Seminar VMRay Platform – Detection Engineering mit VTIs, YARA und MITRE ATT&CK

Das Seminar verbindet Sandbox-Evidenz mit einem belastbaren Detection-Engineering-Lifecycle. Verhaltensindikatoren, YARA-Funde, ATT&CK-Techniken, Netzwerk- und Dateiartefakte werden bewertet, in Erkennungslogik übersetzt und mit Positiv- sowie Negativfällen getestet.

Inhaltsverzeichnis

• Lernziele und fachliche Einordnung
• Schrittweise Seminarinhalte
• Praxisübungen und Laborszenarien
• Zielgruppe und Voraussetzungen
• Didaktik und Arbeitsweise

Lernziele

• VMRay Threat Identifiers, YARA, IOCs und ATT&CK-Zuordnungen fachlich unterscheiden und kombinieren.
• Analysedaten nach Stabilität, Eindeutigkeit, Reichweite und False-Positive-Risiko bewerten.
• Aus Sandbox-Befunden testbare SIEM-, EDR-, YARA- und Hunting-Regeln ableiten.
• Regeln mit reproduzierbaren Testfällen, Versionierung und Peer Review absichern.
• Tuning, Alterung, Kennzahlen und Rückkopplung aus Incidents organisieren.

Schrittweise Seminarinhalte

1. Evidenz- und Erkennungsmodell

Schwerpunkt: VTI, YARA, IOC, Artefakt, Verhalten, ATT&CK-Technik, Malware-Familie, Konfiguration und Detektionsziel.

1. Ausgangslage, Schutzbedarf und Abnahmekriterien für den Themenblock „Evidenz- und Erkennungsmodell“ erfassen.
2. Relevante Datenquellen, Plattformobjekte, Rollen und Abhängigkeiten anhand von VTI, YARA, IOC, Artefakt, Verhalten, ATT&CK-Technik, Malware-Familie, Konfiguration und Detektionsziel modellieren.
3. Die erforderlichen Einstellungen, Analyse-, Integrations- oder Prozessschritte in einer isolierten Laborumgebung nachvollziehbar umsetzen.
4. Funktion, Berechtigungen, Protokollierung, Datenqualität und Fehlerverhalten mit definierten Positiv- und Negativfällen prüfen.
5. Als Arbeitsergebnis eine gemeinsame Detection-Taxonomie dokumentieren, fachlich abnehmen und in einen wiederholbaren Standard überführen.

2. VTIs und Verhaltenssignale bewerten

Schwerpunkt: VTI-Kategorien, Score, Kontext, Prozessbezug, Korrelation, Mehrstufigkeit, Evasion und Aussagegrenzen.

1. Ausgangslage, Schutzbedarf und Abnahmekriterien für den Themenblock „VTIs und Verhaltenssignale bewerten“ erfassen.
2. Relevante Datenquellen, Plattformobjekte, Rollen und Abhängigkeiten anhand von VTI-Kategorien, Score, Kontext, Prozessbezug, Korrelation, Mehrstufigkeit, Evasion und Aussagegrenzen modellieren.
3. Die erforderlichen Einstellungen, Analyse-, Integrations- oder Prozessschritte in einer isolierten Laborumgebung nachvollziehbar umsetzen.
4. Funktion, Berechtigungen, Protokollierung, Datenqualität und Fehlerverhalten mit definierten Positiv- und Negativfällen prüfen.
5. Als Arbeitsergebnis eine priorisierte Liste stabiler Verhaltenssignale dokumentieren, fachlich abnehmen und in einen wiederholbaren Standard überführen.

3. YARA-Regeln und Dateierkennung

Schwerpunkt: Strings, Bedingungen, Metadaten, Dateiformate, Entpackung, Varianten, Testkorpus, Performance und Pflege.

1. Ausgangslage, Schutzbedarf und Abnahmekriterien für den Themenblock „YARA-Regeln und Dateierkennung“ erfassen.
2. Relevante Datenquellen, Plattformobjekte, Rollen und Abhängigkeiten anhand von Strings, Bedingungen, Metadaten, Dateiformate, Entpackung, Varianten, Testkorpus, Performance und Pflege modellieren.
3. Die erforderlichen Einstellungen, Analyse-, Integrations- oder Prozessschritte in einer isolierten Laborumgebung nachvollziehbar umsetzen.
4. Funktion, Berechtigungen, Protokollierung, Datenqualität und Fehlerverhalten mit definierten Positiv- und Negativfällen prüfen.
5. Als Arbeitsergebnis eine qualitätsgesicherte YARA-Regel dokumentieren, fachlich abnehmen und in einen wiederholbaren Standard überführen.

4. MITRE ATT&CK und TTP-Modellierung

Schwerpunkt: Taktiken, Techniken, Subtechniken, Evidenz, Confidence, Mehrfachzuordnung und Abdeckung.

1. Ausgangslage, Schutzbedarf und Abnahmekriterien für den Themenblock „MITRE ATT&CK und TTP-Modellierung“ erfassen.
2. Relevante Datenquellen, Plattformobjekte, Rollen und Abhängigkeiten anhand von Taktiken, Techniken, Subtechniken, Evidenz, Confidence, Mehrfachzuordnung und Abdeckung modellieren.
3. Die erforderlichen Einstellungen, Analyse-, Integrations- oder Prozessschritte in einer isolierten Laborumgebung nachvollziehbar umsetzen.
4. Funktion, Berechtigungen, Protokollierung, Datenqualität und Fehlerverhalten mit definierten Positiv- und Negativfällen prüfen.
5. Als Arbeitsergebnis eine nachvollziehbare ATT&CK-Abdeckungsmatrix dokumentieren, fachlich abnehmen und in einen wiederholbaren Standard überführen.

5. IOCs, Konfigurationen und Alterung

Schwerpunkt: Hashes, Domains, URLs, IPs, Zertifikate, Mutex, Pfade, C2-Konfiguration, TTL, Scoring und Widerruf.

1. Ausgangslage, Schutzbedarf und Abnahmekriterien für den Themenblock „IOCs, Konfigurationen und Alterung“ erfassen.
2. Relevante Datenquellen, Plattformobjekte, Rollen und Abhängigkeiten anhand von Hashes, Domains, URLs, IPs, Zertifikate, Mutex, Pfade, C2-Konfiguration, TTL, Scoring und Widerruf modellieren.
3. Die erforderlichen Einstellungen, Analyse-, Integrations- oder Prozessschritte in einer isolierten Laborumgebung nachvollziehbar umsetzen.
4. Funktion, Berechtigungen, Protokollierung, Datenqualität und Fehlerverhalten mit definierten Positiv- und Negativfällen prüfen.
5. Als Arbeitsergebnis ein bereinigtes Indicator-Paket mit Lebenszyklusregeln dokumentieren, fachlich abnehmen und in einen wiederholbaren Standard überführen.

6. Überführung in SIEM, EDR und Hunting

Schwerpunkt: Sigma- oder native Regeln, EDR-Abfragen, Watchlists, Blocklisten, Korrelation, Kontext und Reaktionsschwellen.

1. Ausgangslage, Schutzbedarf und Abnahmekriterien für den Themenblock „Überführung in SIEM, EDR und Hunting“ erfassen.
2. Relevante Datenquellen, Plattformobjekte, Rollen und Abhängigkeiten anhand von Sigma- oder native Regeln, EDR-Abfragen, Watchlists, Blocklisten, Korrelation, Kontext und Reaktionsschwellen modellieren.
3. Die erforderlichen Einstellungen, Analyse-, Integrations- oder Prozessschritte in einer isolierten Laborumgebung nachvollziehbar umsetzen.
4. Funktion, Berechtigungen, Protokollierung, Datenqualität und Fehlerverhalten mit definierten Positiv- und Negativfällen prüfen.
5. Als Arbeitsergebnis mehrere produktionsnahe Erkennungs- und Hunt-Use-Cases dokumentieren, fachlich abnehmen und in einen wiederholbaren Standard überführen.

7. Test, Tuning und Detection Lifecycle

Schwerpunkt: Positiv- und Negativkorpus, Replay, False Positives, Coverage, Peer Review, Versionierung, Rollback und Kennzahlen.

1. Ausgangslage, Schutzbedarf und Abnahmekriterien für den Themenblock „Test, Tuning und Detection Lifecycle“ erfassen.
2. Relevante Datenquellen, Plattformobjekte, Rollen und Abhängigkeiten anhand von Positiv- und Negativkorpus, Replay, False Positives, Coverage, Peer Review, Versionierung, Rollback und Kennzahlen modellieren.
3. Die erforderlichen Einstellungen, Analyse-, Integrations- oder Prozessschritte in einer isolierten Laborumgebung nachvollziehbar umsetzen.
4. Funktion, Berechtigungen, Protokollierung, Datenqualität und Fehlerverhalten mit definierten Positiv- und Negativfällen prüfen.
5. Als Arbeitsergebnis einen wiederholbaren Detection-Engineering-Prozess dokumentieren, fachlich abnehmen und in einen wiederholbaren Standard überführen.

Praxisübungen und Laborszenarien

• Bewertung eines VTI- und IOC-Satzes nach Stabilität, Eindeutigkeit und Lebensdauer.
• Entwicklung und Test einer YARA-Regel auf einem kontrollierten Korpus.
• Ableitung einer ATT&CK-Abdeckungsmatrix aus einem mehrstufigen Analysebericht.
• Übersetzung von Sandbox-Befunden in SIEM-, EDR- und Hunt-Logik.

Zielgruppe und Voraussetzungen

Zielgruppe: Detection Engineering, Threat Hunting, SOC Engineering, CTI, Malware-Analyse, SIEM- und EDR-Verantwortliche.

Voraussetzungen: Grundkenntnisse in Malware-Verhalten, SIEM oder EDR, regulären Ausdrücken und Detection-Lifecycle; YARA- oder Sigma-Erfahrung ist hilfreich.

Didaktik und Arbeitsweise

Kurze Fachimpulse werden unmittelbar durch Demonstrationen, strukturierte Konfigurations- oder Analyseschritte, Praxisübungen und kontrollierte Fehlerfälle vertieft. Jede Übung verwendet definierte Ausgangswerte, Prüfpunkte und Dokumentationsanforderungen, damit die erarbeiteten Abläufe als Betriebsstandard wiederholbar bleiben.