Seminar NordLayer Security Integrations mit SentinelOne, CrowdStrike und APIs

Dieses 2-tägige Seminar vermittelt Security-Integrationen mit SentinelOne, CrowdStrike, Custom Integrations und APIs mit NordLayer in einer durchgängigen, praxisnahen Referenzumgebung. Die Inhalte führen von der fachlichen Einordnung über Planung und Konfiguration bis zu Funktionsprüfung, Fehleranalyse und betrieblicher Dokumentation. Planabhängige Funktionen werden innerhalb der verfügbaren Übungsumgebung eingeordnet und mit geeigneten Alternativen beziehungsweise Einführungsschritten bewertet.

Inhaltsübersicht

• Lernziele
• Zielgruppe und Voraussetzungen
• Seminarinhalte nach Trainingstag
• Praxisübungen
• Methodik

Lernziele

Nach Abschluss des Seminars können folgende Aufgaben methodisch und nachvollziehbar durchgeführt werden:

• Eine sichere Integrationsarchitektur für Endpoint- und Security-Systeme entwerfen
• SentinelOne- oder CrowdStrike-Anbindungen methodisch konfigurieren und testen
• Custom Integrations für automatisierte Sicherheitsreaktionen planen
• Schlüssel, Berechtigungen und Fehlerfälle sicher beherrschen
• Automatisierte Sperr- und Wiederfreigabeprozesse nachvollziehbar dokumentieren

Zielgruppe und Voraussetzungen

Zielgruppe: Security Operations, Endpoint-Security-Administratoren, Integrationsentwickler, SOAR- und SIEM-Verantwortliche sowie technische Incident-Response-Teams.

Voraussetzungen: Kenntnisse zu Endpoint Detection and Response, API-Grundlagen, Webhooks oder Automatisierung sowie Incident-Response-Prozessen; geeignete Testzugänge zu beteiligten Systemen.

Seminarinhalte

Jeder Themenblock wird zunächst anhand des Sollzustands vorbereitet, anschließend in der Übungsumgebung umgesetzt und zum Abschluss mit festgelegten Prüffällen kontrolliert.

Tag 1: Integrationsarchitektur und Endpoint-Security

1. Schritt 1: Integrationsziele, Ereignisquellen, Reaktionen und Verantwortlichkeiten festlegen

   Aus den fachlichen und technischen Anforderungen wird für diesen Arbeitsschritt ein überprüfbarer Sollzustand abgeleitet. Abhängigkeiten, Verantwortlichkeiten, Sicherheitswirkung und spätere Abnahmekriterien für Security-Integrationen mit SentinelOne, CrowdStrike, Custom Integrations und APIs werden dabei in einer Arbeitsvorlage festgehalten.

2. Schritt 2: Datenflüsse und Vertrauensgrenzen zwischen NordLayer und Sicherheitssystemen modellieren

   Aus den fachlichen und technischen Anforderungen wird für diesen Arbeitsschritt ein überprüfbarer Sollzustand abgeleitet. Abhängigkeiten, Verantwortlichkeiten, Sicherheitswirkung und spätere Abnahmekriterien für Security-Integrationen mit SentinelOne, CrowdStrike, Custom Integrations und APIs werden dabei in einer Arbeitsvorlage festgehalten.

3. Schritt 3: Anbindung an SentinelOne oder CrowdStrike hinsichtlich Voraussetzungen und Berechtigungen planen

   Aus den fachlichen und technischen Anforderungen wird für diesen Arbeitsschritt ein überprüfbarer Sollzustand abgeleitet. Abhängigkeiten, Verantwortlichkeiten, Sicherheitswirkung und spätere Abnahmekriterien für Security-Integrationen mit SentinelOne, CrowdStrike, Custom Integrations und APIs werden dabei in einer Arbeitsvorlage festgehalten.

4. Schritt 4: Geräte- und Identitätsbezug für sicherheitsrelevante Entscheidungen prüfen

   Für die Prüfung werden Sollzustand, Testdaten, positive Funktionsfälle und mindestens ein negativer Sicherheitsfall definiert. Die Beobachtungen werden so protokolliert, dass Abweichungen reproduzierbar und die Freigabeentscheidung nachvollziehbar bleiben.

5. Schritt 5: Testereignisse, erwartete Statusänderungen und Abnahmekriterien definieren

   Für die Prüfung werden Sollzustand, Testdaten, positive Funktionsfälle und mindestens ein negativer Sicherheitsfall definiert. Die Beobachtungen werden so protokolliert, dass Abweichungen reproduzierbar und die Freigabeentscheidung nachvollziehbar bleiben.

6. Schritt 6: Fehler durch Berechtigungen, Kennungen, Zeitbezug und nicht passende Gerätezuordnung analysieren

   Die Konfiguration wird in der Übungsumgebung schrittweise mit eindeutiger Benennung und minimal erforderlichen Berechtigungen umgesetzt. Jede Änderung wird vor der Freigabe gegen den Ausgangszustand geprüft und mit einer Rückfalloption dokumentiert.

7. Schritt 7: Integration mit minimalen Rechten und dokumentiertem Rückfallverfahren abnehmen

   Für die Prüfung werden Sollzustand, Testdaten, positive Funktionsfälle und mindestens ein negativer Sicherheitsfall definiert. Die Beobachtungen werden so protokolliert, dass Abweichungen reproduzierbar und die Freigabeentscheidung nachvollziehbar bleiben.

Tag 2: Automatisierte Reaktion und Custom Integrations

1. Schritt 8: Custom Integrations für SIEM-, SOAR-, XDR- oder E-Mail-Security-Signale konzipieren

   Der Themenbereich wird anhand einer realistischen Referenzumgebung für Security-Integrationen mit SentinelOne, CrowdStrike, Custom Integrations und APIs bearbeitet. Konfiguration, Sicherheitswirkung, typische Fehlannahmen und geeignete Prüfschritte werden miteinander verknüpft und dokumentiert.

2. Schritt 9: API- oder ereignisgesteuerte Trennung riskanter Benutzer und Sitzungen modellieren

   Aus den fachlichen und technischen Anforderungen wird für diesen Arbeitsschritt ein überprüfbarer Sollzustand abgeleitet. Abhängigkeiten, Verantwortlichkeiten, Sicherheitswirkung und spätere Abnahmekriterien für Security-Integrationen mit SentinelOne, CrowdStrike, Custom Integrations und APIs werden dabei in einer Arbeitsvorlage festgehalten.

3. Schritt 10: Anmeldedaten, Schlüssel und Geheimnisse sicher erzeugen, speichern und rotieren

   Der Themenbereich wird anhand einer realistischen Referenzumgebung für Security-Integrationen mit SentinelOne, CrowdStrike, Custom Integrations und APIs bearbeitet. Konfiguration, Sicherheitswirkung, typische Fehlannahmen und geeignete Prüfschritte werden miteinander verknüpft und dokumentiert.

4. Schritt 11: Idempotenz, Fehlerbehandlung, Wiederholungen und Schutz vor Fehlreaktionen berücksichtigen

   Der Themenbereich wird anhand einer realistischen Referenzumgebung für Security-Integrationen mit SentinelOne, CrowdStrike, Custom Integrations und APIs bearbeitet. Konfiguration, Sicherheitswirkung, typische Fehlannahmen und geeignete Prüfschritte werden miteinander verknüpft und dokumentiert.

5. Schritt 12: Sperrung, Credential-Widerruf und kontrollierte Wiederfreigabe als Ablauf testen

   Für die Prüfung werden Sollzustand, Testdaten, positive Funktionsfälle und mindestens ein negativer Sicherheitsfall definiert. Die Beobachtungen werden so protokolliert, dass Abweichungen reproduzierbar und die Freigabeentscheidung nachvollziehbar bleiben.

6. Schritt 13: Protokollierung, Korrelation und Nachweis der automatisierten Maßnahmen sicherstellen

   Die Konfiguration wird in der Übungsumgebung schrittweise mit eindeutiger Benennung und minimal erforderlichen Berechtigungen umgesetzt. Jede Änderung wird vor der Freigabe gegen den Ausgangszustand geprüft und mit einer Rückfalloption dokumentiert.

7. Schritt 14: Betriebsüberwachung, Versionspflege und regelmäßige Integrationstests etablieren

   Für die Prüfung werden Sollzustand, Testdaten, positive Funktionsfälle und mindestens ein negativer Sicherheitsfall definiert. Die Beobachtungen werden so protokolliert, dass Abweichungen reproduzierbar und die Freigabeentscheidung nachvollziehbar bleiben.

Praxisübungen

Die Übungen bilden typische Projekt- und Betriebssituationen ab und werden mit Prüfschritten sowie dokumentierten Sollzuständen abgeschlossen.

• Entwurf eines Datenfluss- und Berechtigungsmodells für eine EDR-Anbindung
• Definition und Auswertung eines simulierten Endpoint-Risikoereignisses
• Modellierung einer Custom Integration für Trennung und Credential-Widerruf
• Durchführung eines End-to-End-Tests mit Fehlerfall, Wiederholung und kontrollierter Wiederfreigabe

Methodik

Die Durchführung kombiniert fachliche Einordnung, Live-Demonstration, angeleitete Konfiguration, eigenständige Übung, Positiv- und Negativtests sowie strukturierte Fehleranalyse. Für jeden größeren Konfigurationsblock entstehen eine kurze Arbeitsanweisung, ein Prüfprotokoll und ein Eintrag für die spätere Betriebsdokumentation.