Seminar Shuffle SOAR – Intensivseminar: Komplettpaket in fünf Tagen

Seminarprofil

Das Intensivseminar fasst das gesamte modulare Seminarprogramm in einer zusammenhängenden Lern- und Projektstrecke zusammen. Es verbindet Architektur, Installation, Administration, Integrationen, Workflow-Engineering, SOC-Playbooks, App-Entwicklung, KI, Sicherheit, Skalierung und Betrieb in einem durchgängigen Laborszenario.

Inhaltsverzeichnis

1. Seminarprofil
2. Zielsetzung
3. Zielgruppe
4. Voraussetzungen
5. Seminarinhalte
6. Praxisübungen
7. Methodik

Zielsetzung

• die Plattform von Architektur und Bereitstellung bis zum produktiven Betrieb ganzheitlich einordnen
• Integrationen, Datenflüsse und komplexe Workflows einschließlich SOC-Playbooks aufbauen
• eigene App- und API-Erweiterungen sowie KI-gestützte Schritte kontrolliert umsetzen
• Security, Governance, Skalierung, Monitoring, Wiederherstellung und Betriebsübergabe verbinden

Zielgruppe

SOC- und Security-Engineering-Teams, Plattformadministration, DevSecOps, Incident Response, Integrationsentwicklung und technische Projektverantwortung.

Voraussetzungen

Grundkenntnisse zu IT-Sicherheit, APIs, Linux oder Containerbetrieb. Für die Entwicklerteile sind elementare Python-Kenntnisse hilfreich, aber nicht für alle Übungen zwingend erforderlich.

Seminarinhalte

1. Schritt 1: Tag 1: Architektur und Zielbild erstellen

   Anforderungen, Datenflüsse, Cloud-, On-Premises- und Hybridoptionen werden in eine begründete Zielarchitektur überführt.

   • Schutzbedarf und Integrationslandschaft erfassen
   • Komponenten und Vertrauensgrenzen skizzieren
   • Betriebsmodell und Pilotumfang festlegen
2. Schritt 2: Tag 1: Installation und Grundkonfiguration durchführen

   Eine Laborumgebung wird bereitgestellt, abgesichert und durch einen Ende-zu-Ende-Test abgenommen.

   • Voraussetzungen prüfen
   • Plattform und Zugang konfigurieren
   • TLS, Persistenz und Funktion kontrollieren
3. Schritt 3: Tag 1: Administration und Mandantenmodell einrichten

   Organisationen, Benutzer, Rollen, Umgebungen und Credentials werden nach minimaler Berechtigung strukturiert.

   • Rollenmatrix anwenden
   • Test- und Produktivbereiche trennen
   • Onboarding- und Prüfablauf dokumentieren
4. Schritt 4: Tag 2: Integrationen und Trigger anbinden

   SIEM-, Ticket- oder Intelligence-Dienste werden mit sicheren Credentials, Webhook und Zeitplan verbunden.

   • Apps und Aktionen auswählen
   • Authentifizierung testen
   • Eingangsdaten validieren und deduplizieren
5. Schritt 5: Tag 2: Workflow-Engineering aufbauen

   Datenfluss, Bedingungen, Schleifen, parallele Aktionen und Subflows werden in einem modularen Playbook eingesetzt.

   • Datenvertrag definieren
   • Anreicherungen parallelisieren
   • wiederverwendbare Bausteine erstellen
6. Schritt 6: Tag 2: Daten und Zustand verarbeiten

   JSON, Liquid, Dateien, Datastore und Cache werden für Normalisierung, Vorlagen und mehrstufige Abläufe kombiniert.

   • Nutzdaten transformieren
   • Datei und Metadaten kontrollieren
   • Zustand sowie Ablaufregeln festlegen
7. Schritt 7: Tag 3: SOC-Playbooks umsetzen

   Phishing-, IOC- und Incident-Response-Muster werden mit Triage, Risikobewertung, Freigabe und Ticketing realisiert.

   • Kontext anreichern
   • Priorität berechnen
   • Eindämmung und Kommunikation kontrollieren
8. Schritt 8: Tag 3: Detection- und Threat-Intelligence-Kette integrieren

   SIEM-Alarme, IOC-Quellen, Caching, Deduplizierung und Feedback werden zu einer skalierbaren Kette verbunden.

   • Quellen parallel abfragen
   • Bewertung und Konfidenz bilden
   • Disposition an Detektionspflege zurückführen
9. Schritt 9: Tag 3: Fehler, Wiederholung und Kompensation beherrschen

   Teilfehler, API-Grenzen und bereits ausgeführte Seiteneffekte erhalten definierte Reaktionen.

   • Fehlerhierarchie anwenden
   • Retry und Ersatzpfad einrichten
   • Rücknahme oder manuelle Korrektur dokumentieren
10. Schritt 10: Tag 4: App und API-Erweiterung entwickeln

    Eine kleine Integration wird über OpenAPI oder Python erstellt und zusätzlich programmgesteuert über die Plattform-API genutzt.

    • Aktionen und Parameter modellieren
    • Authentifizierung und Fehlerbehandlung implementieren
    • externen Start und Statusabfrage testen
11. Schritt 11: Tag 4: MCP und KI kontrolliert einbinden

    Ein begrenzter agentischer Analyseschritt wird mit Werkzeugbegrenzung, Kontextschutz und menschlicher Freigabe ergänzt.

    • geeigneten Use Case auswählen
    • strukturierte Ausgabe erzwingen
    • Angriffs- und Fehltests durchführen
12. Schritt 12: Tag 4: Qualität und Governance etablieren

    Standards, Review, Tests, Versionierung, Freigabe und Rollback werden auf das Gesamtprojekt angewendet.

    • Review-Checkliste durchführen
    • Regressionstest erstellen
    • Produktivfreigabe und Rückfall dokumentieren
13. Schritt 13: Tag 5: Hardening und Compliance umsetzen

    Identitäten, Credentials, Netz, Logging, Datenschutz, Updates und Nachweise werden systematisch geprüft.

    • Bedrohungsmodell anwenden
    • Härtungsmaßnahmen priorisieren
    • Kontrollmatrix und Evidenzen erstellen
14. Schritt 14: Tag 5: Skalierung und Hochverfügbarkeit planen

    Kubernetes-, Ressourcen-, Kapazitäts- und Verfügbarkeitsoptionen werden für das Lastprofil dimensioniert.

    • Ressourcenprofil ableiten
    • Skalierungs- und HA-Maßnahmen auswählen
    • Single Points of Failure bewerten
15. Schritt 15: Tag 5: Monitoring, Recovery und Betriebsübergabe abschließen

    Dashboards, Alarme, Runbooks, Backup, Restore und Supportinformationen werden in eine Abnahme überführt.

    • Messpunkte und Alarme definieren
    • Wiederherstellung testen
    • Betriebs- und Projektübergabe protokollieren

Praxisübungen

• Ein durchgängiges Laborprojekt von Zielarchitektur und Installation bis zum produktionsnahen SOC-Playbook umsetzen
• Eine eigene Integration und einen externen API-Client mit Test- und Fehlerfällen erstellen
• Hardening, Review, Monitoring, Backup, Wiederherstellung und Betriebsübergabe als gemeinsame Abschlussabnahme durchführen

Methodik

Fachvortrag, Demonstrationen, geführte Konfiguration, praktische Übungen und strukturierte Auswertung am System. Jeder Themenblock folgt dem Ablauf Ausgangslage, Konfiguration, Test, Fehlerbild und Korrektur. Ergebnisse werden anhand festgelegter Sollzustände geprüft und in einer wiederverwendbaren Arbeitsunterlage dokumentiert.