Seminar GLIMPS Malware: ICAP-, SMTP- und Datei-Flow-Integration

Inhaltsübersicht

1. Seminarprofil
2. Lernziele
3. Schrittweise Seminarinhalte
   • 1. Datenfluss und Richtlinie
   • 2. ICAP-Integration
   • 3. SMTP-basierte Dateiprüfung
   • 4. Übergabeverzeichnisse und Dateifluss
   • 5. Betrieb, Leistung und Nachweis
4. Praxisübungen
5. Zielgruppe und Voraussetzungen
6. Methodik

Seminarprofil

Das Seminar integriert GLIMPS Malware Detect in dateibasierte Datenströme über ICAP, SMTP und kontrollierte Übergabeverzeichnisse. Im Mittelpunkt stehen Protokollfluss, TLS, Authentifizierung, Richtlinien, Fehlerverhalten, Quarantäne, Nachvollziehbarkeit und reproduzierbare Abnahmetests.

Lernziele

• Dateiflüsse und Vertrauensgrenzen für ICAP, SMTP und Verzeichnisübergaben modellieren
• Schnittstellen sicher konfigurieren und Ende-zu-Ende testen
• Fail-open-, Fail-closed- und Quarantäneentscheidungen risikobasiert treffen
• Befunde und technische Fehler an Betrieb und SOC übermitteln
• Leistung, Grenzwerte und Wiederanlauf kontrollieren

Schrittweise Seminarinhalte

1. Datenfluss und Richtlinie

1. Schritt 1: Quelle, Ziel, Protokoll, Dateityp, Schutzbedarf und erwartete Last je Datenfluss erfassen.
2. Schritt 2: Prüfpflicht, Ausnahme, Quarantäne und Freigabeentscheidung als Tabelle festlegen.
3. Schritt 3: Technische Fehler von fachlich unklaren Analysen unterscheiden.
4. Schritt 4: Eigentümer für Schnittstelle, Regelwerk, Zertifikate und Störungsbehandlung bestimmen.

2. ICAP-Integration

1. Schritt 1: ICAP-Client und Detect-Endpunkt mit Netzwerk- und TLS-Anforderungen planen.
2. Schritt 2: Request- und Response-Modus entsprechend dem Proxy- oder Gateway-Use-Case auswählen.
3. Schritt 3: Dateigrenzen, Zeitlimits und Verhalten bei nicht analysierbaren Inhalten konfigurieren.
4. Schritt 4: Saubere, schädliche, große und technisch fehlerhafte Testfälle Ende zu Ende ausführen.

3. SMTP-basierte Dateiprüfung

1. Schritt 1: Mailfluss, Weiterleitung, Anhanganalyse und Rückmeldung in einem Sequenzdiagramm abbilden.
2. Schritt 2: TLS, erlaubte Absender, Schleifenschutz und Größenlimits konfigurieren.
3. Schritt 3: Ergebniszustände in Zustellung, Quarantäne, Ablehnung oder Analystenprüfung übersetzen.
4. Schritt 4: Mehrfachzustellung, verschachtelte Anhänge und passwortgeschützte Archive prüfen.

4. Übergabeverzeichnisse und Dateifluss

1. Schritt 1: Eingang, Verarbeitung, Quarantäne, Freigabe und Fehlerablage logisch trennen.
2. Schritt 2: Dateien erst nach abgeschlossenem Schreibvorgang und stabiler Größe verarbeiten.
3. Schritt 3: Doppelte Verarbeitung durch eindeutige Kennung, Hashwert oder Statusdatei verhindern.
4. Schritt 4: Berechtigungen und Aufbewahrung für alle Ablagen nach Minimalprinzip festlegen.

5. Betrieb, Leistung und Nachweis

1. Schritt 1: Durchsatz, Latenz, Fehler, Zeitüberschreitungen und Queue-Länge messen.
2. Schritt 2: Benachrichtigungen und Logs mit Korrelationskennung an zentrale Systeme übergeben.
3. Schritt 3: Wiederanlauf nach Unterbrechung ohne Verlust oder doppelte Entscheidung testen.
4. Schritt 4: Abnahmeprotokoll und Betriebsrunbook mit Normal- und Fehlerpfaden erstellen.

Praxisübungen

1. Erstellung eines ICAP-Sequenzdiagramms und einer Entscheidungsrichtlinie
2. Ende-zu-Ende-Test eines SMTP-Anhangs mit vier Ergebniszuständen
3. Aufbau eines sicheren Verzeichnis-Übergabeprozesses
4. Wiederanlauftest mit Queue, Timeout und doppelter Datei

Zielgruppe und Voraussetzungen

Zielgruppe: Security Gateway Engineering, Mail- und Proxy-Administration, Plattformbetrieb, Integrationsarchitekten und SOC Engineering

Voraussetzungen: Kenntnisse in ICAP oder SMTP, TLS, Netzwerksegmentierung, Dateiflüssen und Sicherheitsrichtlinien

Methodik

Fachliche Einordnung, technische Demonstration und praktische Umsetzung wechseln sich ab. Jeder Themenblock folgt derselben belastbaren Reihenfolge: Ziel und Risiko bestimmen, Konfiguration oder Analyse durchführen, Sollzustand prüfen, Fehlerfall testen und den wiederholbaren Betriebsablauf dokumentieren.