Seminar ntopng Network Monitor Log- und SIEM-Integration

Inhaltsübersicht

• Ereignistypen und Betriebsdaten
• Log-Ziele und Formate
• Filterung vor der Weitergabe
• SIEM-nahe Use Cases
• Validierung und Störungsanalyse

Seminarbeschreibung

Dieses Seminar behandelt ntopng als Datenlieferant für zentrale Betriebs- und Sicherheitsauswertungen. Ziel ist eine kontrollierte Weitergabe relevanter Ereignisse, ohne ein SIEM mit Meldungsmüll zu füttern.

Zwei Tage sind notwendig, weil neben der technischen Ausgabe auch Datenqualität, Filterung, Use-Case-Zuordnung und Abnahmetests behandelt werden.

Seminarinhalte

Schritt 1: Ereignisse klassifizieren

Betriebs-, Security-, Interface-, Host- und Flow-Ereignisse werden nach Zielsystem und Nutzen eingeordnet.

Schritt 2: Ausgabewege planen

Log-Ziele, Formate, Transportwege, Zeitstempel und Feldbezeichnungen werden abgestimmt.

Schritt 3: Filter definieren

Nur relevante Ereignisse werden weitergegeben. Testverkehr, bekannte Sonderfälle und unwichtige Statusmeldungen werden begrenzt.

Schritt 4: SIEM-Use-Cases abbilden

Meldungen werden typischen Prüfungen wie ungewöhnlicher Kommunikation, Scans, Richtlinienverstößen und Auslastungsspitzen zugeordnet.

Schritt 5: Integration abnehmen

Daten werden im Zielsystem gesucht, geprüft, korreliert und anhand einer Abnahmeliste bewertet.

Praktische Übungen

• Entwurf eines Ereignisfilters
• Prüfung eines Logformats
• Zuordnung von Meldungen zu SIEM-Use-Cases
• Analyse eines fehlenden oder fehlerhaften Ereignisses

Zielgruppe

Geeignet für Security Operations, SIEM-Betrieb, Netzwerkadministration und Monitoring-Engineering, wenn ntopng-Daten zentral ausgewertet werden sollen.

Voraussetzungen

Erforderlich sind Grundlagen zu Logging, TCP/IP, ntopng-Bedienung und Ereignisverarbeitung in zentralen Auswertungssystemen.