Seminar Shuffle SOAR – Kompaktseminar: Security-Automatisierung in drei Tagen

Seminarprofil

Das Kompaktseminar bündelt die wichtigsten Fähigkeiten für einen schnellen, praxisorientierten Einstieg. Innerhalb von drei Tagen entsteht ein vollständiger Automatisierungsweg von Architektur und Integration bis zu Workflow, Anreicherung, Freigabe und Betriebsübergabe.

Inhaltsverzeichnis

1. Seminarprofil
2. Zielsetzung
3. Zielgruppe
4. Voraussetzungen
5. Seminarinhalte
6. Praxisübungen
7. Methodik

Zielsetzung

• Plattform, Architektur und zentrale Betriebsobjekte kompakt einordnen
• Integrationen, Credentials, Trigger und Datenflüsse sicher konfigurieren
• einen vollständigen SOC-Workflow mit Anreicherung und Entscheidung erstellen
• Tests, Governance, Monitoring und Betriebsübergabe in verdichteter Form anwenden

Zielgruppe

SOC-Analysten, Security Engineers, technische Key-User, Plattformadministration und Projektteams mit kurzfristigem Einführungsbedarf.

Voraussetzungen

Grundverständnis von Sicherheitsalarmen, APIs und webbasierten Anwendungen; Programmierkenntnisse sind nicht zwingend erforderlich.

Seminarinhalte

1. Schritt 1: Tag 1: Architektur und Bedienmodell verstehen

   Komponenten, Cloud-/On-Premises-Varianten, Organisationen, Apps, Workflows und Ausführungen werden in einem Gesamtbild verbunden.

   • Zielbild skizzieren
   • Arbeitsbereich bedienen
   • Rollen und Umgebungen einordnen
2. Schritt 2: Tag 1: Integration und Credential einrichten

   Eine externe Sicherheitsquelle wird mit minimalen Rechten verbunden und über eine Testaktion abgenommen.

   • App auswählen
   • Credential konfigurieren
   • Verbindung und Fehlerbild prüfen
3. Schritt 3: Tag 1: Trigger und Datenvertrag definieren

   Ein Ereigniseingang erhält validierte Pflichtfelder, Normalform und Deduplizierungskriterium.

   • Webhook oder Beispieltrigger einrichten
   • JSON-Felder prüfen
   • Korrelationsschlüssel festlegen
4. Schritt 4: Tag 2: Workflow-Grundgerüst erstellen

   Triage, Anreicherung, Entscheidung und Ergebnis werden als lesbare Phasen aufgebaut.

   • Aktionen platzieren
   • Variablen verbinden
   • Status und Owner dokumentieren
5. Schritt 5: Tag 2: Daten anreichern und bewerten

   Mehrere Kontextquellen werden abgefragt, normalisiert und in eine nachvollziehbare Risikobewertung überführt.

   • Indikatoren extrahieren
   • Abfragen parallel ausführen
   • Score und Konfidenz berechnen
6. Schritt 6: Tag 2: Freigabe und Folgeaktion steuern

   Unsichere oder invasive Reaktionen werden mit menschlicher Entscheidung, Timeout und Ablehnung verbunden.

   • Freigabekriterien festlegen
   • Ticket oder Benachrichtigung erzeugen
   • Folgeaktion kontrolliert auslösen
7. Schritt 7: Tag 3: Fehler und Dubletten behandeln

   API-Ausfall, fehlende Daten und Mehrfachzustellung werden mit Retry, Ersatzpfad und Zustandsprüfung beherrscht.

   • Fehlerklassen unterscheiden
   • Deduplizierung einsetzen
   • sicheren Abbruch gestalten
8. Schritt 8: Tag 3: Test und Qualitätssicherung durchführen

   Eine kompakte Testmatrix deckt Normal-, Alternativ-, Fehler- und Sicherheitsfälle ab.

   • Testdaten vorbereiten
   • Ergebnisse gegen Soll prüfen
   • Review-Befunde korrigieren
9. Schritt 9: Tag 3: Monitoring und Übergabe vorbereiten

   Erfolgsquote, Laufzeit, Fehler und Eigentum werden in eine Betriebscheckliste überführt.

   • Messpunkte definieren
   • Alarmierung festlegen
   • Runbook und Übergabeprotokoll erstellen

Praxisübungen

• Eine vollständige Alarmkette von Webhook über Anreicherung und Bewertung bis zur Freigabe aufbauen
• Integrationsfehler, fehlende Daten und Dublette gezielt injizieren und kontrolliert behandeln
• Den entstandenen Workflow mit Review, Testmatrix, Monitoringpunkten und Betriebscheckliste abnehmen

Methodik

Fachvortrag, Demonstrationen, geführte Konfiguration, praktische Übungen und strukturierte Auswertung am System. Jeder Themenblock folgt dem Ablauf Ausgangslage, Konfiguration, Test, Fehlerbild und Korrektur. Ergebnisse werden anhand festgelegter Sollzustände geprüft und in einer wiederverwendbaren Arbeitsunterlage dokumentiert.