Seminar Nextron THOR – Intensivseminar Scanning, Detection Engineering und Forensik

Das fünftägige Intensivseminar bündelt alle THOR-Themen zu einem vollständigen Anwender-, Analysten- und Detection-Engineering-Pfad. Von der sicheren Vorbereitung über Live- und Lab-Scans bis zu eigenen Signaturen, Ergebnisbewertung, Deployment und Fehlerdiagnose entsteht ein wiederholbarer Gesamtprozess.

Inhaltsübersicht

• Lernziele und fachliche Einordnung
• Schrittweise Seminarinhalte
• Praxisübungen und Laborszenarien
• Zielgruppe und Voraussetzungen
• Didaktik und Arbeitsweise

Lernziele

• THOR passend zu Plattform, Use Case und Risikolage auswählen und vorbereiten.
• Live-, Spezial- und Labor-Scans kontrolliert konfigurieren und ausführen.
• Ergebnisse, Scores und Kontext systematisch bewerten.
• YARA-, Sigma- und IOC-Inhalte entwickeln, testen und bereitstellen.
• Deployment, THOR Util, Performance und Troubleshooting operationalisieren.

Schrittweise Seminarinhalte

1. Architektur, Editionen und Einsatzmodelle

Schwerpunkt: THOR, Lite, Forensic Lab, Legacy, Plattformen, Scannerarchitektur, ASGARD und Cloud.

1. Ausgangslage, Schutzbedarf und Zielkriterien für den Themenblock „Architektur, Editionen und Einsatzmodelle“ erfassen.
2. Relevante Datenquellen, Objekte, Rollen und Abhängigkeiten anhand von THOR, Lite, Forensic Lab, Legacy, Plattformen, Scannerarchitektur, ASGARD und Cloud modellieren.
3. Die erforderliche Konfiguration, Analyse- oder Prozessfolge am Laborsystem schrittweise umsetzen.
4. Funktion, Berechtigungen, Protokollierung und Fehlerverhalten mit definierten Positiv- und Negativfällen prüfen.
5. Als Arbeitsergebnis eine vollständige Produkt- und Einsatzmatrix dokumentieren, fachlich abnehmen und in einen wiederholbaren Standard überführen.

2. Sichere Vorbereitung und Versionierung

Schwerpunkt: Lizenz, Updates, Signaturen, Architekturwahl, EDR-Ausnahmen, Privilegien, Integritätsprüfung und Migrationspfad.

1. Ausgangslage, Schutzbedarf und Zielkriterien für den Themenblock „Sichere Vorbereitung und Versionierung“ erfassen.
2. Relevante Datenquellen, Objekte, Rollen und Abhängigkeiten anhand von Lizenz, Updates, Signaturen, Architekturwahl, EDR-Ausnahmen, Privilegien, Integritätsprüfung und Migrationspfad modellieren.
3. Die erforderliche Konfiguration, Analyse- oder Prozessfolge am Laborsystem schrittweise umsetzen.
4. Funktion, Berechtigungen, Protokollierung und Fehlerverhalten mit definierten Positiv- und Negativfällen prüfen.
5. Als Arbeitsergebnis eine geprüfte Scanvorbereitung dokumentieren, fachlich abnehmen und in einen wiederholbaren Standard überführen.

3. Quick Start und Scanparameter

Schwerpunkt: Ziele, Module, Features, häufige Parameter, riskante Flags, Beispiele und Abnahmekriterien.

1. Ausgangslage, Schutzbedarf und Zielkriterien für den Themenblock „Quick Start und Scanparameter“ erfassen.
2. Relevante Datenquellen, Objekte, Rollen und Abhängigkeiten anhand von Ziele, Module, Features, häufige Parameter, riskante Flags, Beispiele und Abnahmekriterien modellieren.
3. Die erforderliche Konfiguration, Analyse- oder Prozessfolge am Laborsystem schrittweise umsetzen.
4. Funktion, Berechtigungen, Protokollierung und Fehlerverhalten mit definierten Positiv- und Negativfällen prüfen.
5. Als Arbeitsergebnis einen sicheren Standard-Scanablauf dokumentieren, fachlich abnehmen und in einen wiederholbaren Standard überführen.

4. Scanmodi und Ressourcensteuerung

Schwerpunkt: Module, Features, Multithreading, CPU-Limit, Dateigrößen, Ausschlüsse, Archive und Systemlast.

1. Ausgangslage, Schutzbedarf und Zielkriterien für den Themenblock „Scanmodi und Ressourcensteuerung“ erfassen.
2. Relevante Datenquellen, Objekte, Rollen und Abhängigkeiten anhand von Module, Features, Multithreading, CPU-Limit, Dateigrößen, Ausschlüsse, Archive und Systemlast modellieren.
3. Die erforderliche Konfiguration, Analyse- oder Prozessfolge am Laborsystem schrittweise umsetzen.
4. Funktion, Berechtigungen, Protokollierung und Fehlerverhalten mit definierten Positiv- und Negativfällen prüfen.
5. Als Arbeitsergebnis eine abgestimmte Performance- und Abdeckungsstrategie dokumentieren, fachlich abnehmen und in einen wiederholbaren Standard überführen.

5. Spezialmodi und Forensic Lab

Schwerpunkt: Lab, Lookback, Drop Zone, Image, DeepDive, Eventlog, MFT, Speicherabbilder und Evidenzschutz.

1. Ausgangslage, Schutzbedarf und Zielkriterien für den Themenblock „Spezialmodi und Forensic Lab“ erfassen.
2. Relevante Datenquellen, Objekte, Rollen und Abhängigkeiten anhand von Lab, Lookback, Drop Zone, Image, DeepDive, Eventlog, MFT, Speicherabbilder und Evidenzschutz modellieren.
3. Die erforderliche Konfiguration, Analyse- oder Prozessfolge am Laborsystem schrittweise umsetzen.
4. Funktion, Berechtigungen, Protokollierung und Fehlerverhalten mit definierten Positiv- und Negativfällen prüfen.
5. Als Arbeitsergebnis einen vollständigen Spezialscan- und Laborprozess dokumentieren, fachlich abnehmen und in einen wiederholbaren Standard überführen.

6. Ausgabe, Scoring und Analyse

Schwerpunkt: Schweregrade, Gründe, Scores, JSON, Syslog, verschlüsselte Logs, Reports, Cockpit und SIEM.

1. Ausgangslage, Schutzbedarf und Zielkriterien für den Themenblock „Ausgabe, Scoring und Analyse“ erfassen.
2. Relevante Datenquellen, Objekte, Rollen und Abhängigkeiten anhand von Schweregrade, Gründe, Scores, JSON, Syslog, verschlüsselte Logs, Reports, Cockpit und SIEM modellieren.
3. Die erforderliche Konfiguration, Analyse- oder Prozessfolge am Laborsystem schrittweise umsetzen.
4. Funktion, Berechtigungen, Protokollierung und Fehlerverhalten mit definierten Positiv- und Negativfällen prüfen.
5. Als Arbeitsergebnis eine dokumentierte Analyse- und Übergabemethodik dokumentieren, fachlich abnehmen und in einen wiederholbaren Standard überführen.

7. Einfache IOCs

Schwerpunkt: Hashes, Dateinamen, C2, Keywords, Handles, Pipes, Scores, Kommentare und False Positives.

1. Ausgangslage, Schutzbedarf und Zielkriterien für den Themenblock „Einfache IOCs“ erfassen.
2. Relevante Datenquellen, Objekte, Rollen und Abhängigkeiten anhand von Hashes, Dateinamen, C2, Keywords, Handles, Pipes, Scores, Kommentare und False Positives modellieren.
3. Die erforderliche Konfiguration, Analyse- oder Prozessfolge am Laborsystem schrittweise umsetzen.
4. Funktion, Berechtigungen, Protokollierung und Fehlerverhalten mit definierten Positiv- und Negativfällen prüfen.
5. Als Arbeitsergebnis einen geprüften IOC-Satz dokumentieren, fachlich abnehmen und in einen wiederholbaren Standard überführen.

8. Sigma Detection Engineering

Schwerpunkt: Logsource, Detection, Condition, Schweregrade, Testevents, Tuning und Eventlog-Analyse.

1. Ausgangslage, Schutzbedarf und Zielkriterien für den Themenblock „Sigma Detection Engineering“ erfassen.
2. Relevante Datenquellen, Objekte, Rollen und Abhängigkeiten anhand von Logsource, Detection, Condition, Schweregrade, Testevents, Tuning und Eventlog-Analyse modellieren.
3. Die erforderliche Konfiguration, Analyse- oder Prozessfolge am Laborsystem schrittweise umsetzen.
4. Funktion, Berechtigungen, Protokollierung und Fehlerverhalten mit definierten Positiv- und Negativfällen prüfen.
5. Als Arbeitsergebnis einen validierten Sigma-Regelsatz dokumentieren, fachlich abnehmen und in einen wiederholbaren Standard überführen.

9. YARA Detection Engineering

Schwerpunkt: generische und spezifische Regeln, THOR-Attribute, Scoring, Performance, Bulk Scanning und Restriktionen.

1. Ausgangslage, Schutzbedarf und Zielkriterien für den Themenblock „YARA Detection Engineering“ erfassen.
2. Relevante Datenquellen, Objekte, Rollen und Abhängigkeiten anhand von generische und spezifische Regeln, THOR-Attribute, Scoring, Performance, Bulk Scanning und Restriktionen modellieren.
3. Die erforderliche Konfiguration, Analyse- oder Prozessfolge am Laborsystem schrittweise umsetzen.
4. Funktion, Berechtigungen, Protokollierung und Fehlerverhalten mit definierten Positiv- und Negativfällen prüfen.
5. Als Arbeitsergebnis eine THOR-optimierte YARA-Regelbibliothek dokumentieren, fachlich abnehmen und in einen wiederholbaren Standard überführen.

10. THOR Util und Paketwerkzeuge

Schwerpunkt: Update, Download, Installation, Verschlüsselung, Verify, Report, Decrypt, Logconvert, Diagnostics und YARA Forge.

1. Ausgangslage, Schutzbedarf und Zielkriterien für den Themenblock „THOR Util und Paketwerkzeuge“ erfassen.
2. Relevante Datenquellen, Objekte, Rollen und Abhängigkeiten anhand von Update, Download, Installation, Verschlüsselung, Verify, Report, Decrypt, Logconvert, Diagnostics und YARA Forge modellieren.
3. Die erforderliche Konfiguration, Analyse- oder Prozessfolge am Laborsystem schrittweise umsetzen.
4. Funktion, Berechtigungen, Protokollierung und Fehlerverhalten mit definierten Positiv- und Negativfällen prüfen.
5. Als Arbeitsergebnis einen vollständigen Werkzeug- und Reportingprozess dokumentieren, fachlich abnehmen und in einen wiederholbaren Standard überführen.

11. Deployment und Automatisierung

Schwerpunkt: Netzwerkfreigabe, ASGARD, Ansible, Remote, Thunderstorm, Offline-Netze, Ergebnisrückführung und Cleanup.

1. Ausgangslage, Schutzbedarf und Zielkriterien für den Themenblock „Deployment und Automatisierung“ erfassen.
2. Relevante Datenquellen, Objekte, Rollen und Abhängigkeiten anhand von Netzwerkfreigabe, ASGARD, Ansible, Remote, Thunderstorm, Offline-Netze, Ergebnisrückführung und Cleanup modellieren.
3. Die erforderliche Konfiguration, Analyse- oder Prozessfolge am Laborsystem schrittweise umsetzen.
4. Funktion, Berechtigungen, Protokollierung und Fehlerverhalten mit definierten Positiv- und Negativfällen prüfen.
5. Als Arbeitsergebnis eine skalierbare Deployment-Architektur dokumentieren, fachlich abnehmen und in einen wiederholbaren Standard überführen.

12. Debugging, Qualitätskontrolle und Betriebsübergabe

Schwerpunkt: Diagnostics Pack, Bottlenecks, fehlende Alerts, eingefrorene Scans, fehlgeschlagene Scans, Kennzahlen und Runbooks.

1. Ausgangslage, Schutzbedarf und Zielkriterien für den Themenblock „Debugging, Qualitätskontrolle und Betriebsübergabe“ erfassen.
2. Relevante Datenquellen, Objekte, Rollen und Abhängigkeiten anhand von Diagnostics Pack, Bottlenecks, fehlende Alerts, eingefrorene Scans, fehlgeschlagene Scans, Kennzahlen und Runbooks modellieren.
3. Die erforderliche Konfiguration, Analyse- oder Prozessfolge am Laborsystem schrittweise umsetzen.
4. Funktion, Berechtigungen, Protokollierung und Fehlerverhalten mit definierten Positiv- und Negativfällen prüfen.
5. Als Arbeitsergebnis ein integriertes THOR-Betriebs- und Diagnosehandbuch dokumentieren, fachlich abnehmen und in einen wiederholbaren Standard überführen.

Praxisübungen und Laborszenarien

• Durchführung mehrerer Live- und Spezialscans mit kontrollierter Ressourcenlast.
• Analyse und Priorisierung eines umfangreichen THOR-Ergebnisdatensatzes.
• Entwicklung und Test eigener IOC-, Sigma- und YARA-Inhalte.
• Forensische Untersuchung eines Datenträger- und Speicherabbilds.
• Aufbau eines automatisierten Deployment- und Reporting-Workflows.
• Diagnose vorbereiteter Performance-, Signatur- und Scanfehler.

Zielgruppe und Voraussetzungen

Zielgruppe: THOR Power User, SOC, Threat Hunting, DFIR, Detection Engineering, Incident Response und Security Operations.

Voraussetzungen: Gute Windows- oder Linux-Kenntnisse, Grundverständnis von Malware-Indikatoren und Incident Response; erste THOR-Erfahrung ist hilfreich.

Didaktik und Arbeitsweise

Kurze Fachimpulse werden unmittelbar durch Demonstrationen, strukturierte Konfigurationsschritte, praktische Übungen und kontrollierte Fehlerfälle vertieft. Jede Übung verwendet definierte Ausgangswerte, Prüfpunkte und Dokumentationsanforderungen, damit die erarbeiteten Abläufe als Betriebsstandard wiederholbar bleiben.