Seminar Security Onion Threat Hunting und Alert Triage

Dieses Seminar behandelt die praktische Untersuchung von Alerts und Hunt-Hypothesen in Security Onion. Der Schwerpunkt liegt auf Suchstrategien, Kontextbildung, Pivots, Bewertung und Dokumentation. Gute Triage ist kein Bauchgefühl, sondern ein nachvollziehbarer Prüfpfad.

Inhaltsübersicht

• Alerts methodisch priorisieren
• Hunt-Hypothesen aus Indikatoren und Verhaltensmustern ableiten
• Suchlogik, Filter und Aggregationen nutzen
• PCAP-, Netzwerk- und Hostdaten korrelieren
• Entscheidungen für Case, Eskalation oder Abschluss treffen

Ziele

Nach dem Seminar können Alarme und Hunt-Fragen mit Security Onion strukturiert untersucht, Datenquellen korreliert und Entscheidungen nachvollziehbar dokumentiert werden.

Zielgruppe

Das Seminar richtet sich an SOC-Analysten, Threat Hunter und Incident Responder, die Alerts und Hunt-Hypothesen mit Security Onion strukturiert untersuchen möchten.

Seminarinhalte

1. Triage-Startpunkt festlegen

1. Alarm, Hinweis oder Hypothese als Untersuchungsstartpunkt definieren.
2. Zeitfenster, beteiligte Systeme und erste Verdachtsmomente erfassen.
3. Priorität anhand von Kontext und möglicher Auswirkung festlegen.

2. Hunt-Fragen formulieren

1. Aus einem Verdacht eine prüfbare Suchfrage ableiten.
2. Breite und enge Suchmuster sinnvoll kombinieren.
3. Erwartete Gegenbelege vor der Suche benennen.

3. Datenquellen korrelieren

1. Netzwerkmetadaten, IDS-Alerts, Hostdaten und Dashboards zusammenführen.
2. Pivots nach IP, Host, Benutzer, Datei, Hash und Zeitfenster durchführen.
3. Widersprüche zwischen Datenquellen erkennen und bewerten.

4. Befund bewerten

1. Verdachtsmomente gegen bekannte Normalaktivität prüfen.
2. False Positives und echte Risiken anhand von Belegen unterscheiden.
3. Restunsicherheit und offene Fragen ausdrücklich dokumentieren.

5. Entscheidung dokumentieren

1. Case-Anlage, Eskalation oder Abschluss begründen.
2. Observables und Belege gezielt übernehmen.
3. Tuning- und Verbesserungsbedarf aus der Untersuchung ableiten.

Praxisübungen

• Alert-Triage mit priorisierter Entscheidung durchführen
• Hunt-Hypothese aus auffälliger DNS-Aktivität entwickeln
• Netzwerk- und Hostdaten in einer Abfragekette korrelieren
• False Positive mit Belegen ausschließen
• Case-Entscheidung und Tuning-Hinweis dokumentieren

Voraussetzungen

Vorausgesetzt werden SOC-Grundlagen, Verständnis von Netzwerkprotokollen und Logdaten sowie erste Erfahrung mit Sicherheitsereignissen.