Seminar OpenCTI Case Management, Incident Response und Threat Hunting

Dieses Seminar zeigt, wie OpenCTI für operative Sicherheitsarbeit jenseits reiner Datenablage eingesetzt wird. Im Mittelpunkt stehen Case Management, Incident-Response-Fälle, Request for Information, Request for Takedown, strukturierte Zusammenarbeit und Threat-Hunting-Vorbereitung. Die Inhalte verbinden Intelligence-Kontext mit konkreten Arbeitsabläufen im SOC und CSIRT.

Zielgruppe

Das Seminar richtet sich an SOC-Analysten, Incident Responder, CSIRT-Mitglieder, Threat Hunter, CTI-Analysten und Teamleitungen, die OpenCTI zur Steuerung und Dokumentation operativer Fälle nutzen wollen.

Voraussetzungen

Grundkenntnisse in OpenCTI, Incident Response und Security Operations werden empfohlen. Kenntnisse in MITRE ATT&CK und grundlegender Bedrohungsanalyse erleichtern die Übungen.

Inhalte

• Rolle von OpenCTI im Zusammenspiel aus Threat Intelligence, Fallbearbeitung und operativer Reaktion
• Case-Typen, Incident Response, Request for Information und Request for Takedown
• Verknüpfung von Fällen mit Reports, Observables, Indicators, Threat Actors, Malware und TTPs
• Arbeitsorganisation: Zuständigkeiten, Notizen, Opinions, Aufgabenlogik und Entscheidungsdokumentation
• Threat-Hunting-Vorbereitung auf Basis strukturierter Intelligence und vorhandener Sichtungen
• Bewertung von Indikatoren, Kontextanreicherung und Priorisierung für Untersuchungen
• Zusammenarbeit zwischen CTI, SOC, Forensik, Management und externen Stellen
• Datenfreigabe, Markierungen, Zugriffsbeschränkungen und saubere Fallhistorie
• Qualitätssicherung: Nachvollziehbarkeit, Lessons Learned und Wiederverwendbarkeit von Erkenntnissen

Praxisübungen

• Anlage und Strukturierung eines Incident-Response-Falls mit relevanten Entitäten
• Erarbeitung einer RFI aus einer unvollständigen Bedrohungslage
• Vorbereitung einer Threat-Hunting-Hypothese aus TTPs und Observables
• Dokumentation von Analyseentscheidungen mit Notizen, Bewertungen und Beziehungen
• Auswertung eines Falls im Hinblick auf Wiederverwendung im CTI-Wissensgraphen

Methodik

Die Übungen folgen einem realistischen Fallverlauf. Dabei wird klar getrennt zwischen reiner Datensammlung, analytischer Bewertung und operativer Fallsteuerung.