Seminar ASGARD Analysis Cockpit – Analyse, Suche und Ereignisbewertung

Das Seminar entwickelt einen reproduzierbaren Analyseprozess vom eingehenden THOR-Ereignis bis zur priorisierten Untersuchungsentscheidung. Suchsprache, Filter, Score, Zeitinformation und technischer Kontext werden so kombiniert, dass große Ergebnismengen systematisch reduziert werden.

Inhaltsübersicht

• Lernziele und fachliche Einordnung
• Schrittweise Seminarinhalte
• Praxisübungen und Laborszenarien
• Zielgruppe und Voraussetzungen
• Didaktik und Arbeitsweise

Lernziele

• Ereignistypen, Scores und technische Gründe korrekt interpretieren.
• AQL- und Schnellfilter für präzise Untersuchungsfragen einsetzen.
• Zeit-, Host-, Benutzer-, Hash- und Regelkontext miteinander korrelieren.
• False Positives von untersuchungswürdigen Befunden trennen.
• Triage-Entscheidungen nachvollziehbar dokumentieren und eskalieren.

Schrittweise Seminarinhalte

1. Ereignismodell und Bewertungslogik

Schwerpunkt: THOR-Events, Sigma-Matches, Schweregrade, Scores, Gründe, Zeitfelder und Asset-Kontext.

1. Ausgangslage, Schutzbedarf und Zielkriterien für den Themenblock „Ereignismodell und Bewertungslogik“ erfassen.
2. Relevante Datenquellen, Objekte, Rollen und Abhängigkeiten anhand von THOR-Events, Sigma-Matches, Schweregrade, Scores, Gründe, Zeitfelder und Asset-Kontext modellieren.
3. Die erforderliche Konfiguration, Analyse- oder Prozessfolge am Laborsystem schrittweise umsetzen.
4. Funktion, Berechtigungen, Protokollierung und Fehlerverhalten mit definierten Positiv- und Negativfällen prüfen.
5. Als Arbeitsergebnis ein einheitliches Ereignis- und Bewertungsmodell dokumentieren, fachlich abnehmen und in einen wiederholbaren Standard überführen.

2. Arbeitsansichten und Schnellfilter

Schwerpunkt: Spalten, Ansichten, Wertvervollständigung, FilterBar, gespeicherte Sichten und Export.

1. Ausgangslage, Schutzbedarf und Zielkriterien für den Themenblock „Arbeitsansichten und Schnellfilter“ erfassen.
2. Relevante Datenquellen, Objekte, Rollen und Abhängigkeiten anhand von Spalten, Ansichten, Wertvervollständigung, FilterBar, gespeicherte Sichten und Export modellieren.
3. Die erforderliche Konfiguration, Analyse- oder Prozessfolge am Laborsystem schrittweise umsetzen.
4. Funktion, Berechtigungen, Protokollierung und Fehlerverhalten mit definierten Positiv- und Negativfällen prüfen.
5. Als Arbeitsergebnis eine rollenbezogene Analyseansicht dokumentieren, fachlich abnehmen und in einen wiederholbaren Standard überführen.

3. AQL-Grundlagen

Schwerpunkt: Felder, Operatoren, Klammerung, Wertebereiche, Kombinationen und Fehlerbehandlung.

1. Ausgangslage, Schutzbedarf und Zielkriterien für den Themenblock „AQL-Grundlagen“ erfassen.
2. Relevante Datenquellen, Objekte, Rollen und Abhängigkeiten anhand von Felder, Operatoren, Klammerung, Wertebereiche, Kombinationen und Fehlerbehandlung modellieren.
3. Die erforderliche Konfiguration, Analyse- oder Prozessfolge am Laborsystem schrittweise umsetzen.
4. Funktion, Berechtigungen, Protokollierung und Fehlerverhalten mit definierten Positiv- und Negativfällen prüfen.
5. Als Arbeitsergebnis einen geprüften AQL-Abfragekatalog dokumentieren, fachlich abnehmen und in einen wiederholbaren Standard überführen.

4. Zeit- und Score-basierte Priorisierung

Schwerpunkt: THOR-Zeitinformationen, relative Zeiträume, Score-Schwellen, Trends und Dringlichkeit.

1. Ausgangslage, Schutzbedarf und Zielkriterien für den Themenblock „Zeit- und Score-basierte Priorisierung“ erfassen.
2. Relevante Datenquellen, Objekte, Rollen und Abhängigkeiten anhand von THOR-Zeitinformationen, relative Zeiträume, Score-Schwellen, Trends und Dringlichkeit modellieren.
3. Die erforderliche Konfiguration, Analyse- oder Prozessfolge am Laborsystem schrittweise umsetzen.
4. Funktion, Berechtigungen, Protokollierung und Fehlerverhalten mit definierten Positiv- und Negativfällen prüfen.
5. Als Arbeitsergebnis eine belastbare Priorisierungslogik dokumentieren, fachlich abnehmen und in einen wiederholbaren Standard überführen.

5. Pivoting und Kontextbildung

Schwerpunkt: Host, Benutzer, Pfad, Hash, Signatur, Prozess, Netzwerkbezug und verwandte Ereignisse.

1. Ausgangslage, Schutzbedarf und Zielkriterien für den Themenblock „Pivoting und Kontextbildung“ erfassen.
2. Relevante Datenquellen, Objekte, Rollen und Abhängigkeiten anhand von Host, Benutzer, Pfad, Hash, Signatur, Prozess, Netzwerkbezug und verwandte Ereignisse modellieren.
3. Die erforderliche Konfiguration, Analyse- oder Prozessfolge am Laborsystem schrittweise umsetzen.
4. Funktion, Berechtigungen, Protokollierung und Fehlerverhalten mit definierten Positiv- und Negativfällen prüfen.
5. Als Arbeitsergebnis einen wiederholbaren Pivot- und Kontextprozess dokumentieren, fachlich abnehmen und in einen wiederholbaren Standard überführen.

6. Triage und Untersuchungsentscheidung

Schwerpunkt: Plausibilität, Umgebungswissen, Gegenprüfungen, Evidenzbedarf, Eskalation und Case-Kriterien.

1. Ausgangslage, Schutzbedarf und Zielkriterien für den Themenblock „Triage und Untersuchungsentscheidung“ erfassen.
2. Relevante Datenquellen, Objekte, Rollen und Abhängigkeiten anhand von Plausibilität, Umgebungswissen, Gegenprüfungen, Evidenzbedarf, Eskalation und Case-Kriterien modellieren.
3. Die erforderliche Konfiguration, Analyse- oder Prozessfolge am Laborsystem schrittweise umsetzen.
4. Funktion, Berechtigungen, Protokollierung und Fehlerverhalten mit definierten Positiv- und Negativfällen prüfen.
5. Als Arbeitsergebnis eine dokumentierte Triage-Entscheidungsmatrix dokumentieren, fachlich abnehmen und in einen wiederholbaren Standard überführen.

7. Untersuchungsnotizen und Qualitätssicherung

Schwerpunkt: Hypothesen, Suchverlauf, Begründung, Peer Review, Rückfragen und Übergabe.

1. Ausgangslage, Schutzbedarf und Zielkriterien für den Themenblock „Untersuchungsnotizen und Qualitätssicherung“ erfassen.
2. Relevante Datenquellen, Objekte, Rollen und Abhängigkeiten anhand von Hypothesen, Suchverlauf, Begründung, Peer Review, Rückfragen und Übergabe modellieren.
3. Die erforderliche Konfiguration, Analyse- oder Prozessfolge am Laborsystem schrittweise umsetzen.
4. Funktion, Berechtigungen, Protokollierung und Fehlerverhalten mit definierten Positiv- und Negativfällen prüfen.
5. Als Arbeitsergebnis ein prüfbares Analyseprotokoll dokumentieren, fachlich abnehmen und in einen wiederholbaren Standard überführen.

Praxisübungen und Laborszenarien

• Aufbau mehrstufiger AQL-Abfragen für aktuelle Hochscore-Ereignisse.
• Triage eines gemischten Datensatzes aus echten Befunden und erwartbarem Rauschen.
• Erstellung eines dokumentierten Analysepfads mit Pivoting und Eskalationsentscheidung.

Zielgruppe und Voraussetzungen

Zielgruppe: SOC-Analysten, Threat Hunter, Incident Responder, Forensiker und technische Sicherheitsanalysten.

Voraussetzungen: Grundverständnis von THOR-Ergebnissen, Windows- oder Linux-Artefakten, Sigma und typischen Incident-Response-Abläufen.

Didaktik und Arbeitsweise

Kurze Fachimpulse werden unmittelbar durch Demonstrationen, strukturierte Konfigurationsschritte, praktische Übungen und kontrollierte Fehlerfälle vertieft. Jede Übung verwendet definierte Ausgangswerte, Prüfpunkte und Dokumentationsanforderungen, damit die erarbeiteten Abläufe als Betriebsstandard wiederholbar bleiben.