Seminar GLIMPS Malware: Intensivseminar Analyse, Threat Hunting und Response

Inhaltsübersicht

1. Seminarprofil
2. Lernziele
3. Schrittweise Seminarinhalte
   • 1. Triage und Analyseplanung
   • 2. Expert-Analyse und Kontextualisierung
   • 3. Threat Hunting und YARA
   • 4. CTI-, SIEM- und Sensoranreicherung
   • 5. SOAR und Reaktionssteuerung
   • 6. Durchgängiger Incident-Fall
4. Praxisübungen
5. Zielgruppe und Voraussetzungen
6. Methodik

Seminarprofil

Das Intensivseminar bündelt die analyse- und reaktionsbezogenen Inhalte des Seminarprogramms. Detect-Triage, Expert-Analyse, IOC-Gewinnung, MITRE-ATT&CK-Kontext, YARA, Retro Hunting, CTI-Austausch, EDR/NDR-Anreicherung, SIEM/SOAR-Workflows und Incident Response werden in einem durchgängigen Laborfall verbunden.

Lernziele

• Verdächtige Dateien von der Erstbewertung bis zur belastbaren Analyse bearbeiten
• Statische, dynamische und hybride Evidenz zusammenführen
• YARA-Regeln und Retro Hunting qualitätsgesichert einsetzen
• Indikatoren in CTI-, SIEM-, EDR- und NDR-Prozesse überführen
• Response-Entscheidungen und SOAR-Abläufe kontrolliert ableiten
• Analyse- und Incident-Berichte mit nachvollziehbarer Unsicherheit erstellen

Schrittweise Seminarinhalte

1. Triage und Analyseplanung

1. Schritt 1: Probe, Herkunft, Integrität, Priorität und Untersuchungsfrage erfassen.
2. Schritt 2: Detect-Ergebnis prüfen und notwendige Expert-Analyseschritte auswählen.
3. Schritt 3: Hypothesen, Mindestnachweise und Stop-Kriterien festlegen.
4. Schritt 4: Evidenz und offene Fragen in einer fortlaufenden Arbeitsakte dokumentieren.

2. Expert-Analyse und Kontextualisierung

1. Schritt 1: Statische, dynamische und hybride Befunde nach Beweiskraft auswerten.
2. Schritt 2: Funktionen, Verhalten, Persistenz und Kommunikationsmuster herausarbeiten.
3. Schritt 3: Indikatoren auf Qualität und operative Nutzbarkeit prüfen.
4. Schritt 4: MITRE-ATT&CK- und Familienbezüge mit Alternativhypothesen bewerten.

3. Threat Hunting und YARA

1. Schritt 1: Hunting-Hypothesen aus Analysebefunden und Incident-Kontext formulieren.
2. Schritt 2: YARA-Merkmale auswählen, Regel erstellen und gegen Positiv- sowie Negativkorpus testen.
3. Schritt 3: Retro Hunting durchführen und Treffer nach Risiko priorisieren.
4. Schritt 4: Whitelists und private Datensätze kontrolliert pflegen.

4. CTI-, SIEM- und Sensoranreicherung

1. Schritt 1: Indikatoren und Kontext in MISP-, STIX- oder JSON-Strukturen überführen.
2. Schritt 2: SIEM-Korrelationen und Suchabfragen mit Ablauf- und Vertrauensinformationen anreichern.
3. Schritt 3: EDR- und NDR-Alarme mit Analyseergebnissen verbinden.
4. Schritt 4: Dubletten, veraltete Indikatoren und widersprüchliche Quellen behandeln.

5. SOAR und Reaktionssteuerung

1. Schritt 1: Playbook für Einreichung, Anreicherung, Ticketanlage, Hunting und Reaktion modellieren.
2. Schritt 2: Automatische Maßnahmen durch Freigabeschwellen und Stop-Bedingungen begrenzen.
3. Schritt 3: Quarantäne, Isolation, Blockierung und Nachprüfung in kontrollierter Reihenfolge ausführen.
4. Schritt 4: Fehler-, Timeout- und Rückfallpfade im Labor testen.

6. Durchgängiger Incident-Fall

1. Schritt 1: Beweissicherung und Triage für einen mehrstufigen Vorfall durchführen.
2. Schritt 2: Scope mit IOCs, YARA, EDR, NDR und SIEM schrittweise erweitern.
3. Schritt 3: Containment, Eradikation und Wiederherstellung begründen und dokumentieren.
4. Schritt 4: Abschlussbericht, Managementzusammenfassung und Verbesserungsplan erstellen.

Praxisübungen

1. Mehrstufige Malware-Analyse mit vollständigem Hypothesen- und Evidenzprotokoll
2. YARA-Regelentwicklung, Negativtest und Retro Hunting
3. Anreicherung eines EDR- und NDR-Falls mit Expert-Befunden
4. SOAR-Playbook mit Freigabe-, Fehler- und Rückfallpfad
5. Komplette Incident-Response-Übung mit Bericht und Review

Zielgruppe und Voraussetzungen

Zielgruppe: Malware Analysts, Threat Hunter, Tier-2- und Tier-3-SOC, Incident Responder, DFIR, CTI und SOAR Engineering

Voraussetzungen: Solide Kenntnisse in SOC-Arbeit, Malware-Grundlagen, IOC-Verarbeitung, MITRE ATT&CK und Incident Response

Methodik

Fachliche Einordnung, technische Demonstration und praktische Umsetzung wechseln sich ab. Jeder Themenblock folgt derselben belastbaren Reihenfolge: Ziel und Risiko bestimmen, Konfiguration oder Analyse durchführen, Sollzustand prüfen, Fehlerfall testen und den wiederholbaren Betriebsablauf dokumentieren.