Seminar Security Onion Blue Team Intensivseminar

Dieses Intensivseminar verdichtet die analystischen Security-Onion-Themen in einer fünftägigen Arbeitsstrecke. Behandelt werden Alarmbearbeitung, Hunt-Abfragen, Netzwerkmetadaten, Hostdaten, PCAP-Analyse, Fallbearbeitung, Erkennungslogik und nachvollziehbare Übergaben. Der Schwerpunkt liegt auf Handwerk: Befund lesen, Hypothese bilden, Daten prüfen, Entscheidung dokumentieren.

Inhaltsübersicht

• SOC-Konsole, Alerts, Hunt, Dashboards und Cases
• Netzwerk- und Hostdaten für die Analyse zusammenführen
• PCAP-, Zeek-, Suricata- und Strelka-Daten auswerten
• Detections prüfen, tunen und mit Arbeitsnotizen versehen
• Analyseketten als reproduzierbare SOC-Abläufe dokumentieren

Ziele

Nach dem Seminar können Analysten Security Onion im Blue-Team-Alltag nutzen, Alarme priorisieren, Datenquellen korrelieren, Fälle führen und Detektionsqualität fachlich beurteilen.

Zielgruppe

Das Intensivseminar richtet sich an SOC-Analysten, Incident Responder und Blue-Team-Mitglieder, die Security Onion als tägliche Arbeitsplattform für Erkennung, Analyse, Jagd und Fallbearbeitung einsetzen.

Seminarinhalte

1. Arbeitsplatz und Oberfläche beherrschen

1. SOC-Konsole, Suchbereiche und Analysewerkzeuge einordnen.
2. Zeitbereich, Filter, Spalten und Datenansichten für Untersuchungen vorbereiten.
3. Persönliche Arbeitsweise für wiederkehrende Untersuchungen standardisieren.

2. Alarmtriage durchführen

1. Alert-Kontext, Schweregrad, Quelle und Zielsystem prüfen.
2. Verdachtsmomente von reinen Umgebungsartefakten trennen.
3. Entscheidung für Verwerfen, Beobachten, Eskalieren oder Fallanlage dokumentieren.

3. Hunt-Hypothesen prüfen

1. Eine Hypothese aus Alarm, IOC, Protokollverhalten oder Anomalie ableiten.
2. Hunt-Abfragen schrittweise einschränken und Seiteneffekte erkennen.
3. Funde mit Zeek-, Suricata-, Host- und Logdaten zusammenführen.

4. Pakete und Dateien analysieren

1. PCAP-Kontext aus Alarmen und Sessions ableiten.
2. Nutzdaten, Protokollfolge und Dateiindikatoren methodisch prüfen.
3. Datei- und Metadatenbefunde in die Fallbearbeitung übernehmen.

5. Fälle und Detections verbinden

1. Cases mit Beobachtungen, Notizen und Artefakten strukturieren.
2. Detections prüfen, Ursachen für False Positives erkennen und Tuning ableiten.
3. Abschlussnotiz mit Befund, Bewertung und Folgeaufgaben erstellen.

Praxisübungen

• Mehrstufige Alarmtriage anhand synthetischer Ereignisse
• Hunt-Abfrage von Netzwerkereignis bis Hostbefund
• PCAP-Pivot aus einer auffälligen Verbindung
• Case mit Observables, Notizen und Abschlussbewertung
• Detection-Tuning auf Basis wiederholter Fehlalarme

Voraussetzungen

Erforderlich sind Grundlagen in IT-Sicherheit, Netzwerkprotokollen, Windows- und Linux-Ereignissen sowie ein Grundverständnis für Angriffsabläufe. Erfahrung im SOC ist hilfreich, aber nicht zwingend.