Seminar EclecticIQ Intelligence Center – Kompaktseminar Grundlagen, Analyse und Reporting

Das Kompaktseminar vermittelt einen verdichteten End-to-End-Ablauf für Teams, die in kurzer Zeit arbeitsfähig werden müssen. Es verbindet grundlegende Bedienung, Datenmodell, Suche, Anforderungen, Enrichment, Graphanalyse, kollaborative Untersuchung und Reporting, ohne die Spezialtiefe der einzelnen Fachseminare vorzutäuschen.

Inhaltsübersicht

• Zielsetzung
• Zielgruppe
• Voraussetzungen
• Seminarinhalte
• Praxisübungen
• Didaktik und Arbeitsweise

Zielsetzung

• die wichtigsten Arbeitsbereiche und Objekttypen sicher bedienen
• Intelligence von der Aufnahme bis zur Analyse strukturiert verarbeiten
• Suche, Datasets, Workspaces, Enrichment und Graphen kombinieren
• Intelligence Requirements und Discovery für Priorisierung einsetzen
• ein geprüftes Intelligence-Produkt erstellen und weitergeben

Zielgruppe

Neue Analysten, Key-User, Projektteams, SOC-Schnittstellen, Teamleitungen und technische Anwendungsbetreuung mit Überblicksbedarf.

Voraussetzungen

Allgemeine IT- und Sicherheitskenntnisse. CTI-Grundkenntnisse sind hilfreich, Intelligence-Center-Vorkenntnisse sind nicht erforderlich.

Seminarinhalte

1. Schritt 1: Plattform, Rollen und CTI-Lebenszyklus einordnen

   Use Cases, Arbeitsbereiche und Verantwortlichkeiten werden mit Direction, Collection, Processing, Analysis, Dissemination und Feedback verbunden.

2. Schritt 2: Oberfläche und persönliche Arbeitsweise einrichten

   Navigation, Search and Browse, Benachrichtigungen, Listen, Detailpaneele und wiederkehrende Aktionen werden praktisch eingeübt.

3. Schritt 3: Entities, Observables und Beziehungen modellieren

   Ein Rohbericht wird in passende Objekte, technische Werte, Beziehungen und Zeitbezüge zerlegt. TLP, Confidence, Quelle, Tags und Klassifikationen werden ergänzt.

4. Schritt 4: Suche und Filter aufbauen

   Einfache, feldbezogene und relationale Abfragen werden schrittweise entwickelt. Zeit, Quelle, TLP und ATT&CK begrenzen die Datenbasis.

5. Schritt 5: Dataset und Workspace verwenden

   Eine gespeicherte Suche wird als Dataset gepflegt. Ein Workspace bündelt Fragestellung, Beteiligte, Objekte, Aufgaben, Kommentare und Dateien.

6. Schritt 6: Intelligence Requirement operationalisieren

   Eine relevante Sicherheitsfrage wird im Intelligence Compass mit Watchern, Matching-Ansatz und Bearbeitungsweg angelegt.

7. Schritt 7: Discovery und Keyword-Kontext einsetzen

   Eine Such- oder Keyword-basierte Discovery-Regel wird getestet. Organisationsbezogene Begriffe werden als kontrollierte Liste gepflegt.

8. Schritt 8: Enrichment und Risk Score bewerten

   Ein Observable wird angereichert und anhand von Quelle, Maliciousness, Aktualität und Asset-Relevanz priorisiert. Automatisierte Werte werden fachlich überprüft.

9. Schritt 9: Graph und ATT&CK zur Analyse nutzen

   Beziehungen werden fokussiert visualisiert, TTPs klassifiziert und Gegenhypothesen geprüft. Der Graph bleibt auf die Untersuchungsfrage begrenzt.

10. Schritt 10: Incident- und SOC-Bezug herstellen

    Ein relevanter Treffer wird als Incident-Kontext strukturiert und mit Aufgaben, Gültigkeit, TLP und empfohlenen Maßnahmen an nachgelagerte Prozesse übergeben.

11. Schritt 11: Dashboard und Report erstellen

    Ein Dataset liefert eine kleine Lagevisualisierung. Kernaussage, Evidenz, Confidence, Lücken und Maßnahmen werden anschließend als Report formuliert.

12. Schritt 12: Freigabe und Feedback durchführen

    Schutzstufe, Empfänger, Fakten, Bewertungen und Zeitbezug werden geprüft. Rückmeldungen fließen in Requirement, Regel, Score und Datenqualität zurück.

Praxisübungen

1. Übung 1: Rohdaten in Intelligence überführen

   Ein Bericht wird modelliert, mit Metadaten versehen und veröffentlicht.

2. Übung 2: Untersuchungsraum aufbauen

   Suche, Dataset, Workspace, Aufgaben und Graph werden für einen gemeinsamen Fall eingerichtet.

3. Übung 3: Requirement und Discovery testen

   Eine priorisierte Frage wird angelegt und mit keywordbasierter Trefferlogik geprüft.

4. Übung 4: IOC analysieren

   Ein technischer Wert wird angereichert, bewertet, zeitlich eingeordnet und mit vorhandenen Entities korreliert.

5. Übung 5: SOC-Übergabe formulieren

   Gültige Indicators, Kontext, TTPs, Confidence und Maßnahmen werden kompakt bereitgestellt.

6. Übung 6: Intelligence-Produkt erstellen

   Dashboard-Ausschnitt und Report werden redaktionell geprüft und für einen definierten Empfängerkreis freigegeben.

Didaktik und Arbeitsweise

Kurze Fachimpulse werden unmittelbar durch Demonstrationen, strukturierte Arbeitsschritte, Praxisübungen und kontrollierte Fehlerfälle vertieft. Jede Übung verwendet definierte Ausgangswerte, Prüfpunkte und Dokumentationsanforderungen. Die erarbeiteten Verfahren bleiben dadurch im späteren Betrieb wiederholbar und auditierbar.