Seminar AWS AFO Incident-Triage und automatisierte Isolation

Inhaltsübersicht

1. Einordnung und Einsatzkontext
2. Lernziele
3. Seminarinhalte
4. Praxislabor
5. Zielgruppe und Voraussetzungen
6. Didaktisches Vorgehen
7. Qualitätssicherung

Einordnung und Einsatzkontext

Das Seminar entwickelt einen schnellen, reproduzierbaren Triage- und Isolationsprozess für verdächtige EC2-Instanzen und EKS-Worker-Nodes. Automatisierung wird mit Freigaben, Sicherheitsgrenzen und Beweiserhalt verbunden.

Der fachliche Schwerpunkt liegt auf Triage, Entscheidungslogik und beweisschonende Isolation. Die Inhalte werden an EC2- und EKS-bezogenen Vorfallszenarien, klaren Rollen, nachvollziehbaren Entscheidungen und überprüfbaren technischen Nachweisen ausgerichtet. Zwei Tage sind notwendig, um Finding-Normalisierung, Entscheidungslogik, technische Isolation, Sonderfälle und eine vollständige Übung ohne unbeabsichtigten Beweisverlust abzudecken.

Lernziele

Nach Abschluss des Seminars können die behandelten Aufgaben strukturiert vorbereitet, durchgeführt, geprüft und dokumentiert werden.

• Anforderungen und Schutzbedarf für Triage, Entscheidungslogik und beweisschonende Isolation fachlich einordnen;
• Finding-Aufnahme und Normalisierung in einen kontrollierten AFO-Prozess überführen;
• Triagekriterien und Priorisierung mit geeigneten AWS-Diensten und Sicherheitskontrollen umsetzen;
• Ressourcen- und Abhängigkeitsauflösung anhand definierter Eingaben, Ausgaben und Prüfkriterien verifizieren;
• Fehler, Abweichungen und Beweislücken bei Isolationsvarianten für EC2 systematisch analysieren;
• Konfigurationen, Befunde, Entscheidungen und Wiederholungsanweisungen nachvollziehbar dokumentieren.

Seminarinhalte

1. Finding-Aufnahme und Normalisierung

Finding-Typ, Schweregrad, Ressource, Konto, Region, Zeitstempel, Indikatoren und Kontext werden geprüft und in ein stabiles Eingabeformat überführt.

Arbeitsschritte

1. Ausgangslage erfassen: Für das Lernfeld „Finding-Aufnahme und Normalisierung“ werden betroffene Konten, Regionen, Ressourcen, Rollen, Datenquellen und Abhängigkeiten vollständig aufgenommen.
2. Vorgehen planen: Der fachliche Fokus wird in konkrete Eingaben, Prüfkriterien, Berechtigungen, Schutzmaßnahmen, erwartete Ausgaben und Abbruchbedingungen übersetzt.
3. Umsetzung durchführen: Die Konfiguration oder Analyse wird in kontrollierten Trainingsressourcen schrittweise ausgeführt; jede relevante Aktion erhält Fallbezug und UTC-Zeitstempel.
4. Kontrolle vornehmen: Status, Protokolle, Artefakte, Berechtigungen, Integrität, Nebenwirkungen und Fehlerpfade werden gegen die zuvor festgelegten Kriterien geprüft.
5. Dokumentation erstellen: Entscheidungen, Befehle oder Konfigurationswerte, Ergebnisse, Abweichungen, Unsicherheiten und sichere Wiederholungs- beziehungsweise Rückfallverfahren werden festgehalten.

Prüfpunkt: Das Lernfeld gilt als bearbeitet, wenn finding-Typ, Schweregrad, Ressource, Konto, Region, Zeitstempel, Indikatoren und Kontext werden geprüft und in ein stabiles Eingabeformat überführt. und die zugehörigen Nachweise durch eine zweite Rolle nachvollzogen werden können.

2. Triagekriterien und Priorisierung

Kritikalität, Exposition, Datenwert, aktive Kommunikation, Seitwärtsbewegung, Beweisflüchtigkeit und Betriebsfolgen werden zu einer nachvollziehbaren Entscheidungsmatrix kombiniert.

Arbeitsschritte

1. Ausgangslage erfassen: Für das Lernfeld „Triagekriterien und Priorisierung“ werden betroffene Konten, Regionen, Ressourcen, Rollen, Datenquellen und Abhängigkeiten vollständig aufgenommen.
2. Vorgehen planen: Der fachliche Fokus wird in konkrete Eingaben, Prüfkriterien, Berechtigungen, Schutzmaßnahmen, erwartete Ausgaben und Abbruchbedingungen übersetzt.
3. Umsetzung durchführen: Die Konfiguration oder Analyse wird in kontrollierten Trainingsressourcen schrittweise ausgeführt; jede relevante Aktion erhält Fallbezug und UTC-Zeitstempel.
4. Kontrolle vornehmen: Status, Protokolle, Artefakte, Berechtigungen, Integrität, Nebenwirkungen und Fehlerpfade werden gegen die zuvor festgelegten Kriterien geprüft.
5. Dokumentation erstellen: Entscheidungen, Befehle oder Konfigurationswerte, Ergebnisse, Abweichungen, Unsicherheiten und sichere Wiederholungs- beziehungsweise Rückfallverfahren werden festgehalten.

Prüfpunkt: Das Lernfeld gilt als bearbeitet, wenn kritikalität, Exposition, Datenwert, aktive Kommunikation, Seitwärtsbewegung, Beweisflüchtigkeit und Betriebsfolgen werden zu einer nachvollziehbaren Entscheidungsmatrix kombiniert. und die zugehörigen Nachweise durch eine zweite Rolle nachvollzogen werden können.

3. Ressourcen- und Abhängigkeitsauflösung

Instanz, Volumes, Netzwerkinterfaces, Auto-Scaling, Load Balancer, IAM-Rolle, Tags, EKS-Zuordnung und SSM-Status werden vor Maßnahmen ermittelt.

Arbeitsschritte

1. Ausgangslage erfassen: Für das Lernfeld „Ressourcen- und Abhängigkeitsauflösung“ werden betroffene Konten, Regionen, Ressourcen, Rollen, Datenquellen und Abhängigkeiten vollständig aufgenommen.
2. Vorgehen planen: Der fachliche Fokus wird in konkrete Eingaben, Prüfkriterien, Berechtigungen, Schutzmaßnahmen, erwartete Ausgaben und Abbruchbedingungen übersetzt.
3. Umsetzung durchführen: Die Konfiguration oder Analyse wird in kontrollierten Trainingsressourcen schrittweise ausgeführt; jede relevante Aktion erhält Fallbezug und UTC-Zeitstempel.
4. Kontrolle vornehmen: Status, Protokolle, Artefakte, Berechtigungen, Integrität, Nebenwirkungen und Fehlerpfade werden gegen die zuvor festgelegten Kriterien geprüft.
5. Dokumentation erstellen: Entscheidungen, Befehle oder Konfigurationswerte, Ergebnisse, Abweichungen, Unsicherheiten und sichere Wiederholungs- beziehungsweise Rückfallverfahren werden festgehalten.

Prüfpunkt: Das Lernfeld gilt als bearbeitet, wenn instanz, Volumes, Netzwerkinterfaces, Auto-Scaling, Load Balancer, IAM-Rolle, Tags, EKS-Zuordnung und SSM-Status werden vor Maßnahmen ermittelt. und die zugehörigen Nachweise durch eine zweite Rolle nachvollzogen werden können.

4. Isolationsvarianten für EC2

Quarantäne-Sicherheitsgruppen, Netzwerkpfade, Rollenänderungen, Stoppen oder Weiterbetrieb, Load-Balancer-Abmeldung und Auswirkungen auf Speichererfassung werden bewertet.

Arbeitsschritte

1. Ausgangslage erfassen: Für das Lernfeld „Isolationsvarianten für EC2“ werden betroffene Konten, Regionen, Ressourcen, Rollen, Datenquellen und Abhängigkeiten vollständig aufgenommen.
2. Vorgehen planen: Der fachliche Fokus wird in konkrete Eingaben, Prüfkriterien, Berechtigungen, Schutzmaßnahmen, erwartete Ausgaben und Abbruchbedingungen übersetzt.
3. Umsetzung durchführen: Die Konfiguration oder Analyse wird in kontrollierten Trainingsressourcen schrittweise ausgeführt; jede relevante Aktion erhält Fallbezug und UTC-Zeitstempel.
4. Kontrolle vornehmen: Status, Protokolle, Artefakte, Berechtigungen, Integrität, Nebenwirkungen und Fehlerpfade werden gegen die zuvor festgelegten Kriterien geprüft.
5. Dokumentation erstellen: Entscheidungen, Befehle oder Konfigurationswerte, Ergebnisse, Abweichungen, Unsicherheiten und sichere Wiederholungs- beziehungsweise Rückfallverfahren werden festgehalten.

Prüfpunkt: Das Lernfeld gilt als bearbeitet, wenn quarantäne-Sicherheitsgruppen, Netzwerkpfade, Rollenänderungen, Stoppen oder Weiterbetrieb, Load-Balancer-Abmeldung und Auswirkungen auf Speichererfassung werden bewertet. und die zugehörigen Nachweise durch eine zweite Rolle nachvollzogen werden können.

5. Isolationsvarianten für EKS

Node Cordon, Drain, Skalierungssteuerung, Workload-Isolation und die Sicherung flüchtiger Pod- und Node-Daten werden in einer geeigneten Reihenfolge geplant.

Arbeitsschritte

1. Ausgangslage erfassen: Für das Lernfeld „Isolationsvarianten für EKS“ werden betroffene Konten, Regionen, Ressourcen, Rollen, Datenquellen und Abhängigkeiten vollständig aufgenommen.
2. Vorgehen planen: Der fachliche Fokus wird in konkrete Eingaben, Prüfkriterien, Berechtigungen, Schutzmaßnahmen, erwartete Ausgaben und Abbruchbedingungen übersetzt.
3. Umsetzung durchführen: Die Konfiguration oder Analyse wird in kontrollierten Trainingsressourcen schrittweise ausgeführt; jede relevante Aktion erhält Fallbezug und UTC-Zeitstempel.
4. Kontrolle vornehmen: Status, Protokolle, Artefakte, Berechtigungen, Integrität, Nebenwirkungen und Fehlerpfade werden gegen die zuvor festgelegten Kriterien geprüft.
5. Dokumentation erstellen: Entscheidungen, Befehle oder Konfigurationswerte, Ergebnisse, Abweichungen, Unsicherheiten und sichere Wiederholungs- beziehungsweise Rückfallverfahren werden festgehalten.

Prüfpunkt: Das Lernfeld gilt als bearbeitet, wenn node Cordon, Drain, Skalierungssteuerung, Workload-Isolation und die Sicherung flüchtiger Pod- und Node-Daten werden in einer geeigneten Reihenfolge geplant. und die zugehörigen Nachweise durch eine zweite Rolle nachvollzogen werden können.

6. Automatisierung, Freigabe und Abbruchbedingungen

Vollautomatische, genehmigungspflichtige und manuelle Pfade, Schutzlisten, Kritikalitätsausnahmen, Timeouts und sichere Abbrüche werden konfiguriert.

Arbeitsschritte

1. Ausgangslage erfassen: Für das Lernfeld „Automatisierung, Freigabe und Abbruchbedingungen“ werden betroffene Konten, Regionen, Ressourcen, Rollen, Datenquellen und Abhängigkeiten vollständig aufgenommen.
2. Vorgehen planen: Der fachliche Fokus wird in konkrete Eingaben, Prüfkriterien, Berechtigungen, Schutzmaßnahmen, erwartete Ausgaben und Abbruchbedingungen übersetzt.
3. Umsetzung durchführen: Die Konfiguration oder Analyse wird in kontrollierten Trainingsressourcen schrittweise ausgeführt; jede relevante Aktion erhält Fallbezug und UTC-Zeitstempel.
4. Kontrolle vornehmen: Status, Protokolle, Artefakte, Berechtigungen, Integrität, Nebenwirkungen und Fehlerpfade werden gegen die zuvor festgelegten Kriterien geprüft.
5. Dokumentation erstellen: Entscheidungen, Befehle oder Konfigurationswerte, Ergebnisse, Abweichungen, Unsicherheiten und sichere Wiederholungs- beziehungsweise Rückfallverfahren werden festgehalten.

Prüfpunkt: Das Lernfeld gilt als bearbeitet, wenn vollautomatische, genehmigungspflichtige und manuelle Pfade, Schutzlisten, Kritikalitätsausnahmen, Timeouts und sichere Abbrüche werden konfiguriert. und die zugehörigen Nachweise durch eine zweite Rolle nachvollzogen werden können.

7. Kontrolle nach der Isolation

Erreichbarkeit, neue Verbindungen, Serviceauswirkungen, Beweisstatus, Workflowfortschritt und Rücknahmevoraussetzungen werden geprüft und dokumentiert.

Arbeitsschritte

1. Ausgangslage erfassen: Für das Lernfeld „Kontrolle nach der Isolation“ werden betroffene Konten, Regionen, Ressourcen, Rollen, Datenquellen und Abhängigkeiten vollständig aufgenommen.
2. Vorgehen planen: Der fachliche Fokus wird in konkrete Eingaben, Prüfkriterien, Berechtigungen, Schutzmaßnahmen, erwartete Ausgaben und Abbruchbedingungen übersetzt.
3. Umsetzung durchführen: Die Konfiguration oder Analyse wird in kontrollierten Trainingsressourcen schrittweise ausgeführt; jede relevante Aktion erhält Fallbezug und UTC-Zeitstempel.
4. Kontrolle vornehmen: Status, Protokolle, Artefakte, Berechtigungen, Integrität, Nebenwirkungen und Fehlerpfade werden gegen die zuvor festgelegten Kriterien geprüft.
5. Dokumentation erstellen: Entscheidungen, Befehle oder Konfigurationswerte, Ergebnisse, Abweichungen, Unsicherheiten und sichere Wiederholungs- beziehungsweise Rückfallverfahren werden festgehalten.

Prüfpunkt: Das Lernfeld gilt als bearbeitet, wenn erreichbarkeit, neue Verbindungen, Serviceauswirkungen, Beweisstatus, Workflowfortschritt und Rücknahmevoraussetzungen werden geprüft und dokumentiert. und die zugehörigen Nachweise durch eine zweite Rolle nachvollzogen werden können.

Praxislabor

Triage und Isolation einer kompromittierten EC2-Instanz mit produktionskritischem Datenvolume und abhängigen Diensten.

1. Trainingsfall anlegen, Ausgangslage protokollieren und Schutzobjekte sowie Zuständigkeiten festlegen.
2. Ereignis- oder Konfigurationsdaten prüfen, den geeigneten AFO-Pfad auswählen und Freigabepunkte dokumentieren.
3. Technische Schritte in der vorgesehenen Reihenfolge ausführen und alle Zwischenstände mit Fallkennung erfassen.
4. Mindestens einen Fehler- oder Sonderfall einspielen, Ursache eingrenzen und eine sichere Fortsetzung oder Rücknahme durchführen.
5. Artefakte, Logs, Statusdaten und Befunde auf Vollständigkeit, Integrität, Zeitkonsistenz und Zugriffsrechte prüfen.
6. Eine ausführbare Arbeitsanweisung mit Rollen, Prüfpunkten, Eskalationen und Abschlusskriterien erstellen.

Zielgruppe und Voraussetzungen

Zielgruppe: SOC-Analystinnen und -Analysten, Incident Response, Cloud Security, Plattformbetrieb und Automatisierungsengineering.

Voraussetzungen: Kenntnisse zu Security Hub, EventBridge, EC2-Netzwerk, EKS-Grundlagen, IAM und Incident-Response-Prozessen.

Didaktisches Vorgehen

Fachliche Erläuterungen werden unmittelbar mit Architekturarbeit, Demonstrationen, geführten Übungen, Analyseaufgaben und dokumentierter Fallarbeit verbunden. Jeder technische Schritt wird zunächst geplant, anschließend in einer isolierten Umgebung ausgeführt und danach anhand von Logs, Artefakten und Prüfkriterien bewertet.

Qualitätssicherung

• Vorbedingungen, Rollen und Berechtigungen werden vor jedem Labor geprüft.
• Alle Zeitangaben werden einheitlich in UTC dokumentiert.
• Beweis- und Konfigurationsobjekte erhalten eindeutige Kennungen und einen nachvollziehbaren Bearbeitungsstatus.
• Fehlerfälle werden nicht übersprungen, sondern mit Ursache, Auswirkung, Korrektur und Wiederholungsprüfung erfasst.
• Arbeitsanweisungen werden durch einen zweiten Prüfpfad auf Vollständigkeit und Ausführbarkeit kontrolliert.