Seminar One Identity Safeguard for Privileged Analytics: Bedrohungsanalyse

Privilegierte Sitzungen erzeugen wertvolle Signale, aber erst eine belastbare Auswertung macht ungewöhnliches Verhalten sichtbar. Das Seminar zeigt, wie Analysefunktionen geplant, mit geeigneten Audit-Daten versorgt und ohne blinden Alarmismus betrieben werden.

Zielsetzung

Die Teilnehmenden richten die Analysegrundlagen ein, bewerten auffällige Benutzer- und Sitzungsmuster und entwickeln einen reproduzierbaren Ablauf von der Erkennung bis zur dokumentierten Untersuchung.

Zielgruppe

SOC-Analysten, PAM-Administratoren, Incident-Responder, IT-Sicherheitsbeauftragte, Revisoren und Betreiber von Safeguard for Privileged Sessions.

Voraussetzungen

Grundkenntnisse zu PAM und Sitzungsaufzeichnung. Für vertiefte Übungen werden Kenntnisse der SPS-Suche und der administrierten Protokolle empfohlen.

Seminarinhalte

Daten- und Architekturmodell

• Zusammenspiel von SPS, Audit-Trails, Indexierung und Analysekomponente nachvollziehen.
• Lizenz-, Ressourcen- und Sizing-Anforderungen anhand von Benutzern, Sitzungen und Protokollen bewerten.
• Datenqualität, Aufbewahrung und technische Grenzen vor der Aktivierung prüfen.

Aktivierung und Grundkonfiguration

• Analysefunktionen kontrolliert aktivieren und den Zustand beteiligter Dienste überprüfen.
• Relevante Datenquellen und Indexierungsparameter auf die Untersuchungsziele abstimmen.
• Rollen und Leserechte nach dem Need-to-know-Prinzip trennen.

Verhaltens- und Risikoanalyse

• Abweichungen von üblichen Benutzer- und Sitzungsmustern fachlich einordnen.
• Risikohinweise priorisieren und zwischen technischem Sonderfall, Fehlkonfiguration und möglichem Missbrauch unterscheiden.
• Kontext aus Zielsystem, Zeitpunkt, Protokoll, Benutzer und ausgeführten Aktivitäten zusammenführen.

Untersuchungsabläufe

• Von einer Auffälligkeit gezielt zu Sitzungsdetails, Suchergebnissen und Audit-Trail navigieren.
• Hypothesen bilden, Suchschritte dokumentieren und Befunde reproduzierbar sichern.
• Eskalationskriterien für PAM-Betrieb, SOC, Incident Response und Fachverantwortliche definieren.

Betrieb und Qualitätssicherung

• Fehlalarme über einen geregelten Verbesserungsprozess reduzieren, ohne relevante Signale zu unterdrücken.
• Kapazität, Indexierungszustand, Datenlücken und Zeitbezug regelmäßig kontrollieren.
• Datenschutz, Vier-Augen-Prinzip und revisionssichere Behandlung sensibler Sitzungsdaten berücksichtigen.

Praxis und Übungen

Im Labor werden vorbereitete Sitzungen analysiert, Risikohinweise priorisiert, Suchpfade dokumentiert und ein vollständiger Untersuchungsfall mit technischer Eskalation bearbeitet.