Seminar HarfangLab Incident Response Remediation und Remote Shell

Dieses dreitägige Seminar behandelt Incident Response und Remediation mit HarfangLab. Der Fokus liegt auf kontrollierten Maßnahmen: erst qualifizieren, dann eindämmen, anschließend bereinigen und dokumentieren. Schnellschüsse sind im Ernstfall meistens teuer; sauberes Vorgehen ist hier der alte Handwerkssatz, der immer noch stimmt.

Inhaltsübersicht

• Response-Entscheidungen und Eskalation
• Endpoint-Isolation und Blockierung
• Remote Shell und vorbereitete Kommandos
• Artefaktsammlung und Job-Vorlagen
• Bereinigung, Freigabe und Nachbereitung

Praxisorientierte Seminarinhalte

Die Inhalte sind als geführte Arbeitsschritte aufgebaut. Jede Einheit verbindet Konfiguration, Analyse und operative Bewertung im Administrations- oder SOC-Kontext.

Kapitel 1: Response-Prozess vorbereiten

1. Schritt 1: Incident-Klassen und Entscheidungsrechte festlegen
2. Schritt 2: Kriterien für Isolation, Blockierung und Quarantäne definieren
3. Schritt 3: Kommunikationswege zu IT-Betrieb und Management beschreiben
4. Schritt 4: Dokumentationspflichten vor der Maßnahme prüfen

Kapitel 2: Eindämmung durchführen

1. Schritt 1: Betroffene Endpoints und mögliche Ausbreitung bewerten
2. Schritt 2: Endpoint-Isolation risikoorientiert auslösen
3. Schritt 3: Prozesse stoppen oder blockieren, wenn die Faktenlage ausreicht
4. Schritt 4: Nebenwirkungen auf produktive Dienste vorab bewerten

Kapitel 3: Remote Shell kontrolliert einsetzen

1. Schritt 1: Zugriffsvoraussetzungen und Freigabe prüfen
2. Schritt 2: Vorbereitete Kommandos für Diagnose und Sofortmaßnahmen nutzen
3. Schritt 3: Ausgaben sichern und manipulationsarm dokumentieren
4. Schritt 4: Gefährliche Kommandos nur nach klarer Entscheidung ausführen

Kapitel 4: Untersuchungs- und Remediation-Jobs nutzen

1. Schritt 1: Artefaktsammlung auf einzelnen oder mehreren Endpoints starten
2. Schritt 2: Job-Vorlagen für häufige Incident-Typen erstellen
3. Schritt 3: Ergebnisse auswerten und Folgeaktionen ableiten
4. Schritt 4: Dateien, Dienste oder Persistenzmechanismen kontrolliert entfernen

Kapitel 5: Wiederanlauf und Abschluss

1. Schritt 1: Systemzustand nach Maßnahmen prüfen
2. Schritt 2: Freigabe aus Isolation oder Blockierzuständen bewerten
3. Schritt 3: Lessons Learned in Regeln, Policies und Playbooks überführen
4. Schritt 4: Abschlussdokumentation für Nachvollziehbarkeit erstellen

Praktische Übungen

• Entscheidungsmatrix für Isolation und Blockierung
• Ausführung einer kontrollierten Artefaktsammlung
• Erstellung eines Response-Job-Templates
• Dokumentation einer Remediation-Kette

Geeignet für

Das Seminar richtet sich an Teams, die im Incident-Fall technische Maßnahmen mit HarfangLab durchführen und diese revisionssicher begründen müssen.

Voraussetzungen

Erforderlich sind EDR-Erfahrung, Kenntnisse in Windows- oder Linux-Forensikgrundlagen und sicherer Umgang mit administrativen Befehlen.