Seminar GLIMPS Malware: SIEM- und SOAR-Integration

Inhaltsübersicht

1. Seminarprofil
2. Lernziele
3. Schrittweise Seminarinhalte
   • 1. Datenquellen und Ereignisschema
   • 2. SIEM-Aufnahme und Korrelation
   • 3. Anreicherung mit Expert und CTI
   • 4. SOAR-Playbook
   • 5. Fehlertoleranz und Sicherheit
   • 6. Tests und Regelbetrieb
4. Praxisübungen
5. Zielgruppe und Voraussetzungen
6. Methodik

Seminarprofil

Das Seminar bindet GLIMPS Malware Detect und Expert in zentrale Erkennungs- und Orchestrierungsprozesse ein. Ereignisschema, Log- und Befundübergabe, Korrelation, Anreicherung, Playbooks, Freigabeschwellen, Fehlerpfade, Auditierbarkeit und kontrollierte Reaktion werden praktisch umgesetzt.

Lernziele

• Analyse- und Plattformereignisse in ein belastbares SIEM-Schema überführen
• Korrelationen und Use Cases mit Datei-, Benutzer-, Host- und Netzkontext entwickeln
• SOAR-Playbooks für Einreichung, Anreicherung, Ticketing und Reaktion erstellen
• Überautomatisierung, Schleifen und unklare Zustände verhindern
• Tests, Kennzahlen und Änderungssteuerung für produktiven Betrieb aufbauen

Schrittweise Seminarinhalte

1. Datenquellen und Ereignisschema

1. Schritt 1: Malwarebefunde, Analysefehler, Authentifizierungsfehler und Plattformzustände inventarisieren.
2. Schritt 2: Felder für Zeit, Quelle, Datei-Hash, Auftrag, Benutzer, Host, Ergebnis und Vertrauensniveau normieren.
3. Schritt 3: Pflichtfelder, Datentypen, Wertebereiche und Versionierung dokumentieren.
4. Schritt 4: Zeitstempel, Zeitzone, Korrelation und Dublettenbehandlung festlegen.

2. SIEM-Aufnahme und Korrelation

1. Schritt 1: Ereignisse über Syslog, API oder vorhandenen Sammelpfad übernehmen.
2. Schritt 2: Parser und Normalisierung mit positiven und fehlerhaften Beispielen testen.
3. Schritt 3: Korrelationen für Wiederholung, Mehrfachsysteme, bekannte IOCs und auffällige Benutzerkontexte erstellen.
4. Schritt 4: Schwellenwerte, Suppression und Eskalation gegen Grundrauschen abstimmen.

3. Anreicherung mit Expert und CTI

1. Schritt 1: Detect-Befund bei Bedarf durch Expert-Analyse vertiefen.
2. Schritt 2: Indikatoren, Funktionen und ATT&CK-Kontext an das SIEM-Ereignis anreichern.
3. Schritt 3: MISP-, STIX- oder interne CTI-Daten zur Kontextprüfung heranziehen.
4. Schritt 4: Herkunft, Aktualität und Unsicherheit jeder Anreicherung erhalten.

4. SOAR-Playbook

1. Schritt 1: Trigger, Eingaben, Zustände, Entscheidungen und Endzustände modellieren.
2. Schritt 2: Datei einreichen, Status abfragen, Ergebnis auswerten und Ticket aktualisieren.
3. Schritt 3: Hunting-, Quarantäne-, Isolations- oder Blockieraktionen nach Freigabeschwelle auslösen.
4. Schritt 4: Manuelle Prüfung, Abbruch, Rücknahme und Eskalation als feste Knoten ergänzen.

5. Fehlertoleranz und Sicherheit

1. Schritt 1: Timeouts, Wiederholungen, Idempotenz und Retry-Budgets definieren.
2. Schritt 2: Schleifen zwischen SIEM, SOAR, EDR und Analyseplattform durch Korrelationsstatus verhindern.
3. Schritt 3: Token, Geheimnisse und sensible Dateiinhalte aus Playbook-Logs fernhalten.
4. Schritt 4: Teilfehler und Dienstunterbrechungen mit kontrolliertem Rückfall behandeln.

6. Tests und Regelbetrieb

1. Schritt 1: Testfälle für sauber, schädlich, unklar, Timeout, Tokenfehler und Dublette ausführen.
2. Schritt 2: Kennzahlen für Durchlaufzeit, Automatisierungsgrad, Abbruch und manuelle Eingriffe messen.
3. Schritt 3: Änderungen an Schema, Regel oder Playbook versionieren und freigeben.
4. Schritt 4: Betriebsrunbook und technische Abnahmedokumentation erstellen.

Praxisübungen

1. Entwurf und Validierung eines SIEM-Ereignisschemas
2. Erstellung einer Korrelation für mehrere betroffene Hosts
3. Aufbau eines vollständigen SOAR-Playbooks
4. Test von Schleifenschutz, Idempotenz, Timeout und manueller Freigabe
5. Definition von Betriebskennzahlen und Change-Prozess

Zielgruppe und Voraussetzungen

Zielgruppe: SIEM- und SOAR-Engineering, SOC Engineering, Detection Engineering, Incident Response und Security Architecture

Voraussetzungen: Gute Kenntnisse in SIEM, SOAR, JSON oder Syslog, APIs, Detection Use Cases und Incident-Prozessen

Methodik

Fachliche Einordnung, technische Demonstration und praktische Umsetzung wechseln sich ab. Jeder Themenblock folgt derselben belastbaren Reihenfolge: Ziel und Risiko bestimmen, Konfiguration oder Analyse durchführen, Sollzustand prüfen, Fehlerfall testen und den wiederholbaren Betriebsablauf dokumentieren.