Seminar HarfangLab Detection Engineering mit YARA Sigma und IOC

Dieses dreitägige Seminar ist auf die technische Erkennungsarbeit in HarfangLab ausgerichtet. Es behandelt YARA-, Sigma- und IOC-basierte Detection von der fachlichen Idee über Testdaten und Tuning bis zur kontrollierten Aktivierung im produktiven Betrieb.

Inhaltsübersicht

• Detection-Architektur in HarfangLab
• YARA-Regeln für Dateien und Speicherartefakte
• Sigma-Regeln für Verhalten und TTPs
• IOC-Management und Kontextpflege
• Tests, Tuning und produktive Freigabe

Praxisorientierte Seminarinhalte

Die Inhalte sind als geführte Arbeitsschritte aufgebaut. Jede Einheit verbindet Konfiguration, Analyse und operative Bewertung im Administrations- oder SOC-Kontext.

Kapitel 1: Detection-Logik strukturieren

1. Schritt 1: Erkennungsziele aus Bedrohungsszenarien ableiten
2. Schritt 2: YARA, Sigma und IOC nach Einsatzgebiet unterscheiden
3. Schritt 3: Regelstatus, Aktivierungsmodus und Zielgruppen festlegen
4. Schritt 4: Qualitätskriterien für Detektionen definieren

Kapitel 2: YARA praxisnah einsetzen

1. Schritt 1: Datei- und Speichermerkmale als Erkennungsbasis auswählen
2. Schritt 2: Regeln lesbar und wartbar strukturieren
3. Schritt 3: Testfälle für bekannte und ähnliche Artefakte vorbereiten
4. Schritt 4: Trefferqualität und Nebenwirkungen bewerten

Kapitel 3: Sigma und Verhaltenserkennung entwickeln

1. Schritt 1: Angriffsverhalten in Prozess-, Registry-, Datei- und Netzwerkereignisse übersetzen
2. Schritt 2: Sigma-Regeln für TTP-orientierte Detektion formulieren
3. Schritt 3: Regeln gegen legitime Administrationsmuster testen
4. Schritt 4: False Positives durch Bedingungen und Kontext reduzieren

Kapitel 4: IOCs und CTI-Kontext pflegen

1. Schritt 1: Hash-, IP-, Domain- und URL-Indikatoren risikoorientiert einordnen
2. Schritt 2: Kurzlebige Indikatoren von langlebigen Verhaltensmustern abgrenzen
3. Schritt 3: IOC-Herkunft fachlich bewerten und Dubletten vermeiden
4. Schritt 4: Ablaufdaten, Zuständigkeiten und Review-Termine definieren

Kapitel 5: Regeln produktiv überführen

1. Schritt 1: Testmodus, Monitoring und Blockierung sauber staffeln
2. Schritt 2: Änderungen dokumentieren und freigeben
3. Schritt 3: Regelqualität anhand von Treffern und Analystenfeedback verbessern
4. Schritt 4: Regelpflege in einen kontinuierlichen Lifecycle überführen

Praktische Übungen

• Erstellung einer einfachen YARA-Regel mit Testbewertung
• Ableitung einer Sigma-Regel aus einem Angriffsszenario
• Aufbau einer IOC-Liste mit Priorisierung
• Tuning einer Regel zur Reduktion fachlich begründeter Fehlalarme

Geeignet für

Geeignet für Teams, die Detection-Regeln nicht nur importieren, sondern verstehen, prüfen, anpassen und verantwortet betreiben müssen.

Voraussetzungen

Erforderlich sind gute Kenntnisse in Security Monitoring, Windows- oder Linux-Artefakten, Prozessketten und typischen Angreifertechniken. Grundkenntnisse in Regelsprachen sind hilfreich.