Seminar Joe Sandbox – E-Mail-, Phishing- und URL-Analyse

Das Seminar behandelt die vollständige Analyse von URLs, Webseiten, E-Mails, Dokumentködern, QR-Codes, Weiterleitungsketten und phishingtypischen Interaktionen. Automatisierte Browseranalyse, KI-gestützte Erkennung, Live Interaction, DOM- und Screenshot-Auswertung sowie IOC- und Incident-Übergabe werden zu einem belastbaren Triageprozess verbunden.

Inhaltsübersicht

• Lernziele und fachliche Einordnung
• Schrittweise Seminarinhalte
• Praxisübungen und Laborszenarien
• Zielgruppe und Voraussetzungen
• Didaktik und Arbeitsweise

Lernziele

• E-Mail-, URL- und Dokumentketten vollständig erfassen und priorisieren.
• Header, Anhänge, Links, Weiterleitungen, QR-Codes und Zielseiten systematisch auswerten.
• Automatisierte Analyse und Live Interaction gezielt kombinieren.
• DOM, Screenshots, Video, Netzwerkdaten und IOCs beweissicher interpretieren.
• Triage-, Sperr- und Eskalationsprozesse für den SOC-Betrieb erstellen.

Schrittweise Seminarinhalte

1. Intake, Klassifizierung und Angriffskette

Schwerpunkt: EML, MSG, URL, Dokumentköder, Archiv, QR-Code, Benutzerkontext, Meldeweg, Priorität und Analysehypothese.

1. Analyseziel, Ausgangslage und Abnahmekriterien für den Themenblock „Intake, Klassifizierung und Angriffskette“ festlegen.
2. Relevante Objekte, Datenquellen, Rollen und Einstellungen anhand von EML, MSG, URL, Dokumentköder, Archiv, QR-Code, Benutzerkontext, Meldeweg, Priorität und Analysehypothese strukturiert vorbereiten.
3. Den vorgesehenen Analyse-, Konfigurations- oder Integrationsablauf in der Laborumgebung schrittweise durchführen und Zwischenergebnisse sichern.
4. Ergebnisqualität, Fehlerszenarien, Berechtigungen und Sicherheitswirkung mit definierten Positiv- und Negativtests prüfen.
5. Als Arbeitsergebnis einen standardisierten Phishing-Intake-Prozess dokumentieren, fachlich prüfen und in einen wiederholbaren Standard überführen.

2. E-Mail-Header und Absenderbewertung

Schwerpunkt: Received-Kette, Envelope, From, Reply-To, Message-ID, Authentisierungsergebnisse, Zeitbezug, Domainähnlichkeit und Anomalien.

1. Analyseziel, Ausgangslage und Abnahmekriterien für den Themenblock „E-Mail-Header und Absenderbewertung“ festlegen.
2. Relevante Objekte, Datenquellen, Rollen und Einstellungen anhand von Received-Kette, Envelope, From, Reply-To, Message-ID, Authentisierungsergebnisse, Zeitbezug, Domainähnlichkeit und Anomalien strukturiert vorbereiten.
3. Den vorgesehenen Analyse-, Konfigurations- oder Integrationsablauf in der Laborumgebung schrittweise durchführen und Zwischenergebnisse sichern.
4. Ergebnisqualität, Fehlerszenarien, Berechtigungen und Sicherheitswirkung mit definierten Positiv- und Negativtests prüfen.
5. Als Arbeitsergebnis eine nachvollziehbare Absender- und Headerbewertung dokumentieren, fachlich prüfen und in einen wiederholbaren Standard überführen.

3. Anhänge, eingebettete Inhalte und Dokumentköder

Schwerpunkt: Office, PDF, HTML, SVG, Archive, eingebettete URLs, Makros, Skripte, Dateitypen und Folgeartefakte.

1. Analyseziel, Ausgangslage und Abnahmekriterien für den Themenblock „Anhänge, eingebettete Inhalte und Dokumentköder“ festlegen.
2. Relevante Objekte, Datenquellen, Rollen und Einstellungen anhand von Office, PDF, HTML, SVG, Archive, eingebettete URLs, Makros, Skripte, Dateitypen und Folgeartefakte strukturiert vorbereiten.
3. Den vorgesehenen Analyse-, Konfigurations- oder Integrationsablauf in der Laborumgebung schrittweise durchführen und Zwischenergebnisse sichern.
4. Ergebnisqualität, Fehlerszenarien, Berechtigungen und Sicherheitswirkung mit definierten Positiv- und Negativtests prüfen.
5. Als Arbeitsergebnis eine vollständige Anhangs- und Köderanalyse dokumentieren, fachlich prüfen und in einen wiederholbaren Standard überführen.

4. URL-, Redirect- und Domainanalyse

Schwerpunkt: Weiterleitungsketten, Kurzlinks, DNS, Zertifikate, Seiteninhalt, Brand-Imitation, QR-Codes, Geofencing und zeitabhängige Auslieferung.

1. Analyseziel, Ausgangslage und Abnahmekriterien für den Themenblock „URL-, Redirect- und Domainanalyse“ festlegen.
2. Relevante Objekte, Datenquellen, Rollen und Einstellungen anhand von Weiterleitungsketten, Kurzlinks, DNS, Zertifikate, Seiteninhalt, Brand-Imitation, QR-Codes, Geofencing und zeitabhängige Auslieferung strukturiert vorbereiten.
3. Den vorgesehenen Analyse-, Konfigurations- oder Integrationsablauf in der Laborumgebung schrittweise durchführen und Zwischenergebnisse sichern.
4. Ergebnisqualität, Fehlerszenarien, Berechtigungen und Sicherheitswirkung mit definierten Positiv- und Negativtests prüfen.
5. Als Arbeitsergebnis eine kommentierte Redirect- und Infrastrukturkette dokumentieren, fachlich prüfen und in einen wiederholbaren Standard überführen.

5. Browserautomation und KI-gestützte Interaktion

Schwerpunkt: reale Browserumgebung, Formulare, Links, Downloads, Seitenzustände, KI-Hinweise, automatische Navigation und kontrollierte manuelle Eskalation.

1. Analyseziel, Ausgangslage und Abnahmekriterien für den Themenblock „Browserautomation und KI-gestützte Interaktion“ festlegen.
2. Relevante Objekte, Datenquellen, Rollen und Einstellungen anhand von reale Browserumgebung, Formulare, Links, Downloads, Seitenzustände, KI-Hinweise, automatische Navigation und kontrollierte manuelle Eskalation strukturiert vorbereiten.
3. Den vorgesehenen Analyse-, Konfigurations- oder Integrationsablauf in der Laborumgebung schrittweise durchführen und Zwischenergebnisse sichern.
4. Ergebnisqualität, Fehlerszenarien, Berechtigungen und Sicherheitswirkung mit definierten Positiv- und Negativtests prüfen.
5. Als Arbeitsergebnis einen reproduzierbaren Webanalyseablauf dokumentieren, fachlich prüfen und in einen wiederholbaren Standard überführen.

6. Live Interaction und Beweissicherung

Schwerpunkt: manuelle Navigation, Schutzmechanismen, Eingaben mit Testdaten, Screenshots, Video, DOM, Netzwerkverkehr, Zeitstempel und sichere Dokumentation.

1. Analyseziel, Ausgangslage und Abnahmekriterien für den Themenblock „Live Interaction und Beweissicherung“ festlegen.
2. Relevante Objekte, Datenquellen, Rollen und Einstellungen anhand von manuelle Navigation, Schutzmechanismen, Eingaben mit Testdaten, Screenshots, Video, DOM, Netzwerkverkehr, Zeitstempel und sichere Dokumentation strukturiert vorbereiten.
3. Den vorgesehenen Analyse-, Konfigurations- oder Integrationsablauf in der Laborumgebung schrittweise durchführen und Zwischenergebnisse sichern.
4. Ergebnisqualität, Fehlerszenarien, Berechtigungen und Sicherheitswirkung mit definierten Positiv- und Negativtests prüfen.
5. Als Arbeitsergebnis ein beweisfähiges Interaktions- und Evidenzpaket dokumentieren, fachlich prüfen und in einen wiederholbaren Standard überführen.

7. Verdikt, IOCs und Reaktionsprozess

Schwerpunkt: Phishingtyp, Zielmarke, Credential Theft, Malware-Download, Domains, URLs, IPs, Hashwerte, Sperrmaßnahmen, Nutzerkommunikation und Eskalation.

1. Analyseziel, Ausgangslage und Abnahmekriterien für den Themenblock „Verdikt, IOCs und Reaktionsprozess“ festlegen.
2. Relevante Objekte, Datenquellen, Rollen und Einstellungen anhand von Phishingtyp, Zielmarke, Credential Theft, Malware-Download, Domains, URLs, IPs, Hashwerte, Sperrmaßnahmen, Nutzerkommunikation und Eskalation strukturiert vorbereiten.
3. Den vorgesehenen Analyse-, Konfigurations- oder Integrationsablauf in der Laborumgebung schrittweise durchführen und Zwischenergebnisse sichern.
4. Ergebnisqualität, Fehlerszenarien, Berechtigungen und Sicherheitswirkung mit definierten Positiv- und Negativtests prüfen.
5. Als Arbeitsergebnis einen vollständigen SOC-Triage- und Reaktionsbericht dokumentieren, fachlich prüfen und in einen wiederholbaren Standard überführen.

Praxisübungen und Laborszenarien

• Analyse einer E-Mail mit mehrstufiger URL- und Dokumentkette.
• Manuelles Erreichen einer geschützten Zielseite mit Live Interaction und Testdaten.
• Erstellung eines IOC-, Blockierungs- und Nutzerbenachrichtigungspakets.

Zielgruppe und Voraussetzungen

Zielgruppe: SOC, CERT, Phishing-Response, E-Mail-Security, Incident Response, Threat Intelligence und Helpdesk-Eskalation.

Voraussetzungen: Grundkenntnisse in E-Mail, DNS, HTTP, TLS, Webbrowsern und Phishing-Techniken.

Didaktik und Arbeitsweise

Kurze Fachimpulse werden unmittelbar durch Demonstrationen, strukturierte Analyseschritte, praktische Übungen und kontrollierte Fehlerfälle vertieft. Jede Übung verwendet definierte Ausgangswerte, Prüfpunkte und Dokumentationsanforderungen, damit die erarbeiteten Abläufe als Analyse-, Integrations- oder Betriebsstandard wiederholbar bleiben.