Seminar VMRay Platform – E-Mail-, URL- und Phishing-Analyse

Das Seminar behandelt die vollständige Analyse moderner Phishing-Angriffe. E-Mail-Strukturen, Anhänge, URLs, QR-Codes und dynamische Webseiten werden über mehrere Stufen verfolgt, technisch bewertet und in klare Triage- und Reaktionsentscheidungen überführt.

Inhaltsverzeichnis

• Lernziele und fachliche Einordnung
• Schrittweise Seminarinhalte
• Praxisübungen und Laborszenarien
• Zielgruppe und Voraussetzungen
• Didaktik und Arbeitsweise

Lernziele

• E-Mail- und Webartefakte sicher erfassen, normalisieren und übermitteln.
• Anhänge, Archive, eingebettete Inhalte, URLs und QR-Codes über rekursive Ketten verfolgen.
• Dynamische und ereignisgesteuerte Phishing-Merkmale im Analysebericht erkennen.
• Relations, Threat Names, Verdicts und Gründe zu einer belastbaren Fallentscheidung verbinden.
• Triage, Eskalation, Blockierung, Nutzerkommunikation und Detection-Rückkopplung standardisieren.

Schrittweise Seminarinhalte

1. Phishing-Fallannahme und E-Mail-Struktur

Schwerpunkt: Header, Envelope, Absender, Reply-To, Authentication Results, Body, HTML, Anhänge, URLs und Fallkontext.

1. Ausgangslage, Schutzbedarf und Abnahmekriterien für den Themenblock „Phishing-Fallannahme und E-Mail-Struktur“ erfassen.
2. Relevante Datenquellen, Plattformobjekte, Rollen und Abhängigkeiten anhand von Header, Envelope, Absender, Reply-To, Authentication Results, Body, HTML, Anhänge, URLs und Fallkontext modellieren.
3. Die erforderlichen Einstellungen, Analyse-, Integrations- oder Prozessschritte in einer isolierten Laborumgebung nachvollziehbar umsetzen.
4. Funktion, Berechtigungen, Protokollierung, Datenqualität und Fehlerverhalten mit definierten Positiv- und Negativfällen prüfen.
5. Als Arbeitsergebnis einen standardisierten Phishing-Intake dokumentieren, fachlich abnehmen und in einen wiederholbaren Standard überführen.

2. Anhänge, Archive und eingebettete Inhalte

Schwerpunkt: Office, PDF, Skripte, Archive, Passwörter, eingebettete Objekte, Dateibeziehungen und rekursive Child-Samples.

1. Ausgangslage, Schutzbedarf und Abnahmekriterien für den Themenblock „Anhänge, Archive und eingebettete Inhalte“ erfassen.
2. Relevante Datenquellen, Plattformobjekte, Rollen und Abhängigkeiten anhand von Office, PDF, Skripte, Archive, Passwörter, eingebettete Objekte, Dateibeziehungen und rekursive Child-Samples modellieren.
3. Die erforderlichen Einstellungen, Analyse-, Integrations- oder Prozessschritte in einer isolierten Laborumgebung nachvollziehbar umsetzen.
4. Funktion, Berechtigungen, Protokollierung, Datenqualität und Fehlerverhalten mit definierten Positiv- und Negativfällen prüfen.
5. Als Arbeitsergebnis eine vollständige Attachment- und Payload-Kette dokumentieren, fachlich abnehmen und in einen wiederholbaren Standard überführen.

3. URL-, Redirect- und Webanalyse

Schwerpunkt: Weiterleitungen, Browserkontext, TLS, Skripte, Downloads, Formulare, Login-Seiten, Geolokation und zeitabhängige Inhalte.

1. Ausgangslage, Schutzbedarf und Abnahmekriterien für den Themenblock „URL-, Redirect- und Webanalyse“ erfassen.
2. Relevante Datenquellen, Plattformobjekte, Rollen und Abhängigkeiten anhand von Weiterleitungen, Browserkontext, TLS, Skripte, Downloads, Formulare, Login-Seiten, Geolokation und zeitabhängige Inhalte modellieren.
3. Die erforderlichen Einstellungen, Analyse-, Integrations- oder Prozessschritte in einer isolierten Laborumgebung nachvollziehbar umsetzen.
4. Funktion, Berechtigungen, Protokollierung, Datenqualität und Fehlerverhalten mit definierten Positiv- und Negativfällen prüfen.
5. Als Arbeitsergebnis eine nachvollziehbare Web- und Redirect-Kette dokumentieren, fachlich abnehmen und in einen wiederholbaren Standard überführen.

4. QR-Codes und visuelle Täuschung

Schwerpunkt: QR-Codes in PDF und Office, obfuskierte Darstellungen, extrahierte URLs, Markenimitation, Screenshots und visuelle Evidenz.

1. Ausgangslage, Schutzbedarf und Abnahmekriterien für den Themenblock „QR-Codes und visuelle Täuschung“ erfassen.
2. Relevante Datenquellen, Plattformobjekte, Rollen und Abhängigkeiten anhand von QR-Codes in PDF und Office, obfuskierte Darstellungen, extrahierte URLs, Markenimitation, Screenshots und visuelle Evidenz modellieren.
3. Die erforderlichen Einstellungen, Analyse-, Integrations- oder Prozessschritte in einer isolierten Laborumgebung nachvollziehbar umsetzen.
4. Funktion, Berechtigungen, Protokollierung, Datenqualität und Fehlerverhalten mit definierten Positiv- und Negativfällen prüfen.
5. Als Arbeitsergebnis einen geprüften QR- und Visual-Phishing-Befund dokumentieren, fachlich abnehmen und in einen wiederholbaren Standard überführen.

5. Adaptive und ereignisgesteuerte Analyse

Schwerpunkt: Adaptive Browsing, automatische Benutzerinteraktion, dynamische Seitenelemente, Ereignisse, Timing und alternative Pfade.

1. Ausgangslage, Schutzbedarf und Abnahmekriterien für den Themenblock „Adaptive und ereignisgesteuerte Analyse“ erfassen.
2. Relevante Datenquellen, Plattformobjekte, Rollen und Abhängigkeiten anhand von Adaptive Browsing, automatische Benutzerinteraktion, dynamische Seitenelemente, Ereignisse, Timing und alternative Pfade modellieren.
3. Die erforderlichen Einstellungen, Analyse-, Integrations- oder Prozessschritte in einer isolierten Laborumgebung nachvollziehbar umsetzen.
4. Funktion, Berechtigungen, Protokollierung, Datenqualität und Fehlerverhalten mit definierten Positiv- und Negativfällen prüfen.
5. Als Arbeitsergebnis ein reproduzierbares Analyseprofil für dynamisches Phishing dokumentieren, fachlich abnehmen und in einen wiederholbaren Standard überführen.

6. Relations und mehrstufige Lieferketten

Schwerpunkt: Parent-Child-Graph, E-Mail-Cluster, eingebettete Dateien, kontaktierte URLs, Downloads, Threat Names und Klassifikationen.

1. Ausgangslage, Schutzbedarf und Abnahmekriterien für den Themenblock „Relations und mehrstufige Lieferketten“ erfassen.
2. Relevante Datenquellen, Plattformobjekte, Rollen und Abhängigkeiten anhand von Parent-Child-Graph, E-Mail-Cluster, eingebettete Dateien, kontaktierte URLs, Downloads, Threat Names und Klassifikationen modellieren.
3. Die erforderlichen Einstellungen, Analyse-, Integrations- oder Prozessschritte in einer isolierten Laborumgebung nachvollziehbar umsetzen.
4. Funktion, Berechtigungen, Protokollierung, Datenqualität und Fehlerverhalten mit definierten Positiv- und Negativfällen prüfen.
5. Als Arbeitsergebnis eine konsolidierte Darstellung der gesamten Delivery Chain dokumentieren, fachlich abnehmen und in einen wiederholbaren Standard überführen.

7. Verdict, Triage und Analystenentscheidung

Schwerpunkt: Malicious, Suspicious und Clean, Gründe, Confidence, False Positives, Ausnahmen, Priorisierung und Eskalation.

1. Ausgangslage, Schutzbedarf und Abnahmekriterien für den Themenblock „Verdict, Triage und Analystenentscheidung“ erfassen.
2. Relevante Datenquellen, Plattformobjekte, Rollen und Abhängigkeiten anhand von Malicious, Suspicious und Clean, Gründe, Confidence, False Positives, Ausnahmen, Priorisierung und Eskalation modellieren.
3. Die erforderlichen Einstellungen, Analyse-, Integrations- oder Prozessschritte in einer isolierten Laborumgebung nachvollziehbar umsetzen.
4. Funktion, Berechtigungen, Protokollierung, Datenqualität und Fehlerverhalten mit definierten Positiv- und Negativfällen prüfen.
5. Als Arbeitsergebnis eine belastbare Triage-Entscheidung mit Begründung dokumentieren, fachlich abnehmen und in einen wiederholbaren Standard überführen.

8. Reaktion, Feedback und Detection-Verbesserung

Schwerpunkt: Blocklisten, Quarantäne, Kontoschutz, Nutzerhinweis, Ticket, IOC-Verteilung, Regelanpassung und Kennzahlen.

1. Ausgangslage, Schutzbedarf und Abnahmekriterien für den Themenblock „Reaktion, Feedback und Detection-Verbesserung“ erfassen.
2. Relevante Datenquellen, Plattformobjekte, Rollen und Abhängigkeiten anhand von Blocklisten, Quarantäne, Kontoschutz, Nutzerhinweis, Ticket, IOC-Verteilung, Regelanpassung und Kennzahlen modellieren.
3. Die erforderlichen Einstellungen, Analyse-, Integrations- oder Prozessschritte in einer isolierten Laborumgebung nachvollziehbar umsetzen.
4. Funktion, Berechtigungen, Protokollierung, Datenqualität und Fehlerverhalten mit definierten Positiv- und Negativfällen prüfen.
5. Als Arbeitsergebnis ein abgestimmtes Phishing-Response-Playbook dokumentieren, fachlich abnehmen und in einen wiederholbaren Standard überführen.

Praxisübungen und Laborszenarien

• Analyse einer E-Mail mit mehreren Anhängen, eingebetteten URLs und rekursiven Child-Samples.
• Rekonstruktion einer Redirect-Kette bis zur finalen Landingpage oder Payload.
• Untersuchung eines QR-Code-basierten PDF- oder Office-Angriffs.
• Erstellung einer Triage- und Response-Entscheidung für mehrere Grenzfälle.

Zielgruppe und Voraussetzungen

Zielgruppe: Phishing Response, SOC-Analysten, CERT, E-Mail-Security, Incident Response und Detection Engineering.

Voraussetzungen: Grundkenntnisse in E-Mail-Protokollen, Webtechnologien, Phishing-Triage und SOC-Prozessen.

Didaktik und Arbeitsweise

Kurze Fachimpulse werden unmittelbar durch Demonstrationen, strukturierte Konfigurations- oder Analyseschritte, Praxisübungen und kontrollierte Fehlerfälle vertieft. Jede Übung verwendet definierte Ausgangswerte, Prüfpunkte und Dokumentationsanforderungen, damit die erarbeiteten Abläufe als Betriebsstandard wiederholbar bleiben.