Seminar Tenzir – OCSF-Normalisierung und Schema-Engineering

Normalisierung schafft eine gemeinsame Sprache für Detection, Hunting, Routing und Analytics; ein fachlich falsches Mapping muss jedoch verhindert werden. Im Mittelpunkt stehen die methodische Analyse von Quellschemata, die Auswahl geeigneter OCSF-Klassen, das TQL-Mapping und die systematische Validierung.

Seminarziel

Nach dem Seminar können belastbare OCSF-Mappings implementiert, geprüft, versioniert und als wiederverwendbare Artefakte gepflegt werden.

Inhaltsübersicht

1. Kapitel 1: Quellschema und Ereignissemantik
2. Kapitel 2: OCSF-Klassen, Aktivitäten und Objekte
3. Kapitel 3: OCSF-Mapping mit TQL
4. Kapitel 4: Validierung und Feldabdeckung
5. Kapitel 5: Schema-Governance und Wiederverwendung
6. Praxisübungen
7. Zielgruppe und Voraussetzungen

Kapitel 1: Quellschema und Ereignissemantik

1. Schritt 1: Ereignisarten, Aktivitäten, Akteure, Ziele, Ergebnisse, Zeiten und Herstellerbesonderheiten erfassen.
2. Schritt 2: Feldbedeutung, Einheit, Wertebereich, Optionalität und Vertrauensniveau dokumentieren.
3. Schritt 3: Mehrere Ereignistypen innerhalb eines Quellformats frühzeitig voneinander trennen.
4. Schritt 4: Unklare oder widersprüchliche Felder sichtbar lassen, statt sie vorschnell umzudeuten.

Kapitel 2: OCSF-Klassen, Aktivitäten und Objekte

1. Schritt 1: Kategorie, Klasse, Aktivität und Schweregrad anhand der tatsächlichen Ereignisbedeutung bestimmen.
2. Schritt 2: Objekte für Benutzer, Geräte, Prozesse, Dateien, Netzwerke und Cloud-Ressourcen korrekt einsetzen.
3. Schritt 3: Observables und identifizierende Felder für Detection und Hunting bewusst modellieren.
4. Schritt 4: Klassenübergreifende oder herstellerspezifische Informationen mit kontrollierten Erweiterungen abbilden.

Kapitel 3: OCSF-Mapping mit TQL

1. Schritt 1: Quellfelder typisieren, umbenennen, umstrukturieren und in passende OCSF-Zielpfade übertragen.
2. Schritt 2: Zeitstempel, Aufzählungen, Statuswerte, IDs und verschachtelte Records sicher konvertieren.
3. Schritt 3: Bedingte Mappings für Varianten, optionale Felder und unterschiedliche Produktstände erstellen.
4. Schritt 4: Rohdaten, Feldherkunft und Mappingversion für Nachvollziehbarkeit erhalten.

Kapitel 4: Validierung und Feldabdeckung

1. Schritt 1: Pflichtfelder, Typen, Wertebereiche und semantische Konsistenz automatisiert prüfen.
2. Schritt 2: Feldabdeckung, unbekannte Werte, Mappingfehler und Quarantänevolumen messen.
3. Schritt 3: Normal-, Grenz-, Fehler- und Versionsfälle mit repräsentativen Fixtures testen.
4. Schritt 4: Detection-kritische Felder gesondert absichern und Änderungen gegen vorhandene Regeln prüfen.

Kapitel 5: Schema-Governance und Wiederverwendung

1. Schritt 1: Mappings, Hilfsoperatoren, Beispiele, Tests und Dokumentation in wartbare Packages strukturieren.
2. Schritt 2: Versionen, Änderungsgründe, Kompatibilität und Migrationshinweise pflegen.
3. Schritt 3: Reviewrollen für Quellwissen, OCSF-Fachlichkeit, TQL und Detection festlegen.
4. Schritt 4: Schemaänderungen kontrolliert ausrollen und Auswirkungen auf Ziele und Regeln überwachen.

Praxisübungen

1. Übung 1: Herstellerformat analysieren und OCSF-Klasse wählen.
2. Übung 2: Mapping mit Observables und Erweiterungsfeldern implementieren.
3. Übung 3: Feldabdeckung automatisiert prüfen.
4. Übung 4: Mapping als Package-Baustein versionieren.

Zielgruppe

Security Data Engineers, Detection Engineers, Schema- und Integrationsverantwortliche, SOC-Architekten und Entwickler von Normalisierungen.

Voraussetzungen

Sichere TQL-Grundlagen und Erfahrung mit strukturierten Security-Ereignissen; OCSF-Vorkenntnisse sind hilfreich, aber nicht zwingend.