Seminar Sekoia Detection Engineering mit Sigma und CTI Rules

Dieses Seminar richtet sich an Teams, die Erkennungslogik nicht nur nutzen, sondern fachlich prüfen, anpassen und weiterentwickeln wollen. Behandelt werden Sigma-orientierte Erkennung, CTI-basierte Regeln, IOC-Abgleich, Tuning, False-Positive-Reduktion und Qualitätssicherung.

Inhaltsübersicht

• Aufbau und Einordnung von Erkennungsregeln
• Sigma-basierte Signaturen und Korrelationen
• CTI- und IOC-basierte Erkennung im operativen SOC-Kontext
• Tuning gegen False Positives und Alarmrauschen
• Validierung, Dokumentation und Lebenszyklus von Detection Content

Zielgruppe

Geeignet für Detection Engineers, SOC-Analysten, Threat Hunter und Security Engineers, die Regeln bewerten, anpassen und im Betrieb verbessern.

Seminarinhalte

1. Erkennungsziel definieren: Angriffstechnik, Datenquelle, erwartetes Ereignismuster und Alarmziel werden festgelegt.
2. Datenbasis prüfen: Benötigte Logfelder, Datenqualität und Abdeckung werden vor der Regelerstellung bewertet.
3. Sigma-Logik lesen: Bedingungen, Selektoren, Filter und Korrelationsansätze werden fachlich zerlegt.
4. CTI-Regeln einordnen: IOC-basierte Treffer werden mit Kontext, Aktualität und Relevanz bewertet.
5. False Positives reduzieren: Filter, Schwellwerte, Ausnahmen und Kontextbedingungen werden gezielt eingesetzt.
6. Regeln testen: Testereignisse, historische Daten und erwartete Treffer werden zur Validierung genutzt.
7. Regelbetrieb dokumentieren: Ziel, Datenabhängigkeit, Reaktionsempfehlung und Prüfintervall werden festgehalten.
8. Lebenszyklus steuern: Änderungen, Stilllegungen und Aktualisierungen werden in einen geregelten Prozess gebracht.

Praktische Übungen

• Bewertung einer Sigma-Regel anhand von Logfeldern und Angriffsziel
• Tuning einer Regel mit zu hoher Fehlalarmquote
• Erstellung eines Prüfplans für Detection Content