Seminar Nextron THOR – Architektur, Editionen und Einsatzszenarien

Das Grundlagenseminar ordnet THOR als portablen Scanner für verdächtige oder kompromittierte Systeme ein. Es schafft ein gemeinsames Begriffsmodell für Editionen, Plattformen, Signaturen, Module, Scanarten, Ergebniswege und die Einbindung in ASGARD.

Inhaltsübersicht

• Lernziele und fachliche Einordnung
• Schrittweise Seminarinhalte
• Praxisübungen und Laborszenarien
• Zielgruppe und Voraussetzungen
• Didaktik und Arbeitsweise

Lernziele

• Aufgaben und Grenzen von THOR im Security- und DFIR-Betrieb erklären.
• Editionen, Plattformen und Lizenzmodelle passend zum Einsatzfall einordnen.
• Signatur-, IOC-, Sigma- und Anomalieerkennung unterscheiden.
• Stand-alone-, Labor-, Cloud- und ASGARD-Szenarien vergleichen.
• Einen priorisierten Qualifizierungs- und Einführungsweg ableiten.

Schrittweise Seminarinhalte

1. THOR im Detection- und Forensikmodell

Schwerpunkt: Compromise Assessment, Triage, Live Forensics, Image Scan, Threat Hunting und Abgrenzung zu Antivirus oder EDR.

1. Ausgangslage, Schutzbedarf und Zielkriterien für den Themenblock „THOR im Detection- und Forensikmodell“ erfassen.
2. Relevante Datenquellen, Objekte, Rollen und Abhängigkeiten anhand von Compromise Assessment, Triage, Live Forensics, Image Scan, Threat Hunting und Abgrenzung zu Antivirus oder EDR modellieren.
3. Die erforderliche Konfiguration, Analyse- oder Prozessfolge am Laborsystem schrittweise umsetzen.
4. Funktion, Berechtigungen, Protokollierung und Fehlerverhalten mit definierten Positiv- und Negativfällen prüfen.
5. Als Arbeitsergebnis ein konsistentes Einsatz- und Abgrenzungsmodell dokumentieren, fachlich abnehmen und in einen wiederholbaren Standard überführen.

2. Editionen, Plattformen und Architekturen

Schwerpunkt: THOR, THOR Lite, Forensic Lab, Legacy, Windows, Linux, macOS, AIX und Prozessorarchitektur.

1. Ausgangslage, Schutzbedarf und Zielkriterien für den Themenblock „Editionen, Plattformen und Architekturen“ erfassen.
2. Relevante Datenquellen, Objekte, Rollen und Abhängigkeiten anhand von THOR, THOR Lite, Forensic Lab, Legacy, Windows, Linux, macOS, AIX und Prozessorarchitektur modellieren.
3. Die erforderliche Konfiguration, Analyse- oder Prozessfolge am Laborsystem schrittweise umsetzen.
4. Funktion, Berechtigungen, Protokollierung und Fehlerverhalten mit definierten Positiv- und Negativfällen prüfen.
5. Als Arbeitsergebnis eine passende Produkt- und Plattformmatrix dokumentieren, fachlich abnehmen und in einen wiederholbaren Standard überführen.

3. Erkennungsmechanismen

Schwerpunkt: YARA, Sigma, IOCs, Anomalien, Eventlogs, Registry, Dateisystem, Prozesse und integriertes Scoring.

1. Ausgangslage, Schutzbedarf und Zielkriterien für den Themenblock „Erkennungsmechanismen“ erfassen.
2. Relevante Datenquellen, Objekte, Rollen und Abhängigkeiten anhand von YARA, Sigma, IOCs, Anomalien, Eventlogs, Registry, Dateisystem, Prozesse und integriertes Scoring modellieren.
3. Die erforderliche Konfiguration, Analyse- oder Prozessfolge am Laborsystem schrittweise umsetzen.
4. Funktion, Berechtigungen, Protokollierung und Fehlerverhalten mit definierten Positiv- und Negativfällen prüfen.
5. Als Arbeitsergebnis eine nachvollziehbare Detection-Landkarte dokumentieren, fachlich abnehmen und in einen wiederholbaren Standard überführen.

4. Betriebs- und Deploymentmodelle

Schwerpunkt: lokaler Start, Netzwerkfreigabe, ASGARD, Ansible, THOR Remote, Thunderstorm und Offline-Verteilung.

1. Ausgangslage, Schutzbedarf und Zielkriterien für den Themenblock „Betriebs- und Deploymentmodelle“ erfassen.
2. Relevante Datenquellen, Objekte, Rollen und Abhängigkeiten anhand von lokaler Start, Netzwerkfreigabe, ASGARD, Ansible, THOR Remote, Thunderstorm und Offline-Verteilung modellieren.
3. Die erforderliche Konfiguration, Analyse- oder Prozessfolge am Laborsystem schrittweise umsetzen.
4. Funktion, Berechtigungen, Protokollierung und Fehlerverhalten mit definierten Positiv- und Negativfällen prüfen.
5. Als Arbeitsergebnis eine Entscheidungsmatrix für Deployment und Betrieb dokumentieren, fachlich abnehmen und in einen wiederholbaren Standard überführen.

5. Einführungsplanung und Lernpfade

Schwerpunkt: Use Cases, Pilot, Privilegien, EDR-Ausnahmen, Updateverfahren, Ergebnisanalyse und Rollenqualifizierung.

1. Ausgangslage, Schutzbedarf und Zielkriterien für den Themenblock „Einführungsplanung und Lernpfade“ erfassen.
2. Relevante Datenquellen, Objekte, Rollen und Abhängigkeiten anhand von Use Cases, Pilot, Privilegien, EDR-Ausnahmen, Updateverfahren, Ergebnisanalyse und Rollenqualifizierung modellieren.
3. Die erforderliche Konfiguration, Analyse- oder Prozessfolge am Laborsystem schrittweise umsetzen.
4. Funktion, Berechtigungen, Protokollierung und Fehlerverhalten mit definierten Positiv- und Negativfällen prüfen.
5. Als Arbeitsergebnis einen priorisierten Einführungs- und Seminarfahrplan dokumentieren, fachlich abnehmen und in einen wiederholbaren Standard überführen.

Praxisübungen und Laborszenarien

• Erstellung eines Kontextdiagramms für THOR, ASGARD, Cockpit und SIEM.
• Zuordnung mehrerer Security-Szenarien zu geeigneten THOR-Varianten und Scanmodellen.
• Ableitung eines Pilotumfangs mit Abnahme- und Qualifizierungskriterien.

Zielgruppe und Voraussetzungen

Zielgruppe: Technische Projektleitung, SOC, DFIR, Systemadministration, Security Architecture und Informationssicherheit.

Voraussetzungen: Grundverständnis von Endpoint Security, Malware-Indikatoren, Incident Response und Windows- oder Linux-Systemen.

Didaktik und Arbeitsweise

Kurze Fachimpulse werden unmittelbar durch Demonstrationen, strukturierte Konfigurationsschritte, praktische Übungen und kontrollierte Fehlerfälle vertieft. Jede Übung verwendet definierte Ausgangswerte, Prüfpunkte und Dokumentationsanforderungen, damit die erarbeiteten Abläufe als Betriebsstandard wiederholbar bleiben.