Seminar Defguard Audit-Logs, Monitoring und SIEM

Betriebs- und Sicherheitsereignisse werden aus Aktivitätsprotokollen, Zustandsprüfungen und Benachrichtigungen zu einer verwertbaren Überwachung zusammengeführt.

Behandelt werden Ereignismodule, Filter, Rollenrechte, Gateway-Meldungen, SMTP-Benachrichtigungen sowie die Weitergabe an zentrale Auswertesysteme. Aus typischen Administrations- und VPN-Vorgängen entstehen konkrete Erkennungs- und Alarmregeln.

Inhaltsverzeichnis

• Zielsetzung
• Zielgruppe
• Voraussetzungen
• Seminarinhalte
• Schritt-für-Schritt-Praxis
• Methodik

Zielsetzung

Aufbau einer nachvollziehbaren Überwachung für Administration, Enrollment, Clients und VPN-Verbindungen einschließlich geeigneter Eskalationswege.

Zielgruppe

IT-Betrieb, Security Operations, Revision, Compliance und technische Serviceverantwortung.

Voraussetzungen

Grundkenntnisse in Systembetrieb und Logauswertung; Zugriff auf eine Defguard-Laborinstanz.

Seminarinhalte

Aktivitätsprotokoll verstehen

• Ereignisse aus Core, Client, Enrollment und VPN unterscheiden
• Zeit, Benutzer, Quelladresse, Gerät und Modul auswerten
• Rollenabhängige Sichtbarkeit berücksichtigen

Suche und Untersuchungsabläufe

• Filter nach Zeitraum, Benutzer, Modul und Ereignistyp kombinieren
• Normalbetrieb von auffälligen Mustern unterscheiden
• Chronologien für Support- und Sicherheitsfälle erstellen

Benachrichtigungen und Zustände

• SMTP-Grundkonfiguration und Empfängerwege festlegen
• Gateway-Trennung, Wiederverbindung und Versionshinweise bewerten
• Health Checks in die Betriebsüberwachung aufnehmen

SIEM-Anbindung

• Ereignisfelder normalisieren und mit Kontext anreichern
• Echtzeitweitergabe und sichere Transportwege einordnen
• Aufbewahrung, Zugriffsschutz und Datenschutz abstimmen

Alarmierung und Nachweisführung

• Regeln für Fehlanmeldungen, Rechteänderungen und Gerätewiderruf ableiten
• Schwellwerte und Eskalationsstufen definieren
• Untersuchungen und Freigaben revisionsfähig dokumentieren

Schritt-für-Schritt-Praxis

1. Repräsentative Administrations-, Enrollment- und VPN-Ereignisse erzeugen.
2. Ereignisse mit kombinierten Filtern eingrenzen.
3. Eine Untersuchungschronologie für einen simulierten Geräteverlust erstellen.
4. Benachrichtigungswege für Gateway-Ausfälle konfigurieren.
5. Ein SIEM-taugliches Feld- und Alarmkonzept entwerfen.
6. Erkennung, Eskalation und Dokumentation anhand eines Vorfalls testen.

Methodik

Fachliche Einordnungen werden unmittelbar mit Demonstrationen, geführten Konfigurationsschritten und kontrollierten Fehlerszenarien verbunden. Jede praktische Einheit endet mit einer technischen Prüfung der vorgenommenen Einstellungen.