Seminar Enginsight Detection Engineering und Security Use Cases

Seminar / Training

Inhaltsübersicht

1. Einordnung und Lernziele
2. Technische Bausteine
3. Schrittweise Umsetzung
4. Praxisübungen und Szenarien
5. Betriebsstandards und Qualitätssicherung
6. Fehleranalyse und Wiederherstellung
7. Zielgruppe und Voraussetzungen

Einordnung und Lernziele

Kapitelinhaltsverzeichnis: Angriffshypothesen in messbare Erkennungsziele übersetzen; geeignete Datenquellen und Kontextinformationen auswählen; Regeln und Korrelationen mit klarer Evidenzlogik entwerfen; Testfälle für positive, negative und Grenzfälle aufbauen; False Positives systematisch reduzieren, ohne Blindstellen zu erzeugen.

Erkennungslogik wird aus realistischen Angriffsszenarien abgeleitet, mit Log- und Asset-Kontext angereichert, getestet, getunt und in wartbare Security Use Cases überführt.

Begründung der Dauer: Drei Tage sind notwendig, weil Datenbasis, Angriffshypothesen, Regelentwurf, Korrelation, Testverfahren, Tuning und betriebliche Freigabe als vollständiger Engineering-Zyklus bearbeitet werden.

Die Lernziele werden über nachvollziehbare Sollzustände, praktische Konfigurationen und überprüfbare Kontrollpunkte bearbeitet.

• Angriffshypothesen in messbare Erkennungsziele übersetzen
• geeignete Datenquellen und Kontextinformationen auswählen
• Regeln und Korrelationen mit klarer Evidenzlogik entwerfen
• Testfälle für positive, negative und Grenzfälle aufbauen
• False Positives systematisch reduzieren, ohne Blindstellen zu erzeugen
• Use Cases versionieren, dokumentieren und kontrolliert betreiben

Technische Bausteine

Kapitelinhaltsverzeichnis: Detection-Lifecycle von Hypothese bis Stilllegung; Angriffsszenarien, Taktiken, Techniken und beobachtbare Spuren; Logquellen, Normalisierung und Asset-Kontext; Einzelregel, Korrelation, Sequenz und Schwellenwert; Use-Case-Paket aus Erkennung, Priorisierung und Reaktion.

Die technischen Inhalte werden nicht isoliert betrachtet. Jede Funktion wird in Datenfluss, Verantwortlichkeit, Schutzbedarf und nachgelagerte Betriebsprozesse eingeordnet.

• Detection-Lifecycle von Hypothese bis Stilllegung
• Angriffsszenarien, Taktiken, Techniken und beobachtbare Spuren
• Logquellen, Normalisierung und Asset-Kontext
• Einzelregel, Korrelation, Sequenz und Schwellenwert
• Use-Case-Paket aus Erkennung, Priorisierung und Reaktion
• Testdaten, Replay, Simulation und Abnahmekriterien
• Tuning, Ausnahmen, Zeitfenster und Baselines
• Qualitätskennzahlen, Versionskontrolle und Review

Schrittweise Umsetzung

Kapitelinhaltsverzeichnis: kritisches Angriffsszenario und erwartete Spuren beschreiben; benötigte Logquellen sowie Asset- und Identitätskontext bestimmen; Normalisierung und Feldverfügbarkeit mit Beispieldaten prüfen; erste Erkennungsbedingung als nachvollziehbare Hypothese formulieren; Korrelation über mehrere Ereignisse und ein Zeitfenster ergänzen.

Der folgende Ablauf bildet einen wiederholbaren Labor- und Betriebsprozess. Jeder Schritt endet mit einem dokumentierten Prüfpunkt, bevor die nächste Stufe begonnen wird.

1. Schritt 1
   kritisches Angriffsszenario und erwartete Spuren beschreiben. Zunächst werden Ziel, Verantwortlichkeit und benötigte Eingaben festgehalten. Anschließend erfolgt die Umsetzung in der Laborumgebung mit minimal erforderlichen Rechten. Der Abschluss besteht aus Funktionsprüfung, Sicherheitskontrolle und Dokumentation des Sollzustands.
2. Schritt 2
   benötigte Logquellen sowie Asset- und Identitätskontext bestimmen. Zunächst werden Ziel, Verantwortlichkeit und benötigte Eingaben festgehalten. Anschließend erfolgt die Umsetzung in der Laborumgebung mit minimal erforderlichen Rechten. Der Abschluss besteht aus Funktionsprüfung, Sicherheitskontrolle und Dokumentation des Sollzustands.
3. Schritt 3
   Normalisierung und Feldverfügbarkeit mit Beispieldaten prüfen. Zunächst werden Ziel, Verantwortlichkeit und benötigte Eingaben festgehalten. Anschließend erfolgt die Umsetzung in der Laborumgebung mit minimal erforderlichen Rechten. Der Abschluss besteht aus Funktionsprüfung, Sicherheitskontrolle und Dokumentation des Sollzustands.
4. Schritt 4
   erste Erkennungsbedingung als nachvollziehbare Hypothese formulieren. Zunächst werden Ziel, Verantwortlichkeit und benötigte Eingaben festgehalten. Anschließend erfolgt die Umsetzung in der Laborumgebung mit minimal erforderlichen Rechten. Der Abschluss besteht aus Funktionsprüfung, Sicherheitskontrolle und Dokumentation des Sollzustands.
5. Schritt 5
   Korrelation über mehrere Ereignisse und ein Zeitfenster ergänzen. Zunächst werden Ziel, Verantwortlichkeit und benötigte Eingaben festgehalten. Anschließend erfolgt die Umsetzung in der Laborumgebung mit minimal erforderlichen Rechten. Der Abschluss besteht aus Funktionsprüfung, Sicherheitskontrolle und Dokumentation des Sollzustands.
6. Schritt 6
   Priorität anhand von Asset-Kritikalität und Benutzerkontext berechnen. Zunächst werden Ziel, Verantwortlichkeit und benötigte Eingaben festgehalten. Anschließend erfolgt die Umsetzung in der Laborumgebung mit minimal erforderlichen Rechten. Der Abschluss besteht aus Funktionsprüfung, Sicherheitskontrolle und Dokumentation des Sollzustands.
7. Schritt 7
   positive Testfälle erzeugen und erwartete Alarmdaten vergleichen. Zunächst werden Ziel, Verantwortlichkeit und benötigte Eingaben festgehalten. Anschließend erfolgt die Umsetzung in der Laborumgebung mit minimal erforderlichen Rechten. Der Abschluss besteht aus Funktionsprüfung, Sicherheitskontrolle und Dokumentation des Sollzustands.
8. Schritt 8
   negative und Grenzfälle ausführen und Fehlalarme klassifizieren. Zunächst werden Ziel, Verantwortlichkeit und benötigte Eingaben festgehalten. Anschließend erfolgt die Umsetzung in der Laborumgebung mit minimal erforderlichen Rechten. Der Abschluss besteht aus Funktionsprüfung, Sicherheitskontrolle und Dokumentation des Sollzustands.
9. Schritt 9
   Tuning mit begründeten Filtern und zeitlich befristeten Ausnahmen umsetzen. Zunächst werden Ziel, Verantwortlichkeit und benötigte Eingaben festgehalten. Anschließend erfolgt die Umsetzung in der Laborumgebung mit minimal erforderlichen Rechten. Der Abschluss besteht aus Funktionsprüfung, Sicherheitskontrolle und Dokumentation des Sollzustands.
10. Schritt 10
    Response-Schritte und erforderliche Evidenzen an den Use Case binden. Zunächst werden Ziel, Verantwortlichkeit und benötigte Eingaben festgehalten. Anschließend erfolgt die Umsetzung in der Laborumgebung mit minimal erforderlichen Rechten. Der Abschluss besteht aus Funktionsprüfung, Sicherheitskontrolle und Dokumentation des Sollzustands.
11. Schritt 11
    Review, Freigabe und versionierte Bereitstellung durchführen. Zunächst werden Ziel, Verantwortlichkeit und benötigte Eingaben festgehalten. Anschließend erfolgt die Umsetzung in der Laborumgebung mit minimal erforderlichen Rechten. Der Abschluss besteht aus Funktionsprüfung, Sicherheitskontrolle und Dokumentation des Sollzustands.
12. Schritt 12
    Wirksamkeit im Betrieb messen und Re-Test-Zyklus festlegen. Zunächst werden Ziel, Verantwortlichkeit und benötigte Eingaben festgehalten. Anschließend erfolgt die Umsetzung in der Laborumgebung mit minimal erforderlichen Rechten. Der Abschluss besteht aus Funktionsprüfung, Sicherheitskontrolle und Dokumentation des Sollzustands.

Praxisübungen und Szenarien

Kapitelinhaltsverzeichnis: Use Case für kurzlebiges privilegiertes Konto; Korrelation mehrerer fehlgeschlagener Anmeldungen mit erfolgreichem Zugriff; Tuning eines stark rauschenden administrativen Prozesses; Regressionstest nach Änderung von Logquelle oder Feldmapping; Peer Review eines Use Cases anhand definierter Qualitätskriterien.

Die Übungen werden mit klar abgegrenzten Testdaten und Rückfalloptionen durchgeführt. Zu jedem Szenario gehören Ausgangslage, Arbeitsauftrag, erwartete Beobachtung, Prüfkriterium und dokumentierte Abweichung.

1. Use Case für kurzlebiges privilegiertes Konto
2. Korrelation mehrerer fehlgeschlagener Anmeldungen mit erfolgreichem Zugriff
3. Tuning eines stark rauschenden administrativen Prozesses
4. Regressionstest nach Änderung von Logquelle oder Feldmapping
5. Peer Review eines Use Cases anhand definierter Qualitätskriterien

Betriebsstandards und Qualitätssicherung

Kapitelinhaltsverzeichnis: jede Erkennung mit Ziel, Datenquellen, Testfällen und Eigentümer dokumentieren; Ausnahmen mit Grund, Ablaufdatum und Genehmigung versehen; Regeländerungen wie Softwareänderungen versionieren und prüfen; Abdeckung und Datenverfügbarkeit getrennt messen; Use Cases bei Infrastruktur- und Prozessänderungen erneut validieren.

Die Überführung in den Regelbetrieb erfolgt über definierte Eigentümer, Freigaben, Messwerte und Review-Termine. Konfigurationen werden erst nach positiver Laborprüfung und dokumentierter Abnahme ausgeweitet.

• jede Erkennung mit Ziel, Datenquellen, Testfällen und Eigentümer dokumentieren
• Ausnahmen mit Grund, Ablaufdatum und Genehmigung versehen
• Regeländerungen wie Softwareänderungen versionieren und prüfen
• Abdeckung und Datenverfügbarkeit getrennt messen
• Use Cases bei Infrastruktur- und Prozessänderungen erneut validieren

Fehleranalyse und Wiederherstellung

Kapitelinhaltsverzeichnis: benötigtes Feld fehlt in einem Teil der Logdaten; Zeitstempel unterschiedlicher Quellen sind nicht synchron; Korrelation erzeugt Mehrfachalarme für denselben Vorgang; Tuning unterdrückt auch echte Angriffssimulationen; Use Case bleibt aktiv, obwohl die zugrunde liegende Quelle entfallen ist.

Die Diagnose folgt einer festen Reihenfolge: Symptom eingrenzen, letzte Änderung bestimmen, Datenpfad prüfen, Berechtigungen kontrollieren, Gegenprobe ausführen und nur danach eine Änderung vornehmen. Jede Korrektur wird mit einem Negativ- und einem Positivtest verifiziert.

• benötigtes Feld fehlt in einem Teil der Logdaten
• Zeitstempel unterschiedlicher Quellen sind nicht synchron
• Korrelation erzeugt Mehrfachalarme für denselben Vorgang
• Tuning unterdrückt auch echte Angriffssimulationen
• Use Case bleibt aktiv, obwohl die zugrunde liegende Quelle entfallen ist

Zielgruppe und Voraussetzungen

Kapitelinhaltsverzeichnis: Rollenprofil; erforderliches Vorwissen; Laborzugang; organisatorische Vorbereitung.

Teilnehmerkreis: SOC Engineering, Detection Engineering, Security Analytics, Incident Response und SIEM-Administration.

Fachliche Voraussetzungen: Sichere Kenntnisse zu Logs, SIEM-Grundlagen und typischen Angriffstechniken; Zugriff auf eine Laborumgebung mit Testereignissen.

Für praktische Übungen werden administrative Rechte ausschließlich in der vorbereiteten Laborumgebung benötigt. Produktive Änderungen gehören nicht zum Seminarbetrieb.