Seminar MISP Intensivseminar Administration, CTI und Automatisierung

Seminarziel

Dieses Intensivseminar bündelt die wesentlichen Inhalte der spezialisierten MISP-Schulungen in einem zusammenhängenden Trainingsformat. Es deckt Analystenarbeit, Plattformbetrieb, Deployment, Härtung, Feeds, Synchronisation, API-Automatisierung und Security-Operations-Integration ab.

Die Veranstaltung eignet sich, wenn ein Team in kurzer Zeit ein gemeinsames Verständnis von MISP aufbauen muss. Die Tiefe ist höher als in einer Übersichtsschulung, aber bewusst auf fünf Tage begrenzt. Alles andere wäre nicht intensiv, sondern Wunschdenken mit Kaffeepausen.

Inhalte

• Bedienkonzept, Event-Modell, Attribute, Objekte, Reports, Korrelationen, Sichtbarkeiten und Suchfunktionen
• CTI-Workflows mit Taxonomien, Galaxies, Tags, Reports, Review-Regeln und Datenqualitätskriterien
• Administration mit Organisationen, Benutzern, Rollen, Sharing-Gruppen, Feeds, Hintergrundjobs und Protokollen
• Deployment- und Betriebsgrundlagen mit Härtung, Updates, Backup, Monitoring und Wiederherstellungsplanung
• Feeds, Synchronisation, Sharing Communities, Filterstrategien, Governance und kontrollierter Datenaustausch
• API und PyMISP für Import, Suche, Export, Automatisierung, Fehlerbehandlung und technische Integration
• Einbindung in SOC-Prozesse, Detection-Workflows, SIEM-Übergaben, SOAR-Abläufe und operative Rückmeldungen

Praktische Übungen

1. Events modellieren, taggen, korrelieren und mit Reports fachlich einordnen
2. Rollen, Organisationen, Distribution-Regeln und Sharing-Gruppen für ein Beispielunternehmen aufbauen
3. Feeds und Synchronisationslogik bewerten, filtern und für kontrollierten Austausch vorbereiten
4. Betriebs- und Härtungsmaßnahmen priorisieren und in eine Administrationscheckliste überführen
5. Mit PyMISP Daten importieren, suchen, aktualisieren und für nachgelagerte Prozesse exportieren
6. Einen Ende-zu-Ende-Workflow vom Vorfallindikator bis zur operativen Nutzung im SOC entwerfen

Zielgruppe

Geeignet für gemischte Teams, die MISP gemeinsam einführen, betreiben oder fachlich und technisch verantworten sollen.

Voraussetzungen

Erwartet werden Grundlagen in Cyber Security und Incident Response. Für technische Übungen sind Administrationskenntnisse hilfreich; für API-Übungen sind einfache Skripting-Grundlagen ausreichend.