Seminar Security Onion Kompaktseminar für SOC-Teams

Dieses Kompaktseminar bündelt die wichtigsten Security-Onion-Themen für Teams, die schnell arbeitsfähig werden müssen. Es verbindet Plattformverständnis, SOC-Oberfläche, Alert Triage, Hunt, PCAP, Cases, Detections und grundlegende Betriebsfragen. Die Tiefe reicht für eine belastbare Orientierung und erste Praxis; für Spezialisten folgen die vertiefenden Einzelseminare.

Inhaltsübersicht

• Plattform, Architektur und Datenquellen kompakt einordnen
• SOC-Konsole, Alerts, Dashboards und Hunt bedienen
• PCAP- und Hostkontext für Untersuchungen nutzen
• Cases und Detections in Arbeitsabläufe integrieren
• Betriebs- und Rollenfragen für das SOC klären

Ziele

Nach dem Seminar besitzt ein gemischtes SOC-Team eine gemeinsame Arbeitsgrundlage für Security Onion und kann typische Analyse- und Betriebssituationen einordnen.

Zielgruppe

Das Kompaktseminar richtet sich an gemischte SOC-Teams aus Analysten, Administratoren und Incident-Response-Rollen, die in kurzer Zeit einen gemeinsamen Arbeitsstand zu Security Onion erreichen müssen.

Seminarinhalte

1. Gemeinsames Plattformbild aufbauen

1. Security Onion als Kombination aus Sensorik, Suche, Analyse und Fallbearbeitung einordnen.
2. Rollen für Analysten, Administratoren und Incident Responder abgrenzen.
3. Datenquellen und typische Sichtbarkeitslücken besprechen.

2. SOC-Oberfläche nutzen

1. Alerts, Dashboards und Hunt für erste Untersuchungen öffnen.
2. Filter, Zeitbereiche und Kontextaktionen sicher anwenden.
3. Erste Befunde von Hintergrundrauschen trennen.

3. Analyse vertiefen

1. Von einem Alert zu Netzwerkmetadaten, PCAP und Hostdaten pivotieren.
2. Auffällige Verbindungen und Ereignisse Schritt für Schritt prüfen.
3. Beobachtungen in einer einfachen Untersuchungskette festhalten.

4. Fallarbeit und Detections einordnen

1. Cases anlegen und relevante Observables übernehmen.
2. Detections lesen und einfache Tuning-Bedarfe erkennen.
3. Fehlalarme, echte Verdachtsfälle und offene Fragen sauber kennzeichnen.

5. Betrieb und nächste Schritte festlegen

1. Mindestkontrollen für Grid, Sensoren und Datenfluss definieren.
2. Lernpfade für Analysten und Administratoren festlegen.
3. Pilot- und Einführungsfragen für die eigene Umgebung sammeln.

Praxisübungen

• Gemeinsames Rollen- und Datenquellenbild erstellen
• Alert von der Übersicht bis zum Hunt-Kontext verfolgen
• PCAP-Pivot und Hostdatenvergleich durchführen
• Mini-Case mit Befund und Entscheidung anlegen
• Nächste Seminar- und Projektschritte priorisieren

Voraussetzungen

Vorausgesetzt werden Grundlagen in IT-Sicherheit, TCP/IP und Loganalyse. Für administrative Vertiefungen sind Linux-Kenntnisse hilfreich.