Seminar NetworkMiner SOC-Analysen und Blue-Team-Workflows

Einordnung

Das Seminar übersetzt Werkzeugwissen in SOC-Arbeit. Drei Tage sind angesetzt, weil Alarmvalidierung, Hostanalyse, Artefaktbewertung und Berichtsübergabe gemeinsam geübt werden; genau dort entstehen im Alltag sonst die bekannten Lücken.

Inhaltsübersicht

• SOC-Fragestellungen in PCAP-Prüfungen übersetzen
• Alarme mit Host- und Artefaktdaten validieren
• IOCs aus Netzwerkverkehr ableiten
• Prioritäten für Eskalation bestimmen
• Kurzberichte für Schichtübergaben erstellen

Zielgruppe

SOC-Level-1/2, Blue Teams, Incident-Response-Koordinatoren, IT-Sicherheitsbetrieb und Administratoren mit Alarm- und Fallbearbeitung.

Voraussetzungen

Kenntnisse in SOC-Prozessen, Netzwerkgrundlagen und Sicherheitsalarmen. PCAP-Vorkenntnisse sind hilfreich.

Seminarinhalte

Alarmkontext aufnehmen

1. Alarmzeitpunkt, betroffene Hosts und gemeldete Indikatoren notieren.
2. Passenden Mitschnitt oder Ausschnitt auswählen.
3. Erwartete Spuren vor der Analyse formulieren.
4. Analyseziel für die SOC-Schicht begrenzen.

Host-Triage durchführen

1. Betroffene Hosts im Inventar finden.
2. Kommunikationspartner und Protokolle prüfen.
3. Artefakte und Credentials nur bei Relevanz vertiefen.
4. False-Positive-Hinweise nachvollziehbar festhalten.

IOCs ableiten

1. Hostnamen, IP-Adressen, Dateinamen und Zertifikatsmerkmale sammeln.
2. Zeitbezug und Herkunft jedes Indikators dokumentieren.
3. Technische Indikatoren von Vermutungen trennen.
4. Indikatoren für Folgeprüfungen priorisieren.

Übergabe vorbereiten

1. Befundlage knapp zusammenfassen.
2. Eskalationskriterien anwenden.
3. Nächste Prüfungen für Endpoint, Proxy, Firewall und Verzeichnisdienste formulieren.
4. Schichtübergabe mit offenen Punkten abschließen.

Praktische Übungen

• SOC-Alarm anhand eines PCAP-Ausschnitts validieren.
• IOC-Liste mit Belegstellen erstellen.
• Eskalationsnotiz für Level-2 oder Incident Response formulieren.

Arbeitsweise im Seminar

Die Inhalte werden mit kurzen fachlichen Einordnungen, Demonstrationen und praktischen Übungen am System vermittelt. Jede Übung folgt einem nachvollziehbaren Schema: Fragestellung klären, Datenbestand öffnen, relevante Spuren finden, Befund notieren und Plausibilität prüfen.