Seminar AWS AFO Intensiv – Gesamtprogramm für SOC und Incident Response

Inhaltsübersicht

1. Einordnung und Einsatzkontext
2. Lernziele
3. Seminarinhalte
4. Praxislabor
5. Zielgruppe und Voraussetzungen
6. Didaktisches Vorgehen
7. Qualitätssicherung

Einordnung und Einsatzkontext

Das Intensivseminar fasst die Kerninhalte aller Einzelseminare zusammen. Es verbindet Architektur und Deployment mit Finding-Verarbeitung, Triage, Isolation, Beweissicherung, Analyse, Reporting, Betrieb, Kostensteuerung, Updates und Vorfallübungen.

Der fachliche Schwerpunkt liegt auf komprimiertes Gesamtprogramm für Planung, Betrieb und Nutzung von AFO. Die Inhalte werden an EC2- und EKS-bezogenen Vorfallszenarien, klaren Rollen, nachvollziehbaren Entscheidungen und überprüfbaren technischen Nachweisen ausgerichtet. Fünf Tage bilden die maximal zulässige Dauer und sind als verdichteter Gesamtpfad konzipiert; Detailthemen werden priorisiert, praktisch verknüpft und in einer durchgängigen Fallübung konsolidiert.

Lernziele

Nach Abschluss des Seminars können die behandelten Aufgaben strukturiert vorbereitet, durchgeführt, geprüft und dokumentiert werden.

• Anforderungen und Schutzbedarf für komprimiertes Gesamtprogramm für Planung, Betrieb und Nutzung von AFO fachlich einordnen;
• Einsatzplanung, Governance und Architektur in einen kontrollierten AFO-Prozess überführen;
• CDK-Deployment und sichere Basiskonfiguration mit geeigneten AWS-Diensten und Sicherheitskontrollen umsetzen;
• Detektion, Finding-Routing und Orchestrierung anhand definierter Eingaben, Ausgaben und Prüfkriterien verifizieren;
• Fehler, Abweichungen und Beweislücken bei Triage, Isolation und Fallsteuerung systematisch analysieren;
• Konfigurationen, Befunde, Entscheidungen und Wiederholungsanweisungen nachvollziehbar dokumentieren.

Seminarinhalte

1. Einsatzplanung, Governance und Architektur

Ziele, Scope, Konten, Regionen, Rollen, Beweisregeln, Komponenten, Datenflüsse und Erfolgskennzahlen werden zu einem umsetzbaren Zielbild verbunden.

Arbeitsschritte

1. Ausgangslage erfassen: Für das Lernfeld „Einsatzplanung, Governance und Architektur“ werden betroffene Konten, Regionen, Ressourcen, Rollen, Datenquellen und Abhängigkeiten vollständig aufgenommen.
2. Vorgehen planen: Der fachliche Fokus wird in konkrete Eingaben, Prüfkriterien, Berechtigungen, Schutzmaßnahmen, erwartete Ausgaben und Abbruchbedingungen übersetzt.
3. Umsetzung durchführen: Die Konfiguration oder Analyse wird in kontrollierten Trainingsressourcen schrittweise ausgeführt; jede relevante Aktion erhält Fallbezug und UTC-Zeitstempel.
4. Kontrolle vornehmen: Status, Protokolle, Artefakte, Berechtigungen, Integrität, Nebenwirkungen und Fehlerpfade werden gegen die zuvor festgelegten Kriterien geprüft.
5. Dokumentation erstellen: Entscheidungen, Befehle oder Konfigurationswerte, Ergebnisse, Abweichungen, Unsicherheiten und sichere Wiederholungs- beziehungsweise Rückfallverfahren werden festgehalten.

Prüfpunkt: Das Lernfeld gilt als bearbeitet, wenn ziele, Scope, Konten, Regionen, Rollen, Beweisregeln, Komponenten, Datenflüsse und Erfolgskennzahlen werden zu einem umsetzbaren Zielbild verbunden. und die zugehörigen Nachweise durch eine zweite Rolle nachvollzogen werden können.

2. CDK-Deployment und sichere Basiskonfiguration

Build, Kontextwerte, VPC, IAM, KMS, Forensik-, Security- und Anwendungskonten werden reproduzierbar bereitgestellt und gehärtet.

Arbeitsschritte

1. Ausgangslage erfassen: Für das Lernfeld „CDK-Deployment und sichere Basiskonfiguration“ werden betroffene Konten, Regionen, Ressourcen, Rollen, Datenquellen und Abhängigkeiten vollständig aufgenommen.
2. Vorgehen planen: Der fachliche Fokus wird in konkrete Eingaben, Prüfkriterien, Berechtigungen, Schutzmaßnahmen, erwartete Ausgaben und Abbruchbedingungen übersetzt.
3. Umsetzung durchführen: Die Konfiguration oder Analyse wird in kontrollierten Trainingsressourcen schrittweise ausgeführt; jede relevante Aktion erhält Fallbezug und UTC-Zeitstempel.
4. Kontrolle vornehmen: Status, Protokolle, Artefakte, Berechtigungen, Integrität, Nebenwirkungen und Fehlerpfade werden gegen die zuvor festgelegten Kriterien geprüft.
5. Dokumentation erstellen: Entscheidungen, Befehle oder Konfigurationswerte, Ergebnisse, Abweichungen, Unsicherheiten und sichere Wiederholungs- beziehungsweise Rückfallverfahren werden festgehalten.

Prüfpunkt: Das Lernfeld gilt als bearbeitet, wenn build, Kontextwerte, VPC, IAM, KMS, Forensik-, Security- und Anwendungskonten werden reproduzierbar bereitgestellt und gehärtet. und die zugehörigen Nachweise durch eine zweite Rolle nachvollzogen werden können.

3. Detektion, Finding-Routing und Orchestrierung

GuardDuty, Security Hub, EventBridge, Step Functions, manuelle Aktionen, automatische Regeln, Deduplizierung und Fehlerpfade werden eingerichtet.

Arbeitsschritte

1. Ausgangslage erfassen: Für das Lernfeld „Detektion, Finding-Routing und Orchestrierung“ werden betroffene Konten, Regionen, Ressourcen, Rollen, Datenquellen und Abhängigkeiten vollständig aufgenommen.
2. Vorgehen planen: Der fachliche Fokus wird in konkrete Eingaben, Prüfkriterien, Berechtigungen, Schutzmaßnahmen, erwartete Ausgaben und Abbruchbedingungen übersetzt.
3. Umsetzung durchführen: Die Konfiguration oder Analyse wird in kontrollierten Trainingsressourcen schrittweise ausgeführt; jede relevante Aktion erhält Fallbezug und UTC-Zeitstempel.
4. Kontrolle vornehmen: Status, Protokolle, Artefakte, Berechtigungen, Integrität, Nebenwirkungen und Fehlerpfade werden gegen die zuvor festgelegten Kriterien geprüft.
5. Dokumentation erstellen: Entscheidungen, Befehle oder Konfigurationswerte, Ergebnisse, Abweichungen, Unsicherheiten und sichere Wiederholungs- beziehungsweise Rückfallverfahren werden festgehalten.

Prüfpunkt: Das Lernfeld gilt als bearbeitet, wenn guardDuty, Security Hub, EventBridge, Step Functions, manuelle Aktionen, automatische Regeln, Deduplizierung und Fehlerpfade werden eingerichtet. und die zugehörigen Nachweise durch eine zweite Rolle nachvollzogen werden können.

4. Triage, Isolation und Fallsteuerung

Priorisierung, Ressourcenauflösung, EC2- und EKS-Isolation, Freigaben, Abbruchbedingungen, Fallkennungen und Statusführung werden praktisch umgesetzt.

Arbeitsschritte

1. Ausgangslage erfassen: Für das Lernfeld „Triage, Isolation und Fallsteuerung“ werden betroffene Konten, Regionen, Ressourcen, Rollen, Datenquellen und Abhängigkeiten vollständig aufgenommen.
2. Vorgehen planen: Der fachliche Fokus wird in konkrete Eingaben, Prüfkriterien, Berechtigungen, Schutzmaßnahmen, erwartete Ausgaben und Abbruchbedingungen übersetzt.
3. Umsetzung durchführen: Die Konfiguration oder Analyse wird in kontrollierten Trainingsressourcen schrittweise ausgeführt; jede relevante Aktion erhält Fallbezug und UTC-Zeitstempel.
4. Kontrolle vornehmen: Status, Protokolle, Artefakte, Berechtigungen, Integrität, Nebenwirkungen und Fehlerpfade werden gegen die zuvor festgelegten Kriterien geprüft.
5. Dokumentation erstellen: Entscheidungen, Befehle oder Konfigurationswerte, Ergebnisse, Abweichungen, Unsicherheiten und sichere Wiederholungs- beziehungsweise Rückfallverfahren werden festgehalten.

Prüfpunkt: Das Lernfeld gilt als bearbeitet, wenn priorisierung, Ressourcenauflösung, EC2- und EKS-Isolation, Freigaben, Abbruchbedingungen, Fallkennungen und Statusführung werden praktisch umgesetzt. und die zugehörigen Nachweise durch eine zweite Rolle nachvollzogen werden können.

5. Speicher- und Datenträgererfassung

LiME oder geeignete Windows-Verfahren, EBS-Snapshots, Verschlüsselung, sichere Ablage, Integrität und Chain of Custody werden ausgeführt.

Arbeitsschritte

1. Ausgangslage erfassen: Für das Lernfeld „Speicher- und Datenträgererfassung“ werden betroffene Konten, Regionen, Ressourcen, Rollen, Datenquellen und Abhängigkeiten vollständig aufgenommen.
2. Vorgehen planen: Der fachliche Fokus wird in konkrete Eingaben, Prüfkriterien, Berechtigungen, Schutzmaßnahmen, erwartete Ausgaben und Abbruchbedingungen übersetzt.
3. Umsetzung durchführen: Die Konfiguration oder Analyse wird in kontrollierten Trainingsressourcen schrittweise ausgeführt; jede relevante Aktion erhält Fallbezug und UTC-Zeitstempel.
4. Kontrolle vornehmen: Status, Protokolle, Artefakte, Berechtigungen, Integrität, Nebenwirkungen und Fehlerpfade werden gegen die zuvor festgelegten Kriterien geprüft.
5. Dokumentation erstellen: Entscheidungen, Befehle oder Konfigurationswerte, Ergebnisse, Abweichungen, Unsicherheiten und sichere Wiederholungs- beziehungsweise Rückfallverfahren werden festgehalten.

Prüfpunkt: Das Lernfeld gilt als bearbeitet, wenn liME oder geeignete Windows-Verfahren, EBS-Snapshots, Verschlüsselung, sichere Ablage, Integrität und Chain of Custody werden ausgeführt. und die zugehörigen Nachweise durch eine zweite Rolle nachvollzogen werden können.

6. Forensische Analyse und Korrelation

Volatility 3, Plaso, Betriebssystemartefakte, CloudTrail, EKS-Kontext und Zeitlinien werden zu belastbaren Befunden verbunden.

Arbeitsschritte

1. Ausgangslage erfassen: Für das Lernfeld „Forensische Analyse und Korrelation“ werden betroffene Konten, Regionen, Ressourcen, Rollen, Datenquellen und Abhängigkeiten vollständig aufgenommen.
2. Vorgehen planen: Der fachliche Fokus wird in konkrete Eingaben, Prüfkriterien, Berechtigungen, Schutzmaßnahmen, erwartete Ausgaben und Abbruchbedingungen übersetzt.
3. Umsetzung durchführen: Die Konfiguration oder Analyse wird in kontrollierten Trainingsressourcen schrittweise ausgeführt; jede relevante Aktion erhält Fallbezug und UTC-Zeitstempel.
4. Kontrolle vornehmen: Status, Protokolle, Artefakte, Berechtigungen, Integrität, Nebenwirkungen und Fehlerpfade werden gegen die zuvor festgelegten Kriterien geprüft.
5. Dokumentation erstellen: Entscheidungen, Befehle oder Konfigurationswerte, Ergebnisse, Abweichungen, Unsicherheiten und sichere Wiederholungs- beziehungsweise Rückfallverfahren werden festgehalten.

Prüfpunkt: Das Lernfeld gilt als bearbeitet, wenn volatility 3, Plaso, Betriebssystemartefakte, CloudTrail, EKS-Kontext und Zeitlinien werden zu belastbaren Befunden verbunden. und die zugehörigen Nachweise durch eine zweite Rolle nachvollzogen werden können.

7. Tooling, AMI und SSM-Erweiterungen

Image Builder, SIFT, Toolversionen, SSM-Dokumente, Parameter, Ergebnisformate und Funktionsprüfungen werden in den Workflow integriert.

Arbeitsschritte

1. Ausgangslage erfassen: Für das Lernfeld „Tooling, AMI und SSM-Erweiterungen“ werden betroffene Konten, Regionen, Ressourcen, Rollen, Datenquellen und Abhängigkeiten vollständig aufgenommen.
2. Vorgehen planen: Der fachliche Fokus wird in konkrete Eingaben, Prüfkriterien, Berechtigungen, Schutzmaßnahmen, erwartete Ausgaben und Abbruchbedingungen übersetzt.
3. Umsetzung durchführen: Die Konfiguration oder Analyse wird in kontrollierten Trainingsressourcen schrittweise ausgeführt; jede relevante Aktion erhält Fallbezug und UTC-Zeitstempel.
4. Kontrolle vornehmen: Status, Protokolle, Artefakte, Berechtigungen, Integrität, Nebenwirkungen und Fehlerpfade werden gegen die zuvor festgelegten Kriterien geprüft.
5. Dokumentation erstellen: Entscheidungen, Befehle oder Konfigurationswerte, Ergebnisse, Abweichungen, Unsicherheiten und sichere Wiederholungs- beziehungsweise Rückfallverfahren werden festgehalten.

Prüfpunkt: Das Lernfeld gilt als bearbeitet, wenn image Builder, SIFT, Toolversionen, SSM-Dokumente, Parameter, Ergebnisformate und Funktionsprüfungen werden in den Workflow integriert. und die zugehörigen Nachweise durch eine zweite Rolle nachvollzogen werden können.

8. Reporting, Benachrichtigung und Fallabfrage

Technische Befunde, Managementsicht, Statusmeldungen, SNS, strukturierte Fallmetadaten und kontrollierte Abfragen werden aufgebaut.

Arbeitsschritte

1. Ausgangslage erfassen: Für das Lernfeld „Reporting, Benachrichtigung und Fallabfrage“ werden betroffene Konten, Regionen, Ressourcen, Rollen, Datenquellen und Abhängigkeiten vollständig aufgenommen.
2. Vorgehen planen: Der fachliche Fokus wird in konkrete Eingaben, Prüfkriterien, Berechtigungen, Schutzmaßnahmen, erwartete Ausgaben und Abbruchbedingungen übersetzt.
3. Umsetzung durchführen: Die Konfiguration oder Analyse wird in kontrollierten Trainingsressourcen schrittweise ausgeführt; jede relevante Aktion erhält Fallbezug und UTC-Zeitstempel.
4. Kontrolle vornehmen: Status, Protokolle, Artefakte, Berechtigungen, Integrität, Nebenwirkungen und Fehlerpfade werden gegen die zuvor festgelegten Kriterien geprüft.
5. Dokumentation erstellen: Entscheidungen, Befehle oder Konfigurationswerte, Ergebnisse, Abweichungen, Unsicherheiten und sichere Wiederholungs- beziehungsweise Rückfallverfahren werden festgehalten.

Prüfpunkt: Das Lernfeld gilt als bearbeitet, wenn technische Befunde, Managementsicht, Statusmeldungen, SNS, strukturierte Fallmetadaten und kontrollierte Abfragen werden aufgebaut. und die zugehörigen Nachweise durch eine zweite Rolle nachvollzogen werden können.

9. Betrieb, Kosten, Kapazität und Updates

Monitoring, Fehleranalyse, Quotas, Instanzgrößen, Speicherlebenszyklus, Releaseprüfung, Rollback und Betriebskennzahlen werden geregelt.

Arbeitsschritte

1. Ausgangslage erfassen: Für das Lernfeld „Betrieb, Kosten, Kapazität und Updates“ werden betroffene Konten, Regionen, Ressourcen, Rollen, Datenquellen und Abhängigkeiten vollständig aufgenommen.
2. Vorgehen planen: Der fachliche Fokus wird in konkrete Eingaben, Prüfkriterien, Berechtigungen, Schutzmaßnahmen, erwartete Ausgaben und Abbruchbedingungen übersetzt.
3. Umsetzung durchführen: Die Konfiguration oder Analyse wird in kontrollierten Trainingsressourcen schrittweise ausgeführt; jede relevante Aktion erhält Fallbezug und UTC-Zeitstempel.
4. Kontrolle vornehmen: Status, Protokolle, Artefakte, Berechtigungen, Integrität, Nebenwirkungen und Fehlerpfade werden gegen die zuvor festgelegten Kriterien geprüft.
5. Dokumentation erstellen: Entscheidungen, Befehle oder Konfigurationswerte, Ergebnisse, Abweichungen, Unsicherheiten und sichere Wiederholungs- beziehungsweise Rückfallverfahren werden festgehalten.

Prüfpunkt: Das Lernfeld gilt als bearbeitet, wenn monitoring, Fehleranalyse, Quotas, Instanzgrößen, Speicherlebenszyklus, Releaseprüfung, Rollback und Betriebskennzahlen werden geregelt. und die zugehörigen Nachweise durch eine zweite Rolle nachvollzogen werden können.

10. Vorfallübung und Verbesserungsplan

Ein End-to-End-Szenario wird durchgeführt, beobachtet und ausgewertet; Runbooks, Architektur und Kontrollen werden anhand der Feststellungen angepasst.

Arbeitsschritte

1. Ausgangslage erfassen: Für das Lernfeld „Vorfallübung und Verbesserungsplan“ werden betroffene Konten, Regionen, Ressourcen, Rollen, Datenquellen und Abhängigkeiten vollständig aufgenommen.
2. Vorgehen planen: Der fachliche Fokus wird in konkrete Eingaben, Prüfkriterien, Berechtigungen, Schutzmaßnahmen, erwartete Ausgaben und Abbruchbedingungen übersetzt.
3. Umsetzung durchführen: Die Konfiguration oder Analyse wird in kontrollierten Trainingsressourcen schrittweise ausgeführt; jede relevante Aktion erhält Fallbezug und UTC-Zeitstempel.
4. Kontrolle vornehmen: Status, Protokolle, Artefakte, Berechtigungen, Integrität, Nebenwirkungen und Fehlerpfade werden gegen die zuvor festgelegten Kriterien geprüft.
5. Dokumentation erstellen: Entscheidungen, Befehle oder Konfigurationswerte, Ergebnisse, Abweichungen, Unsicherheiten und sichere Wiederholungs- beziehungsweise Rückfallverfahren werden festgehalten.

Prüfpunkt: Das Lernfeld gilt als bearbeitet, wenn ein End-to-End-Szenario wird durchgeführt, beobachtet und ausgewertet; Runbooks, Architektur und Kontrollen werden anhand der Feststellungen angepasst. und die zugehörigen Nachweise durch eine zweite Rolle nachvollzogen werden können.

Praxislabor

Planung, Bereitstellung und Betrieb einer AFO-Umgebung sowie Bearbeitung eines kombinierten EC2- und EKS-Vorfalls vom Finding bis zum Managementbericht.

1. Trainingsfall anlegen, Ausgangslage protokollieren und Schutzobjekte sowie Zuständigkeiten festlegen.
2. Ereignis- oder Konfigurationsdaten prüfen, den geeigneten AFO-Pfad auswählen und Freigabepunkte dokumentieren.
3. Technische Schritte in der vorgesehenen Reihenfolge ausführen und alle Zwischenstände mit Fallkennung erfassen.
4. Mindestens einen Fehler- oder Sonderfall einspielen, Ursache eingrenzen und eine sichere Fortsetzung oder Rücknahme durchführen.
5. Artefakte, Logs, Statusdaten und Befunde auf Vollständigkeit, Integrität, Zeitkonsistenz und Zugriffsrechte prüfen.
6. Eine ausführbare Arbeitsanweisung mit Rollen, Prüfpunkten, Eskalationen und Abschlusskriterien erstellen.

Zielgruppe und Voraussetzungen

Zielgruppe: SOC, Incident Response, Cloud Security, Plattformbetrieb, Security Engineering und fachübergreifende AFO-Kernteams.

Voraussetzungen: Solide AWS-Kenntnisse zu EC2, EKS, IAM, VPC, Security Hub und grundlegende Erfahrung mit Incident Response.

Didaktisches Vorgehen

Fachliche Erläuterungen werden unmittelbar mit Architekturarbeit, Demonstrationen, geführten Übungen, Analyseaufgaben und dokumentierter Fallarbeit verbunden. Jeder technische Schritt wird zunächst geplant, anschließend in einer isolierten Umgebung ausgeführt und danach anhand von Logs, Artefakten und Prüfkriterien bewertet.

Qualitätssicherung

• Vorbedingungen, Rollen und Berechtigungen werden vor jedem Labor geprüft.
• Alle Zeitangaben werden einheitlich in UTC dokumentiert.
• Beweis- und Konfigurationsobjekte erhalten eindeutige Kennungen und einen nachvollziehbaren Bearbeitungsstatus.
• Fehlerfälle werden nicht übersprungen, sondern mit Ursache, Auswirkung, Korrektur und Wiederholungsprüfung erfasst.
• Arbeitsanweisungen werden durch einen zweiten Prüfpfad auf Vollständigkeit und Ausführbarkeit kontrolliert.