Seminar VMRay Platform – Übermittlung, Tags und rekursive Analyse

Das Seminar standardisiert die Übermittlung verdächtiger Objekte an die VMRay Platform. Unterschiedliche Eingangskanäle, Dateitypen, Analyseparameter, Tags und rekursive Beziehungen werden so konfiguriert, dass Ergebnisse korrelierbar, vollständig und wiederholbar bleiben.

Inhaltsverzeichnis

• Lernziele und fachliche Einordnung
• Schrittweise Seminarinhalte
• Praxisübungen und Laborszenarien
• Zielgruppe und Voraussetzungen
• Didaktik und Arbeitsweise

Lernziele

• Geeignete Submission-Kanäle für Datei-, URL-, E-Mail- und Integrationsfälle auswählen.
• Samples sicher vorbereiten und mit passenden Analysearten übermitteln.
• Tags, Fallkennungen und Quellmetadaten einheitlich verwenden.
• Rekursive Analysen und Parent-Child-Beziehungen vollständig nachvollziehen.
• Fehler, Duplikate, Caching und unvollständige Ketten kontrolliert behandeln.

Schrittweise Seminarinhalte

1. Submission-Kanäle und Intake

Schwerpunkt: Web Console, E-Mail, IR Mailbox, Outlook, REST API, Connector, Herkunft, Schutzbedarf und Zuständigkeit.

1. Ausgangslage, Schutzbedarf und Abnahmekriterien für den Themenblock „Submission-Kanäle und Intake“ erfassen.
2. Relevante Datenquellen, Plattformobjekte, Rollen und Abhängigkeiten anhand von Web Console, E-Mail, IR Mailbox, Outlook, REST API, Connector, Herkunft, Schutzbedarf und Zuständigkeit modellieren.
3. Die erforderlichen Einstellungen, Analyse-, Integrations- oder Prozessschritte in einer isolierten Laborumgebung nachvollziehbar umsetzen.
4. Funktion, Berechtigungen, Protokollierung, Datenqualität und Fehlerverhalten mit definierten Positiv- und Negativfällen prüfen.
5. Als Arbeitsergebnis eine verbindliche Kanal- und Intake-Matrix dokumentieren, fachlich abnehmen und in einen wiederholbaren Standard überführen.

2. Dateien, URLs, E-Mails und Archive

Schwerpunkt: Dateiformate, URL, E-Mail-Container, Anhänge, Archive, Passwörter, Mehrfachdateien, Größen und sichere Handhabung.

1. Ausgangslage, Schutzbedarf und Abnahmekriterien für den Themenblock „Dateien, URLs, E-Mails und Archive“ erfassen.
2. Relevante Datenquellen, Plattformobjekte, Rollen und Abhängigkeiten anhand von Dateiformate, URL, E-Mail-Container, Anhänge, Archive, Passwörter, Mehrfachdateien, Größen und sichere Handhabung modellieren.
3. Die erforderlichen Einstellungen, Analyse-, Integrations- oder Prozessschritte in einer isolierten Laborumgebung nachvollziehbar umsetzen.
4. Funktion, Berechtigungen, Protokollierung, Datenqualität und Fehlerverhalten mit definierten Positiv- und Negativfällen prüfen.
5. Als Arbeitsergebnis einen standardisierten Aufbereitungsprozess dokumentieren, fachlich abnehmen und in einen wiederholbaren Standard überführen.

3. Analysearten und Parameter

Schwerpunkt: Reputation, statische Analyse, Dynamic Analysis, Web Analysis, Live Interaction, Zielumgebung, Laufzeit, Netzwerkprofil und Caching.

1. Ausgangslage, Schutzbedarf und Abnahmekriterien für den Themenblock „Analysearten und Parameter“ erfassen.
2. Relevante Datenquellen, Plattformobjekte, Rollen und Abhängigkeiten anhand von Reputation, statische Analyse, Dynamic Analysis, Web Analysis, Live Interaction, Zielumgebung, Laufzeit, Netzwerkprofil und Caching modellieren.
3. Die erforderlichen Einstellungen, Analyse-, Integrations- oder Prozessschritte in einer isolierten Laborumgebung nachvollziehbar umsetzen.
4. Funktion, Berechtigungen, Protokollierung, Datenqualität und Fehlerverhalten mit definierten Positiv- und Negativfällen prüfen.
5. Als Arbeitsergebnis ein Set passender Submission-Profile dokumentieren, fachlich abnehmen und in einen wiederholbaren Standard überführen.

4. Tags, Fallkennungen und Korrelation

Schwerpunkt: Alert-ID, Incident-ID, Quelle, Kunde, Vertraulichkeit, Kampagne, Analyst, Namenskonvention und Suchbarkeit.

1. Ausgangslage, Schutzbedarf und Abnahmekriterien für den Themenblock „Tags, Fallkennungen und Korrelation“ erfassen.
2. Relevante Datenquellen, Plattformobjekte, Rollen und Abhängigkeiten anhand von Alert-ID, Incident-ID, Quelle, Kunde, Vertraulichkeit, Kampagne, Analyst, Namenskonvention und Suchbarkeit modellieren.
3. Die erforderlichen Einstellungen, Analyse-, Integrations- oder Prozessschritte in einer isolierten Laborumgebung nachvollziehbar umsetzen.
4. Funktion, Berechtigungen, Protokollierung, Datenqualität und Fehlerverhalten mit definierten Positiv- und Negativfällen prüfen.
5. Als Arbeitsergebnis eine konsistente Tag- und Korrelationsrichtlinie dokumentieren, fachlich abnehmen und in einen wiederholbaren Standard überführen.

5. Rekursive Analyse und Relations

Schwerpunkt: Parent, Child, eingebettete Samples, Downloads, URLs, E-Mail-Cluster, Threat Names, Verdict-Vererbung, Duplikate und Vollständigkeit.

1. Ausgangslage, Schutzbedarf und Abnahmekriterien für den Themenblock „Rekursive Analyse und Relations“ erfassen.
2. Relevante Datenquellen, Plattformobjekte, Rollen und Abhängigkeiten anhand von Parent, Child, eingebettete Samples, Downloads, URLs, E-Mail-Cluster, Threat Names, Verdict-Vererbung, Duplikate und Vollständigkeit modellieren.
3. Die erforderlichen Einstellungen, Analyse-, Integrations- oder Prozessschritte in einer isolierten Laborumgebung nachvollziehbar umsetzen.
4. Funktion, Berechtigungen, Protokollierung, Datenqualität und Fehlerverhalten mit definierten Positiv- und Negativfällen prüfen.
5. Als Arbeitsergebnis eine vollständige und geprüfte Analysebeziehung dokumentieren, fachlich abnehmen und in einen wiederholbaren Standard überführen.

Praxisübungen und Laborszenarien

• Übermittlung identischer Fälle über Console, E-Mail und API mit einheitlichen Tags.
• Analyse eines passwortgeschützten Archivs mit mehreren eingebetteten Samples.
• Rekonstruktion einer Parent-Child-Kette in der Relations-Ansicht.
• Behandlung von Duplikat, Cache-Treffer und unvollständiger Rekursion.

Zielgruppe und Voraussetzungen

Zielgruppe: SOC-Analysten, CERT, Phishing Response, Incident Response, CTI, Service Desk und Integrationsverantwortliche.

Voraussetzungen: Grundverständnis von Malware- und Phishing-Intake, Dateiformaten, URLs und Fallmanagement.

Didaktik und Arbeitsweise

Kompakte Fachimpulse werden unmittelbar durch Berichtsanalyse, Demonstrationen und klar abgegrenzte Praxisaufgaben vertieft. Jede Übung arbeitet mit definierten Ausgangsdaten, Prüfpunkten und Dokumentationsanforderungen, damit die erarbeiteten Schritte im eigenen Betrieb wiederholbar bleiben.