Gültigkeitsdauer und Verantwortlichkeiten.

1. Ausgangslage, Schutzbedarf und Zielkriterien für den Themenblock „Baseline-Zielbild und Risikogrenzen“ erfassen.
2. Relevante Datenquellen, Objekte, Rollen und Abhängigkeiten anhand von Geschäftskritische Assets, Wiederholungsmuster, akzeptierte Abweichungen, Gültigkeitsdauer und Verantwortlichkeiten modellieren.
3. Die erforderliche Konfiguration, Analyse- oder Prozessfolge am Laborsystem schrittweise umsetzen.
4. Funktion, Berechtigungen, Protokollierung und Fehlerverhalten mit definierten Positiv- und Negativfällen prüfen.
5. Als Arbeitsergebnis eine freigegebene Baseline-Strategie dokumentieren, fachlich abnehmen und in einen wiederholbaren Standard überführen.

2. Datenauswahl und Referenzzeiträume

Schwerpunkt: repräsentative Zeitfenster, Scanfrequenz, Wartungsphasen, saisonale Effekte und Datenqualität.

1. Ausgangslage, Schutzbedarf und Zielkriterien für den Themenblock „Datenauswahl und Referenzzeiträume“ erfassen.
2. Relevante Datenquellen, Objekte, Rollen und Abhängigkeiten anhand von repräsentative Zeitfenster, Scanfrequenz, Wartungsphasen, saisonale Effekte und Datenqualität modellieren.
3. Die erforderliche Konfiguration, Analyse- oder Prozessfolge am Laborsystem schrittweise umsetzen.
4. Funktion, Berechtigungen, Protokollierung und Fehlerverhalten mit definierten Positiv- und Negativfällen prüfen.
5. Als Arbeitsergebnis einen belastbaren Referenzdatensatz dokumentieren, fachlich abnehmen und in einen wiederholbaren Standard überführen.

3. Mustererkennung und Ereignisgruppierung

Schwerpunkt: Regel, Pfad, Hash, Hostgruppe, Benutzer, Score, Zeit und Häufigkeit.

1. Ausgangslage, Schutzbedarf und Zielkriterien für den Themenblock „Mustererkennung und Ereignisgruppierung“ erfassen.
2. Relevante Datenquellen, Objekte, Rollen und Abhängigkeiten anhand von Regel, Pfad, Hash, Hostgruppe, Benutzer, Score, Zeit und Häufigkeit modellieren.
3. Die erforderliche Konfiguration, Analyse- oder Prozessfolge am Laborsystem schrittweise umsetzen.
4. Funktion, Berechtigungen, Protokollierung und Fehlerverhalten mit definierten Positiv- und Negativfällen prüfen.
5. Als Arbeitsergebnis einen katalogisierten Satz wiederkehrender Ereignismuster dokumentieren, fachlich abnehmen und in einen wiederholbaren Standard überführen.

4. Filterentwurf und Geltungsbereich

Schwerpunkt: AQL, Selektoren, Ausschlüsse, positive Bedingungen, negative Bedingungen und Prioritäten.

1. Ausgangslage, Schutzbedarf und Zielkriterien für den Themenblock „Filterentwurf und Geltungsbereich“ erfassen.
2. Relevante Datenquellen, Objekte, Rollen und Abhängigkeiten anhand von AQL, Selektoren, Ausschlüsse, positive Bedingungen, negative Bedingungen und Prioritäten modellieren.
3. Die erforderliche Konfiguration, Analyse- oder Prozessfolge am Laborsystem schrittweise umsetzen.
4. Funktion, Berechtigungen, Protokollierung und Fehlerverhalten mit definierten Positiv- und Negativfällen prüfen.
5. Als Arbeitsergebnis präzise und nachvollziehbare Baseline-Filter dokumentieren, fachlich abnehmen und in einen wiederholbaren Standard überführen.

5. Testen, Freigeben und Rückrollen

Schwerpunkt: Testgruppen, Negativfälle, Shadow Mode, Peer Review, Versionierung und Rollback.

1. Ausgangslage, Schutzbedarf und Zielkriterien für den Themenblock „Testen, Freigeben und Rückrollen“ erfassen.
2. Relevante Datenquellen, Objekte, Rollen und Abhängigkeiten anhand von Testgruppen, Negativfälle, Shadow Mode, Peer Review, Versionierung und Rollback modellieren.
3. Die erforderliche Konfiguration, Analyse- oder Prozessfolge am Laborsystem schrittweise umsetzen.
4. Funktion, Berechtigungen, Protokollierung und Fehlerverhalten mit definierten Positiv- und Negativfällen prüfen.
5. Als Arbeitsergebnis einen sicheren Filter-Freigabeprozess dokumentieren, fachlich abnehmen und in einen wiederholbaren Standard überführen.

6. Automatische Cases und Case Intelligence

Schwerpunkt: automatische Erzeugung, Gruppierung, Priorisierung, Auto Case ID, Kontext und Eskalationsgrenzen.

1. Ausgangslage, Schutzbedarf und Zielkriterien für den Themenblock „Automatische Cases und Case Intelligence“ erfassen.
2. Relevante Datenquellen, Objekte, Rollen und Abhängigkeiten anhand von automatische Erzeugung, Gruppierung, Priorisierung, Auto Case ID, Kontext und Eskalationsgrenzen modellieren.
3. Die erforderliche Konfiguration, Analyse- oder Prozessfolge am Laborsystem schrittweise umsetzen.
4. Funktion, Berechtigungen, Protokollierung und Fehlerverhalten mit definierten Positiv- und Negativfällen prüfen.
5. Als Arbeitsergebnis eine kontrollierte Automatisierungslogik dokumentieren, fachlich abnehmen und in einen wiederholbaren Standard überführen.

7. Kontinuierliche Pflege und Kennzahlen

Schwerpunkt: Ablaufdaten, Rezertifizierung, Trefferquoten, überdeckte Ereignisse, Review-Zyklen und Ausnahmen.

1. Ausgangslage, Schutzbedarf und Zielkriterien für den Themenblock „Kontinuierliche Pflege und Kennzahlen“ erfassen.
2. Relevante Datenquellen, Objekte, Rollen und Abhängigkeiten anhand von Ablaufdaten, Rezertifizierung, Trefferquoten, überdeckte Ereignisse, Review-Zyklen und Ausnahmen modellieren.
3. Die erforderliche Konfiguration, Analyse- oder Prozessfolge am Laborsystem schrittweise umsetzen.
4. Funktion, Berechtigungen, Protokollierung und Fehlerverhalten mit definierten Positiv- und Negativfällen prüfen.
5. Als Arbeitsergebnis ein messbares False-Positive-Management dokumentieren, fachlich abnehmen und in einen wiederholbaren Standard überführen.

Praxisübungen und Laborszenarien

• Ermittlung stabiler Muster aus einem mehrwöchigen Ereignisdatensatz.
• Entwurf und Negativtest mehrerer eng begrenzter Baseline-Filter.
• Aufbau eines Review-Zyklus mit Ablaufdatum, Kennzahlen und Rollback.

Zielgruppe und Voraussetzungen

Zielgruppe: SOC Engineering, Threat Hunting, Detection Engineering, Analysis-Cockpit-Administration und Incident Response.

Voraussetzungen: Sichere Bedienung der Ereignissuche sowie Verständnis von Scores, Filtern und typischen False-Positive-Ursachen.

Didaktik und Arbeitsweise

Kurze Fachimpulse werden unmittelbar durch Demonstrationen, strukturierte Konfigurationsschritte, praktische Übungen und kontrollierte Fehlerfälle vertieft. Jede Übung verwendet definierte Ausgangswerte, Prüfpunkte und Dokumentationsanforderungen, damit die erarbeiteten Abläufe als Betriebsstandard wiederholbar bleiben.