Seminar AWS AFO

Inhaltsübersicht

1. Hersteller- und Lösungsprofil
2. Seminargruppen
3. Empfohlene Reihenfolge
4. Kompakt- und Intensivformate
5. Auswahl nach Aufgabenbereich
6. Planung eines organisationsweiten Lernpfads

Hersteller- und Lösungsprofil

Amazon Web Services stellt mit dem Automated Forensics Orchestrator eine Architektur für die automatisierte Reaktion auf Sicherheitsereignisse in EC2- und EKS-Umgebungen bereit. Das Schulungsprogramm behandelt die Lösung nicht nur als technische Installation, sondern als Zusammenspiel aus Governance, Multi-Account-Architektur, ereignisgesteuerter Orchestrierung, Beweissicherung, forensischer Analyse und stabilem Betrieb.

Alle Seminarseiten sind modular aufgebaut. Jedes Einzelseminar vertieft einen klar abgegrenzten Aufgabenbereich. Das Kompaktformat verbindet die wichtigsten Grundlagen in drei Tagen. Die Intensivformate bündeln thematische Lernpfade oder das vollständige Programm innerhalb der maximalen Dauer von fünf Tagen.

Seminargruppen

Grundlagen, Architektur und Plattform

• AWS AFO Grundlagen und Einsatzplanung – 2 Tage; Grundlagen, Einsatzbild und strukturierte Einführung von AFO.
• AWS AFO Architektur und Komponenten – 2 Tage; Architektur, Komponenten und Datenflüsse des Automated Forensics Orchestrator.
• AWS AFO IAM, KMS und sichere Vertrauensbeziehungen – 2 Tage; Identitäts-, Berechtigungs- und Verschlüsselungsarchitektur für AFO.
• AWS AFO Bereitstellung mit AWS CDK – 2 Tage; reproduzierbare Bereitstellung und Aktualisierung von AFO mit AWS CDK.
• AWS AFO Multi-Account- und Multi-Region-Implementierung – 4 Tage; produktionsnahe AFO-Implementierung über mehrere Konten und Regionen.
• AWS AFO Kosten, Kapazität und Performance – 1 Tag; Kostenmodell, Kapazitätsplanung und Laufzeitoptimierung für AFO.

Detektion, Reaktion und Beweissicherung

• AWS AFO Integration mit GuardDuty, Security Hub und EventBridge – 2 Tage; Finding-Verarbeitung und ereignisgesteuerte Auslösung von AFO.
• AWS AFO Incident-Triage und automatisierte Isolation – 2 Tage; Triage, Entscheidungslogik und beweisschonende Isolation.
• AWS AFO Beweissicherung und Chain of Custody – 2 Tage; nachvollziehbare Beweissicherung und technische Chain of Custody in AFO.
• AWS AFO Vorfallübungen und SOC-Runbooks – 2 Tage; realistische Übungen und ausführbare Runbooks für den AFO-Betrieb.

Forensische Analyse und Tooling

• AWS AFO Forensik-AMI mit EC2 Image Builder und SANS SIFT – 2 Tage; Aufbau und Pflege einer kontrollierten Forensik-AMI.
• AWS AFO Speicherforensik mit LiME und Volatility 3 – 3 Tage; Erfassung und Analyse flüchtiger Arbeitsspeicherdaten in EC2.
• AWS AFO Datenträgerforensik mit EBS-Snapshots und Plaso – 2 Tage; Datenträgererfassung, schreibgeschützte Untersuchung und Timeline-Analyse.
• AWS AFO Untersuchungsworkflow und forensische Analyse – 3 Tage; strukturierte Untersuchung von AFO-Artefakten und belastbare Befundbildung.
• AWS AFO EKS Incident Response und Container-Forensik – 3 Tage; Incident Response und forensische Untersuchung für Amazon EKS auf EC2.
• AWS AFO Windows- und Linux-Forensik in EC2 – 3 Tage; betriebssystemspezifische Erfassung und Analyse von EC2-Instanzen.
• AWS AFO SSM-Dokumente und forensische Tool-Plugins – 2 Tage; sichere Erweiterung von AFO durch eigene SSM-Dokumente und Analysewerkzeuge.

Betrieb, Reporting und Weiterentwicklung

• AWS AFO Reporting, Benachrichtigungen und AppSync-Abfragen – 1 Tag; Fallstatus, Benachrichtigung und kontrollierte Abfrage forensischer Ergebnisse.
• AWS AFO Betrieb, Monitoring und Fehleranalyse – 2 Tage; stabiler Betrieb, Observability und strukturierte Fehleranalyse von AFO.
• AWS AFO Testautomatisierung, Updates und Release-Management – 2 Tage; kontrollierte Weiterentwicklung und Aktualisierung einer AFO-Installation.

Empfohlene Reihenfolge

Der folgende Lernpfad ist für ein Kernteam vorgesehen, das die Plattform zunächst plant und bereitstellt, danach Vorfälle bearbeitet und schließlich Betrieb sowie kontinuierliche Verbesserung übernimmt. Spezialisierungen können nach dem sechsten Schritt parallelisiert werden.

1. AWS AFO Grundlagen und Einsatzplanung: Grundlagen, Einsatzbild und strukturierte Einführung von AFO.
2. AWS AFO Architektur und Komponenten: Architektur, Komponenten und Datenflüsse des Automated Forensics Orchestrator.
3. AWS AFO IAM, KMS und sichere Vertrauensbeziehungen: Identitäts-, Berechtigungs- und Verschlüsselungsarchitektur für AFO.
4. AWS AFO Integration mit GuardDuty, Security Hub und EventBridge: Finding-Verarbeitung und ereignisgesteuerte Auslösung von AFO.
5. AWS AFO Bereitstellung mit AWS CDK: reproduzierbare Bereitstellung und Aktualisierung von AFO mit AWS CDK.
6. AWS AFO Multi-Account- und Multi-Region-Implementierung: produktionsnahe AFO-Implementierung über mehrere Konten und Regionen.
7. AWS AFO Incident-Triage und automatisierte Isolation: Triage, Entscheidungslogik und beweisschonende Isolation.
8. AWS AFO Beweissicherung und Chain of Custody: nachvollziehbare Beweissicherung und technische Chain of Custody in AFO.
9. AWS AFO Forensik-AMI mit EC2 Image Builder und SANS SIFT: Aufbau und Pflege einer kontrollierten Forensik-AMI.
10. AWS AFO Speicherforensik mit LiME und Volatility 3: Erfassung und Analyse flüchtiger Arbeitsspeicherdaten in EC2.
11. AWS AFO Datenträgerforensik mit EBS-Snapshots und Plaso: Datenträgererfassung, schreibgeschützte Untersuchung und Timeline-Analyse.
12. AWS AFO Untersuchungsworkflow und forensische Analyse: strukturierte Untersuchung von AFO-Artefakten und belastbare Befundbildung.
13. AWS AFO EKS Incident Response und Container-Forensik: Incident Response und forensische Untersuchung für Amazon EKS auf EC2.
14. AWS AFO Windows- und Linux-Forensik in EC2: betriebssystemspezifische Erfassung und Analyse von EC2-Instanzen.
15. AWS AFO SSM-Dokumente und forensische Tool-Plugins: sichere Erweiterung von AFO durch eigene SSM-Dokumente und Analysewerkzeuge.
16. AWS AFO Reporting, Benachrichtigungen und AppSync-Abfragen: Fallstatus, Benachrichtigung und kontrollierte Abfrage forensischer Ergebnisse.
17. AWS AFO Betrieb, Monitoring und Fehleranalyse: stabiler Betrieb, Observability und strukturierte Fehleranalyse von AFO.
18. AWS AFO Testautomatisierung, Updates und Release-Management: kontrollierte Weiterentwicklung und Aktualisierung einer AFO-Installation.
19. AWS AFO Kosten, Kapazität und Performance: Kostenmodell, Kapazitätsplanung und Laufzeitoptimierung für AFO.
20. AWS AFO Vorfallübungen und SOC-Runbooks: realistische Übungen und ausführbare Runbooks für den AFO-Betrieb.

Kompakt- und Intensivformate

Kompaktformat

• AWS AFO Kompaktseminar – Einführung, Bereitstellung und Betrieb – 3 Tage. Geeignet für einen zusammenhängenden Einstieg mit Architektur, Deployment, Workflow-Ausführung und Betriebscheck.

Intensivformate

• AWS AFO Intensiv – Architektur, Deployment und Härtung – 5 Tage; für Implementierungsteams mit Schwerpunkt Zielarchitektur, Multi-Account-Bereitstellung, IAM, KMS, Netzwerk, AMI und Produktionsabnahme.
• AWS AFO Intensiv – Forensische Analyse und Tooling – 5 Tage; für Ermittlungs- und Forensikteams mit Schwerpunkt Beweiskette, Speicher, Datenträger, Betriebssysteme, EKS, SIFT, LiME, Volatility und Plaso.
• AWS AFO Intensiv – Gesamtprogramm für SOC und Incident Response – 5 Tage; als verdichteter Gesamtpfad, der die Inhalte aller Einzelseminare von Planung und Deployment bis Betrieb, Reporting und Übungen zusammenführt.

Auswahl nach Aufgabenbereich

• Architektur und Plattform: Grundlagen, Architektur, IAM und KMS, CDK-Bereitstellung sowie Multi-Account- und Multi-Region-Implementierung.
• SOC und Incident Response: Finding-Integration, Triage, Isolation, Beweissicherung, Reporting, Betrieb und Vorfallübungen.
• Digitale Forensik: Forensik-AMI, Speicher- und Datenträgerforensik, Untersuchungsworkflow, EKS- sowie Windows- und Linux-Forensik.
• DevSecOps und Weiterentwicklung: SSM-Dokumente, Tool-Plugins, Testautomatisierung, Updates und Release-Management.
• Service- und Kostenverantwortung: Betrieb, Monitoring, Kapazität, Performance, Retention und Kostensteuerung.

Planung eines organisationsweiten Lernpfads

1. Rollen, bestehende AWS-Kenntnisse und Verantwortungsbereiche je Zielgruppe aufnehmen.
2. Pflichtthemen für alle Beteiligten und Vertiefungen für Architektur, Betrieb und Forensik trennen.
3. Grundlagen- oder Kompaktformat vor produktionsnahen Implementierungs- und Analyseübungen einplanen.
4. Einzelseminare entlang des geplanten AFO-Einführungsprojekts terminieren und Laborzugänge vorbereiten.
5. Nach Deployment- und Forensikblöcken eine gemeinsame Vorfallübung mit SOC, Plattform und Management durchführen.
6. Feststellungen aus Übungen in Runbooks, Architekturentscheidungen, Monitoring und den nächsten Schulungszyklus überführen.