Seminar Binalyze AIR – Kompaktseminar für Administration und Investigation

Das Kompaktseminar bündelt die wichtigsten Aufgaben für Einführung, Betrieb und Untersuchung in einem konzentrierten Format. Es vermittelt einen vollständigen Überblick, ersetzt jedoch bei tiefen Spezialaufgaben nicht die jeweiligen Fachseminare.

Inhaltsübersicht

1. Zielsetzung
2. Zielgruppe
3. Vorkenntnisse
4. Tag 1: Architektur, Administration und Bereitstellung
5. Tag 2: Datenerfassung und Investigation
6. Tag 3: Hunt, Live Response und Automatisierung
7. Praxisübungen
8. Arbeitsweise

Zielsetzung

Die Teilnehmer können eine bestehende AIR-Umgebung grundlegend administrieren, Responder und Assets einordnen, eine Erfassung durchführen, Ergebnisse im Investigation Hub untersuchen und einfache Hunt- sowie Response-Maßnahmen kontrolliert ausführen.

Zielgruppe

Administratoren und Analysten, die kurzfristig ein breites operatives Arbeitsvermögen aufbauen müssen, sowie technische Projektleiter in Einführungsphasen.

Vorkenntnisse

Grundverständnis von Systemadministration, Endpoints, Netzwerken und Incident Response ist erforderlich. Produkterfahrung wird nicht vorausgesetzt.

Seminarinhalte

Tag 1: Architektur, Administration und Bereitstellung

1. Schritt 1: Plattformkomponenten, Kommunikationswege, Rollen und Sicherheitsgrenzen werden in ein verständliches Betriebsmodell eingeordnet.
2. Schritt 2: Benutzer, Rollen, grundlegende Einstellungen und ein kontrolliertes Berechtigungsschema werden eingerichtet.
3. Schritt 3: Responder-Bereitstellung für typische Zielplattformen wird geplant und mit Registrierung sowie Kommunikation geprüft.
4. Schritt 4: Assets werden gesucht, gruppiert, getaggt und mit einfachen Richtlinien für den Betrieb vorbereitet.
5. Schritt 5: Ein Betriebscheck prüft Konsole, Responder, Netzwerk, Repository und administrative Nachvollziehbarkeit.

Tag 2: Datenerfassung und Investigation

1. Schritt 1: Ein Untersuchungsfall wird mit Ziel, Umfang, Zeitfenster und Zuständigkeit angelegt.
2. Schritt 2: Ein Erfassungsprofil wird ausgewählt, auf eine Zielgruppe angewendet und auf Laufzeit sowie Vollständigkeit überwacht.
3. Schritt 3: Ergebnisse werden im Investigation Hub gefiltert, kommentiert und mit DRONE-Befunden priorisiert.
4. Schritt 4: File Explorer, Suche, Vergleich und Timeline werden in ihrer Funktion demonstriert und für eine Kernfrage eingesetzt.
5. Schritt 5: Befunde werden mit Beweislage, betroffenen Assets und notwendigem Folgeschritt dokumentiert.

Tag 3: Hunt, Live Response und Automatisierung

1. Schritt 1: Ein einfacher Sigma-, YARA- oder osquery-Hunt wird ausgewählt, auf eine Testgruppe ausgerollt und ausgewertet.
2. Schritt 2: interACT wird für eine gezielte Validierung eingesetzt und mit beweisschonender Dokumentation verbunden.
3. Schritt 3: Isolation und Rücknahme werden anhand klarer Kriterien und notwendiger Ausnahmen praktisch eingeordnet.
4. Schritt 4: API-, Webhook- und Integrationsmöglichkeiten werden an einem einfachen Alarm-zu-Fall-Ablauf demonstriert.
5. Schritt 5: Ein durchgängiger Vorfall verbindet Alarm, Erfassung, Analyse, Hunt, Reaktion und Kurzbericht.

Praxisübungen

• Grundkonfiguration einer kleinen AIR-Umgebung
• Durchführung einer Erfassung und Untersuchung im Hub
• Ausführung eines einfachen Hunts und einer Live-Response-Aktion
• Bearbeitung eines kompakten Ende-zu-Ende-Incidents

Arbeitsweise

Die Inhalte werden durch fachliche Erläuterungen, Demonstrationen und unmittelbar anschließende Übungen am System erarbeitet. Jeder Arbeitsschritt wird mit Zweck, Eingaben, Kontrollpunkten und typischen Fehlerbildern dokumentiert. Die Übungsfälle bauen aufeinander auf und verwenden ein konsistentes Rollen-, Asset- und Fallmodell.