Seminar AWS AFO Integration mit GuardDuty, Security Hub und EventBridge

Inhaltsübersicht

1. Einordnung und Einsatzkontext
2. Lernziele
3. Seminarinhalte
4. Praxislabor
5. Zielgruppe und Voraussetzungen
6. Didaktisches Vorgehen
7. Qualitätssicherung

Einordnung und Einsatzkontext

Das Seminar verbindet Detektion, Aggregation und Orchestrierung. Findings werden normalisiert, gefiltert und über Security Hub und EventBridge kontrolliert an passende AFO-Workflows übergeben.

Der fachliche Schwerpunkt liegt auf Finding-Verarbeitung und ereignisgesteuerte Auslösung von AFO. Die Inhalte werden an EC2- und EKS-bezogenen Vorfallszenarien, klaren Rollen, nachvollziehbaren Entscheidungen und überprüfbaren technischen Nachweisen ausgerichtet. Zwei Tage erlauben die Behandlung automatischer Regeln, manueller Security-Hub-Aktionen, Cross-Account-Routing, Testfällen, Fehlerpfaden und Schutz vor Auslöseschleifen.

Lernziele

Nach Abschluss des Seminars können die behandelten Aufgaben strukturiert vorbereitet, durchgeführt, geprüft und dokumentiert werden.

• Anforderungen und Schutzbedarf für Finding-Verarbeitung und ereignisgesteuerte Auslösung von AFO fachlich einordnen;
• Detektions- und Finding-Landschaft in einen kontrollierten AFO-Prozess überführen;
• Security-Hub-Aggregation und Aktionen mit geeigneten AWS-Diensten und Sicherheitskontrollen umsetzen;
• EventBridge-Ereignismuster anhand definierter Eingaben, Ausgaben und Prüfkriterien verifizieren;
• Fehler, Abweichungen und Beweislücken bei Routing und Eingabetransformation systematisch analysieren;
• Konfigurationen, Befunde, Entscheidungen und Wiederholungsanweisungen nachvollziehbar dokumentieren.

Seminarinhalte

1. Detektions- und Finding-Landschaft

GuardDuty, AWS Config, Drittanbieterbefunde und Security-Hub-Normalisierung werden hinsichtlich Ressourcenbezug, Qualität und forensischer Relevanz bewertet.

Arbeitsschritte

1. Ausgangslage erfassen: Für das Lernfeld „Detektions- und Finding-Landschaft“ werden betroffene Konten, Regionen, Ressourcen, Rollen, Datenquellen und Abhängigkeiten vollständig aufgenommen.
2. Vorgehen planen: Der fachliche Fokus wird in konkrete Eingaben, Prüfkriterien, Berechtigungen, Schutzmaßnahmen, erwartete Ausgaben und Abbruchbedingungen übersetzt.
3. Umsetzung durchführen: Die Konfiguration oder Analyse wird in kontrollierten Trainingsressourcen schrittweise ausgeführt; jede relevante Aktion erhält Fallbezug und UTC-Zeitstempel.
4. Kontrolle vornehmen: Status, Protokolle, Artefakte, Berechtigungen, Integrität, Nebenwirkungen und Fehlerpfade werden gegen die zuvor festgelegten Kriterien geprüft.
5. Dokumentation erstellen: Entscheidungen, Befehle oder Konfigurationswerte, Ergebnisse, Abweichungen, Unsicherheiten und sichere Wiederholungs- beziehungsweise Rückfallverfahren werden festgehalten.

Prüfpunkt: Das Lernfeld gilt als bearbeitet, wenn guardDuty, AWS Config, Drittanbieterbefunde und Security-Hub-Normalisierung werden hinsichtlich Ressourcenbezug, Qualität und forensischer Relevanz bewertet. und die zugehörigen Nachweise durch eine zweite Rolle nachvollzogen werden können.

2. Security-Hub-Aggregation und Aktionen

Administrator- und Mitgliedskonten, Regionen, Finding-Status, Workflow-Felder und benutzerdefinierte Aktionen werden für kontrollierte Auslösungen strukturiert.

Arbeitsschritte

1. Ausgangslage erfassen: Für das Lernfeld „Security-Hub-Aggregation und Aktionen“ werden betroffene Konten, Regionen, Ressourcen, Rollen, Datenquellen und Abhängigkeiten vollständig aufgenommen.
2. Vorgehen planen: Der fachliche Fokus wird in konkrete Eingaben, Prüfkriterien, Berechtigungen, Schutzmaßnahmen, erwartete Ausgaben und Abbruchbedingungen übersetzt.
3. Umsetzung durchführen: Die Konfiguration oder Analyse wird in kontrollierten Trainingsressourcen schrittweise ausgeführt; jede relevante Aktion erhält Fallbezug und UTC-Zeitstempel.
4. Kontrolle vornehmen: Status, Protokolle, Artefakte, Berechtigungen, Integrität, Nebenwirkungen und Fehlerpfade werden gegen die zuvor festgelegten Kriterien geprüft.
5. Dokumentation erstellen: Entscheidungen, Befehle oder Konfigurationswerte, Ergebnisse, Abweichungen, Unsicherheiten und sichere Wiederholungs- beziehungsweise Rückfallverfahren werden festgehalten.

Prüfpunkt: Das Lernfeld gilt als bearbeitet, wenn administrator- und Mitgliedskonten, Regionen, Finding-Status, Workflow-Felder und benutzerdefinierte Aktionen werden für kontrollierte Auslösungen strukturiert. und die zugehörigen Nachweise durch eine zweite Rolle nachvollzogen werden können.

3. EventBridge-Ereignismuster

Produktherkunft, Ressourcentyp, Schweregrad, Konto, Region, Finding-ID, Status und Tags werden in präzise, wartbare Event Patterns übersetzt.

Arbeitsschritte

1. Ausgangslage erfassen: Für das Lernfeld „EventBridge-Ereignismuster“ werden betroffene Konten, Regionen, Ressourcen, Rollen, Datenquellen und Abhängigkeiten vollständig aufgenommen.
2. Vorgehen planen: Der fachliche Fokus wird in konkrete Eingaben, Prüfkriterien, Berechtigungen, Schutzmaßnahmen, erwartete Ausgaben und Abbruchbedingungen übersetzt.
3. Umsetzung durchführen: Die Konfiguration oder Analyse wird in kontrollierten Trainingsressourcen schrittweise ausgeführt; jede relevante Aktion erhält Fallbezug und UTC-Zeitstempel.
4. Kontrolle vornehmen: Status, Protokolle, Artefakte, Berechtigungen, Integrität, Nebenwirkungen und Fehlerpfade werden gegen die zuvor festgelegten Kriterien geprüft.
5. Dokumentation erstellen: Entscheidungen, Befehle oder Konfigurationswerte, Ergebnisse, Abweichungen, Unsicherheiten und sichere Wiederholungs- beziehungsweise Rückfallverfahren werden festgehalten.

Prüfpunkt: Das Lernfeld gilt als bearbeitet, wenn produktherkunft, Ressourcentyp, Schweregrad, Konto, Region, Finding-ID, Status und Tags werden in präzise, wartbare Event Patterns übersetzt. und die zugehörigen Nachweise durch eine zweite Rolle nachvollzogen werden können.

4. Routing und Eingabetransformation

Ereignisse werden validiert, angereichert, dedupliziert und mit Fallkennung, Zielressource und gewünschter AFO-Aktion an Step Functions übergeben.

Arbeitsschritte

1. Ausgangslage erfassen: Für das Lernfeld „Routing und Eingabetransformation“ werden betroffene Konten, Regionen, Ressourcen, Rollen, Datenquellen und Abhängigkeiten vollständig aufgenommen.
2. Vorgehen planen: Der fachliche Fokus wird in konkrete Eingaben, Prüfkriterien, Berechtigungen, Schutzmaßnahmen, erwartete Ausgaben und Abbruchbedingungen übersetzt.
3. Umsetzung durchführen: Die Konfiguration oder Analyse wird in kontrollierten Trainingsressourcen schrittweise ausgeführt; jede relevante Aktion erhält Fallbezug und UTC-Zeitstempel.
4. Kontrolle vornehmen: Status, Protokolle, Artefakte, Berechtigungen, Integrität, Nebenwirkungen und Fehlerpfade werden gegen die zuvor festgelegten Kriterien geprüft.
5. Dokumentation erstellen: Entscheidungen, Befehle oder Konfigurationswerte, Ergebnisse, Abweichungen, Unsicherheiten und sichere Wiederholungs- beziehungsweise Rückfallverfahren werden festgehalten.

Prüfpunkt: Das Lernfeld gilt als bearbeitet, wenn ereignisse werden validiert, angereichert, dedupliziert und mit Fallkennung, Zielressource und gewünschter AFO-Aktion an Step Functions übergeben. und die zugehörigen Nachweise durch eine zweite Rolle nachvollzogen werden können.

5. Automatische und manuelle Reaktionspfade

Schwellenwerte, Freigaben, Schutzlisten, Wartungsfälle und unterschiedliche Risiken werden in Regeln für Triage, Isolation und Analyse abgebildet.

Arbeitsschritte

1. Ausgangslage erfassen: Für das Lernfeld „Automatische und manuelle Reaktionspfade“ werden betroffene Konten, Regionen, Ressourcen, Rollen, Datenquellen und Abhängigkeiten vollständig aufgenommen.
2. Vorgehen planen: Der fachliche Fokus wird in konkrete Eingaben, Prüfkriterien, Berechtigungen, Schutzmaßnahmen, erwartete Ausgaben und Abbruchbedingungen übersetzt.
3. Umsetzung durchführen: Die Konfiguration oder Analyse wird in kontrollierten Trainingsressourcen schrittweise ausgeführt; jede relevante Aktion erhält Fallbezug und UTC-Zeitstempel.
4. Kontrolle vornehmen: Status, Protokolle, Artefakte, Berechtigungen, Integrität, Nebenwirkungen und Fehlerpfade werden gegen die zuvor festgelegten Kriterien geprüft.
5. Dokumentation erstellen: Entscheidungen, Befehle oder Konfigurationswerte, Ergebnisse, Abweichungen, Unsicherheiten und sichere Wiederholungs- beziehungsweise Rückfallverfahren werden festgehalten.

Prüfpunkt: Das Lernfeld gilt als bearbeitet, wenn schwellenwerte, Freigaben, Schutzlisten, Wartungsfälle und unterschiedliche Risiken werden in Regeln für Triage, Isolation und Analyse abgebildet. und die zugehörigen Nachweise durch eine zweite Rolle nachvollzogen werden können.

6. Cross-Account- und Multi-Region-Verarbeitung

Event Bus Policies, Rollen, Aggregationsverzögerung, Regionenbezug, zentrale Steuerung und regionale Ausführung werden auf Konsistenz geprüft.

Arbeitsschritte

1. Ausgangslage erfassen: Für das Lernfeld „Cross-Account- und Multi-Region-Verarbeitung“ werden betroffene Konten, Regionen, Ressourcen, Rollen, Datenquellen und Abhängigkeiten vollständig aufgenommen.
2. Vorgehen planen: Der fachliche Fokus wird in konkrete Eingaben, Prüfkriterien, Berechtigungen, Schutzmaßnahmen, erwartete Ausgaben und Abbruchbedingungen übersetzt.
3. Umsetzung durchführen: Die Konfiguration oder Analyse wird in kontrollierten Trainingsressourcen schrittweise ausgeführt; jede relevante Aktion erhält Fallbezug und UTC-Zeitstempel.
4. Kontrolle vornehmen: Status, Protokolle, Artefakte, Berechtigungen, Integrität, Nebenwirkungen und Fehlerpfade werden gegen die zuvor festgelegten Kriterien geprüft.
5. Dokumentation erstellen: Entscheidungen, Befehle oder Konfigurationswerte, Ergebnisse, Abweichungen, Unsicherheiten und sichere Wiederholungs- beziehungsweise Rückfallverfahren werden festgehalten.

Prüfpunkt: Das Lernfeld gilt als bearbeitet, wenn event Bus Policies, Rollen, Aggregationsverzögerung, Regionenbezug, zentrale Steuerung und regionale Ausführung werden auf Konsistenz geprüft. und die zugehörigen Nachweise durch eine zweite Rolle nachvollzogen werden können.

7. Test, Fehlerpfade und Schleifenschutz

Beispiel-Findings, Schemaabweichungen, doppelte Ereignisse, Dead-Letter-Strategien, Wiederholungen und selbst erzeugte Findings werden kontrolliert behandelt.

Arbeitsschritte

1. Ausgangslage erfassen: Für das Lernfeld „Test, Fehlerpfade und Schleifenschutz“ werden betroffene Konten, Regionen, Ressourcen, Rollen, Datenquellen und Abhängigkeiten vollständig aufgenommen.
2. Vorgehen planen: Der fachliche Fokus wird in konkrete Eingaben, Prüfkriterien, Berechtigungen, Schutzmaßnahmen, erwartete Ausgaben und Abbruchbedingungen übersetzt.
3. Umsetzung durchführen: Die Konfiguration oder Analyse wird in kontrollierten Trainingsressourcen schrittweise ausgeführt; jede relevante Aktion erhält Fallbezug und UTC-Zeitstempel.
4. Kontrolle vornehmen: Status, Protokolle, Artefakte, Berechtigungen, Integrität, Nebenwirkungen und Fehlerpfade werden gegen die zuvor festgelegten Kriterien geprüft.
5. Dokumentation erstellen: Entscheidungen, Befehle oder Konfigurationswerte, Ergebnisse, Abweichungen, Unsicherheiten und sichere Wiederholungs- beziehungsweise Rückfallverfahren werden festgehalten.

Prüfpunkt: Das Lernfeld gilt als bearbeitet, wenn beispiel-Findings, Schemaabweichungen, doppelte Ereignisse, Dead-Letter-Strategien, Wiederholungen und selbst erzeugte Findings werden kontrolliert behandelt. und die zugehörigen Nachweise durch eine zweite Rolle nachvollzogen werden können.

Praxislabor

Aufbau einer Finding-Pipeline, die unterschiedliche EC2- und EKS-Findings klassifiziert und gezielt Triage-, Isolations- oder Untersuchungsworkflows startet.

1. Trainingsfall anlegen, Ausgangslage protokollieren und Schutzobjekte sowie Zuständigkeiten festlegen.
2. Ereignis- oder Konfigurationsdaten prüfen, den geeigneten AFO-Pfad auswählen und Freigabepunkte dokumentieren.
3. Technische Schritte in der vorgesehenen Reihenfolge ausführen und alle Zwischenstände mit Fallkennung erfassen.
4. Mindestens einen Fehler- oder Sonderfall einspielen, Ursache eingrenzen und eine sichere Fortsetzung oder Rücknahme durchführen.
5. Artefakte, Logs, Statusdaten und Befunde auf Vollständigkeit, Integrität, Zeitkonsistenz und Zugriffsrechte prüfen.
6. Eine ausführbare Arbeitsanweisung mit Rollen, Prüfpunkten, Eskalationen und Abschlusskriterien erstellen.

Zielgruppe und Voraussetzungen

Zielgruppe: SOC Engineering, Cloud Security, Detection Engineering, Event-Driven Architecture und Plattformteams.

Voraussetzungen: Kenntnisse zu GuardDuty, Security Hub, EventBridge, JSON-Ereignissen, IAM und AWS-Kontenstrukturen.

Didaktisches Vorgehen

Fachliche Erläuterungen werden unmittelbar mit Architekturarbeit, Demonstrationen, geführten Übungen, Analyseaufgaben und dokumentierter Fallarbeit verbunden. Jeder technische Schritt wird zunächst geplant, anschließend in einer isolierten Umgebung ausgeführt und danach anhand von Logs, Artefakten und Prüfkriterien bewertet.

Qualitätssicherung

• Vorbedingungen, Rollen und Berechtigungen werden vor jedem Labor geprüft.
• Alle Zeitangaben werden einheitlich in UTC dokumentiert.
• Beweis- und Konfigurationsobjekte erhalten eindeutige Kennungen und einen nachvollziehbaren Bearbeitungsstatus.
• Fehlerfälle werden nicht übersprungen, sondern mit Ursache, Auswirkung, Korrektur und Wiederholungsprüfung erfasst.
• Arbeitsanweisungen werden durch einen zweiten Prüfpfad auf Vollständigkeit und Ausführbarkeit kontrolliert.