Seminar Tenzir – Intensivseminar Detection Engineering und Security Analytics

Wirksame Erkennung entsteht aus verlässlichen Daten, klarer Semantik, kontrolliertem Kontext und testbaren Regeln. Im Mittelpunkt stehen den vollständigen Detection-Engineering-Prozess aus Datenqualität, OCSF, Contexts, Threat Intelligence, Sigma, Echtzeiterkennung, Hunting und Wirksamkeitskontrolle.

Seminarziel

Nach dem Seminar können normalisierte Datenprodukte, Sigma-basierte Echtzeiterkennungen, Hunting-Abfragen und belastbare Wirksamkeitskontrollen aufgebaut werden.

Inhaltsübersicht

1. Kapitel 1: Tag 1: Detection-Architektur und Datenbasis
2. Kapitel 2: Tag 2: OCSF und Context Engineering
3. Kapitel 3: Tag 3: Sigma und Echtzeit-Erkennung
4. Kapitel 4: Tag 4: Threat Hunting und historische Analyse
5. Kapitel 5: Tag 5: Wirksamkeit, Kosten und Übergabe
6. Praxisübungen
7. Zielgruppe und Voraussetzungen

Kapitel 1: Tag 1: Detection-Architektur und Datenbasis

1. Schritt 1: Erkennungsziele, Datenquellen, Angriffsannahmen und notwendige Felder systematisch ableiten.
2. Schritt 2: TQL für Filter, Transformation, Aggregation und Zeitbezug auf detection-kritische Daten anwenden.
3. Schritt 3: Datenqualität, Vollständigkeit und Latenz der erforderlichen Felder messen.
4. Schritt 4: Echtzeit-, Hunting-, Data-Lake- und SIEM-Zielpfade in einem abgestuften Modell entwerfen.

Kapitel 2: Tag 2: OCSF und Context Engineering

1. Schritt 1: Quellereignisse in geeignete OCSF-Klassen, Aktivitäten, Schweregrade und Observables überführen.
2. Schritt 2: Schema- und Mappingfehler mit repräsentativen Testdaten erkennen und korrigieren.
3. Schritt 3: Asset-, Identitäts-, GeoIP- und Threat-Intelligence-Contexts aufbauen und versionieren.
4. Schritt 4: Feldherkunft, Vertrauen, Gültigkeit und Nichttreffer für Analysten nachvollziehbar machen.

Kapitel 3: Tag 3: Sigma und Echtzeit-Erkennung

1. Schritt 1: Sigma-Regeln nach Logsource, Feldern, Bedingungen, Ausnahmen und Metadaten analysieren.
2. Schritt 2: Regelanforderungen mit normalisierten Feldern abgleichen und in ausführbare TQL-Logik überführen.
3. Schritt 3: Treffer anreichern, priorisieren, deduplizieren und an definierte Alarmziele ausleiten.
4. Schritt 4: Regeln mit positiven, negativen und Grenzfällen testen und auf Fehlalarme abstimmen.

Kapitel 4: Tag 4: Threat Hunting und historische Analyse

1. Schritt 1: Hypothesen in wiederholbare TQL-Abfragen mit Zeitfenstern, Aggregationen und Korrelationen übersetzen.
2. Schritt 2: Live-Daten und historische Bestände aus Edge Storage oder Data Lake gemeinsam untersuchen.
3. Schritt 3: Ergebnisse in Tabellen, Kennzahlen und Visualisierungen für Analysten aufbereiten.
4. Schritt 4: Aus Hunting-Erkenntnissen neue Qualitätsregeln, Enrichments und produktive Detections ableiten.

Kapitel 5: Tag 5: Wirksamkeit, Kosten und Übergabe

1. Schritt 1: Abdeckung, Trefferqualität, Fehlalarmrate, Datenlücken und Regelalter als Betriebskennzahlen definieren.
2. Schritt 2: Rauschen durch Filter, Deduplizierung, Aggregation und differenziertes Routing sicher reduzieren.
3. Schritt 3: Rohdaten-, Data-Lake- und SIEM-Aufbewahrung anhand von Analysewert und Kosten abstimmen.
4. Schritt 4: Detection-Änderungen mit Tests, Review, Freigabe, Monitoring und Rückfallplan übergeben.

Praxisübungen

1. Übung 1: OCSF-normalisierte Detection-Datenbasis aufbauen.
2. Übung 2: Mehrere Sigma-Regeln umsetzen und tunen.
3. Übung 3: Hunt über Live- und historische Daten durchführen.
4. Übung 4: Wirksamkeits- und Kostenkennzahlen erstellen.

Zielgruppe

Detection Engineers, SOC-Analysten, Threat Hunter, Threat-Intelligence-Teams, Security Data Engineers und SOC-Architekten.

Voraussetzungen

Grundlagen zu Security Monitoring und Angriffstechniken sowie sichere Arbeit mit strukturierten Ereignissen; TQL-Erfahrung ist hilfreich.