Seminar ASGARD Management Center – Intensivseminar Administration, Scanning und Incident Response

Das fünftägige Intensivseminar bündelt die administrativen, operativen und Incident-Response-orientierten Themen des ASGARD Management Center. Eine Laborplattform wird installiert, mit Agents bestückt, für skalierbare THOR-Scans konfiguriert und anschließend für Detection, Response, Evidence und Automation eingesetzt.

Inhaltsübersicht

• Lernziele und fachliche Einordnung
• Schrittweise Seminarinhalte
• Praxisübungen und Laborszenarien
• Zielgruppe und Voraussetzungen
• Didaktik und Arbeitsweise

Lernziele

• Eine produktionsnahe ASGARD-Plattform planen, installieren und härten.
• Agents und Assets plattformübergreifend ausrollen und verwalten.
• Scan Templates, Gruppen, Zeitpläne und Live Event Streaming sicher steuern.
• IOC-, Sigma-, Playbook- und Evidence-Prozesse operationalisieren.
• Governance, Betrieb, API und Multi-ASGARD-Steuerung in ein Betreiberhandbuch überführen.

Schrittweise Seminarinhalte

1. Architektur, Kapazität und Sicherheitszielbild

Schwerpunkt: Endpoint-Zahl, Scanlast, Response-Funktionen, Netze, Datenwege, Verfügbarkeit und Verantwortlichkeiten.

1. Ausgangslage, Schutzbedarf und Zielkriterien für den Themenblock „Architektur, Kapazität und Sicherheitszielbild“ erfassen.
2. Relevante Datenquellen, Objekte, Rollen und Abhängigkeiten anhand von Endpoint-Zahl, Scanlast, Response-Funktionen, Netze, Datenwege, Verfügbarkeit und Verantwortlichkeiten modellieren.
3. Die erforderliche Konfiguration, Analyse- oder Prozessfolge am Laborsystem schrittweise umsetzen.
4. Funktion, Berechtigungen, Protokollierung und Fehlerverhalten mit definierten Positiv- und Negativfällen prüfen.
5. Als Arbeitsergebnis ein vollständiges Architektur- und Betriebszielbild dokumentieren, fachlich abnehmen und in einen wiederholbaren Standard überführen.

2. Installation, Netzwerk und Härtung

Schwerpunkt: VM, Speicher, DNS, Ports, Proxy, TLS, Service, Lizenz, Updates und sichere Baseline.

1. Ausgangslage, Schutzbedarf und Zielkriterien für den Themenblock „Installation, Netzwerk und Härtung“ erfassen.
2. Relevante Datenquellen, Objekte, Rollen und Abhängigkeiten anhand von VM, Speicher, DNS, Ports, Proxy, TLS, Service, Lizenz, Updates und sichere Baseline modellieren.
3. Die erforderliche Konfiguration, Analyse- oder Prozessfolge am Laborsystem schrittweise umsetzen.
4. Funktion, Berechtigungen, Protokollierung und Fehlerverhalten mit definierten Positiv- und Negativfällen prüfen.
5. Als Arbeitsergebnis eine abgenommene Management-Center-Plattform dokumentieren, fachlich abnehmen und in einen wiederholbaren Standard überführen.

3. Agent Deployment und Asset-Onboarding

Schwerpunkt: Windows, Linux, macOS, AIX, Installer, SCCM, MDM, Asset Requests und Zertifikatsvertrauen.

1. Ausgangslage, Schutzbedarf und Zielkriterien für den Themenblock „Agent Deployment und Asset-Onboarding“ erfassen.
2. Relevante Datenquellen, Objekte, Rollen und Abhängigkeiten anhand von Windows, Linux, macOS, AIX, Installer, SCCM, MDM, Asset Requests und Zertifikatsvertrauen modellieren.
3. Die erforderliche Konfiguration, Analyse- oder Prozessfolge am Laborsystem schrittweise umsetzen.
4. Funktion, Berechtigungen, Protokollierung und Fehlerverhalten mit definierten Positiv- und Negativfällen prüfen.
5. Als Arbeitsergebnis einen plattformübergreifenden Rolloutstandard dokumentieren, fachlich abnehmen und in einen wiederholbaren Standard überführen.

4. Asset Management und Software Inventory

Schwerpunkt: Gruppen, Tags, Suche, Systeminformationen, Softwarebestand, Lebenszyklus und Datenqualität.

1. Ausgangslage, Schutzbedarf und Zielkriterien für den Themenblock „Asset Management und Software Inventory“ erfassen.
2. Relevante Datenquellen, Objekte, Rollen und Abhängigkeiten anhand von Gruppen, Tags, Suche, Systeminformationen, Softwarebestand, Lebenszyklus und Datenqualität modellieren.
3. Die erforderliche Konfiguration, Analyse- oder Prozessfolge am Laborsystem schrittweise umsetzen.
4. Funktion, Berechtigungen, Protokollierung und Fehlerverhalten mit definierten Positiv- und Negativfällen prüfen.
5. Als Arbeitsergebnis ein belastbares Asset- und Inventarmodell dokumentieren, fachlich abnehmen und in einen wiederholbaren Standard überführen.

5. Scan Control und Templates

Schwerpunkt: Einzel-, Gruppen- und geplante Scans, Parameter, Ressourcen, False-Positive-Filter und Versionen.

1. Ausgangslage, Schutzbedarf und Zielkriterien für den Themenblock „Scan Control und Templates“ erfassen.
2. Relevante Datenquellen, Objekte, Rollen und Abhängigkeiten anhand von Einzel-, Gruppen- und geplante Scans, Parameter, Ressourcen, False-Positive-Filter und Versionen modellieren.
3. Die erforderliche Konfiguration, Analyse- oder Prozessfolge am Laborsystem schrittweise umsetzen.
4. Funktion, Berechtigungen, Protokollierung und Fehlerverhalten mit definierten Positiv- und Negativfällen prüfen.
5. Als Arbeitsergebnis eine sichere Scan-Template-Bibliothek dokumentieren, fachlich abnehmen und in einen wiederholbaren Standard überführen.

6. Live Event Streaming und Ergebniswege

Schwerpunkt: Cockpit-Synchronisation, Echtzeitweitergabe, Syslog, Offline-Pakete, Abbruch und Wiederaufnahme.

1. Ausgangslage, Schutzbedarf und Zielkriterien für den Themenblock „Live Event Streaming und Ergebniswege“ erfassen.
2. Relevante Datenquellen, Objekte, Rollen und Abhängigkeiten anhand von Cockpit-Synchronisation, Echtzeitweitergabe, Syslog, Offline-Pakete, Abbruch und Wiederaufnahme modellieren.
3. Die erforderliche Konfiguration, Analyse- oder Prozessfolge am Laborsystem schrittweise umsetzen.
4. Funktion, Berechtigungen, Protokollierung und Fehlerverhalten mit definierten Positiv- und Negativfällen prüfen.
5. Als Arbeitsergebnis einen kontrollierten Scan- und Ergebnisprozess dokumentieren, fachlich abnehmen und in einen wiederholbaren Standard überführen.

7. IOC-, MISP- und Sigma-Management

Schwerpunkt: IOC-Gruppen, Rulesets, MISP, YARA, Sigma, Kompilierung, Tuning und Freigabe.

1. Ausgangslage, Schutzbedarf und Zielkriterien für den Themenblock „IOC-, MISP- und Sigma-Management“ erfassen.
2. Relevante Datenquellen, Objekte, Rollen und Abhängigkeiten anhand von IOC-Gruppen, Rulesets, MISP, YARA, Sigma, Kompilierung, Tuning und Freigabe modellieren.
3. Die erforderliche Konfiguration, Analyse- oder Prozessfolge am Laborsystem schrittweise umsetzen.
4. Funktion, Berechtigungen, Protokollierung und Fehlerverhalten mit definierten Positiv- und Negativfällen prüfen.
5. Als Arbeitsergebnis eine versionierte Detection-Management-Strecke dokumentieren, fachlich abnehmen und in einen wiederholbaren Standard überführen.

8. Response Playbooks und Remote Console

Schwerpunkt: vordefinierte und eigene Playbooks, Gruppenaktionen, Root- oder Systemzugriff, Aufzeichnung und Freigabe.

1. Ausgangslage, Schutzbedarf und Zielkriterien für den Themenblock „Response Playbooks und Remote Console“ erfassen.
2. Relevante Datenquellen, Objekte, Rollen und Abhängigkeiten anhand von vordefinierte und eigene Playbooks, Gruppenaktionen, Root- oder Systemzugriff, Aufzeichnung und Freigabe modellieren.
3. Die erforderliche Konfiguration, Analyse- oder Prozessfolge am Laborsystem schrittweise umsetzen.
4. Funktion, Berechtigungen, Protokollierung und Fehlerverhalten mit definierten Positiv- und Negativfällen prüfen.
5. Als Arbeitsergebnis einen revisionsfähigen Response-Prozess dokumentieren, fachlich abnehmen und in einen wiederholbaren Standard überführen.

9. Evidence Collection und forensische Übergabe

Schwerpunkt: Dateien, Verzeichnisse, Speicher, Triage-Pakete, verschlüsselte Archive, Integrität und Aufbewahrung.

1. Ausgangslage, Schutzbedarf und Zielkriterien für den Themenblock „Evidence Collection und forensische Übergabe“ erfassen.
2. Relevante Datenquellen, Objekte, Rollen und Abhängigkeiten anhand von Dateien, Verzeichnisse, Speicher, Triage-Pakete, verschlüsselte Archive, Integrität und Aufbewahrung modellieren.
3. Die erforderliche Konfiguration, Analyse- oder Prozessfolge am Laborsystem schrittweise umsetzen.
4. Funktion, Berechtigungen, Protokollierung und Fehlerverhalten mit definierten Positiv- und Negativfällen prüfen.
5. Als Arbeitsergebnis einen sicheren Evidence-Lifecycle dokumentieren, fachlich abnehmen und in einen wiederholbaren Standard überführen.

10. Benutzer, LDAP, 2FA und Audit

Schwerpunkt: Rollen, Rechte, Verzeichnisbindung, Mehrfaktorverfahren, API-Schlüssel, Rezertifizierung und Nachweise.

1. Ausgangslage, Schutzbedarf und Zielkriterien für den Themenblock „Benutzer, LDAP, 2FA und Audit“ erfassen.
2. Relevante Datenquellen, Objekte, Rollen und Abhängigkeiten anhand von Rollen, Rechte, Verzeichnisbindung, Mehrfaktorverfahren, API-Schlüssel, Rezertifizierung und Nachweise modellieren.
3. Die erforderliche Konfiguration, Analyse- oder Prozessfolge am Laborsystem schrittweise umsetzen.
4. Funktion, Berechtigungen, Protokollierung und Fehlerverhalten mit definierten Positiv- und Negativfällen prüfen.
5. Als Arbeitsergebnis ein belastbares Governance-Modell dokumentieren, fachlich abnehmen und in einen wiederholbaren Standard überführen.

11. Betrieb, Backup, Updates und Troubleshooting

Schwerpunkt: Health Checks, Version Pinning, Logs, Speicher, Restore, Agentfehler, Synchronisation und Upgrade.

1. Ausgangslage, Schutzbedarf und Zielkriterien für den Themenblock „Betrieb, Backup, Updates und Troubleshooting“ erfassen.
2. Relevante Datenquellen, Objekte, Rollen und Abhängigkeiten anhand von Health Checks, Version Pinning, Logs, Speicher, Restore, Agentfehler, Synchronisation und Upgrade modellieren.
3. Die erforderliche Konfiguration, Analyse- oder Prozessfolge am Laborsystem schrittweise umsetzen.
4. Funktion, Berechtigungen, Protokollierung und Fehlerverhalten mit definierten Positiv- und Negativfällen prüfen.
5. Als Arbeitsergebnis ein vollständiges Betriebs- und Diagnose-Runbook dokumentieren, fachlich abnehmen und in einen wiederholbaren Standard überführen.

12. API, Automation und Master ASGARD

Schwerpunkt: UUIDs, Scan- und Asset-API, Idempotenz, Secrets, zentrale Instanzsteuerung, Tests und Monitoring.

1. Ausgangslage, Schutzbedarf und Zielkriterien für den Themenblock „API, Automation und Master ASGARD“ erfassen.
2. Relevante Datenquellen, Objekte, Rollen und Abhängigkeiten anhand von UUIDs, Scan- und Asset-API, Idempotenz, Secrets, zentrale Instanzsteuerung, Tests und Monitoring modellieren.
3. Die erforderliche Konfiguration, Analyse- oder Prozessfolge am Laborsystem schrittweise umsetzen.
4. Funktion, Berechtigungen, Protokollierung und Fehlerverhalten mit definierten Positiv- und Negativfällen prüfen.
5. Als Arbeitsergebnis eine produktionsreife Automatisierungs- und Skalierungsarchitektur dokumentieren, fachlich abnehmen und in einen wiederholbaren Standard überführen.

Praxisübungen und Laborszenarien

• Installation und Härtung einer vollständigen ASGARD-Laborplattform.
• Rollout mehrerer Agents und Aufbau einer Asset- und Gruppenstruktur.
• Planung und Ausführung von Einzel-, Gruppen- und zeitgesteuerten THOR-Scans.
• Erstellung eines IOC-Rulesets und einer abgestimmten Sigma-Konfiguration.
• Durchführung eines Response- und Evidence-Szenarios mit Auditnachweisen.
• Automatisierung eines Scan- und Evidence-Workflows über die API.

Zielgruppe und Voraussetzungen

Zielgruppe: Lead-Administration, SOC Engineering, Incident Response, Endpoint Management, Security Automation und technische Projektleitung.

Voraussetzungen: Solide Kenntnisse in Netzwerken, TLS, Windows- oder Linux-Administration und Incident Response; THOR-Grundkenntnisse sind sehr empfehlenswert.

Didaktik und Arbeitsweise

Kurze Fachimpulse werden unmittelbar durch Demonstrationen, strukturierte Konfigurationsschritte, praktische Übungen und kontrollierte Fehlerfälle vertieft. Jede Übung verwendet definierte Ausgangswerte, Prüfpunkte und Dokumentationsanforderungen, damit die erarbeiteten Abläufe als Betriebsstandard wiederholbar bleiben.