Seminar Security Onion SOC-Plattform Intensivseminar

Dieses fünftägige Intensivseminar fasst die wesentlichen Security-Onion-Seminare in einer kompakten Gesamtstrecke zusammen. Es behandelt Architektur, Installation, Datenquellen, Betrieb, Alerts, Hunt, PCAP, Host Visibility, Detections, Cases und SOC-Workflows. Es ersetzt nicht jede Spezialvertiefung, liefert aber den breitesten zusammenhängenden Einstieg in die Plattform.

Inhaltsübersicht

• Architektur, Deployment und Datenflüsse verstehen
• Security-Onion-Oberfläche sicher bedienen
• Alerts, Hunt, Dashboards, PCAP und Hostdaten zusammenführen
• Detections, Tuning, Cases und Workflows praktisch nutzen
• Betrieb, Monitoring und nächste Vertiefungen einordnen

Ziele

Nach dem Seminar können Teilnehmende Security Onion ganzheitlich einordnen, typische Analyseaufgaben durchführen, Grundbetriebsfragen klären und geeignete Vertiefungspfade auswählen.

Zielgruppe

Das Intensivseminar richtet sich an gemischte Teams aus SOC-Analysten, Administratoren und Security Engineers, die Security Onion umfassend von Architektur bis Analyse kennenlernen und anwenden möchten.

Seminarinhalte

1. Plattform und Architektur aufbauen

1. Security Onion als SOC-Plattform, Sensorik und Analysesystem einordnen.
2. Manager, Sensoren, Suchkomponenten und Datenwege beschreiben.
3. Installations- und Deployment-Varianten anhand von Einsatzszenarien bewerten.

2. Datenquellen und Oberfläche nutzen

1. Netzwerk-, Host- und Logdaten in der SOC-Konsole finden.
2. Alerts, Dashboards und Hunt für eine erste Untersuchung einsetzen.
3. Zeitbereiche, Filter und Pivots methodisch anwenden.

3. Analyseketten durchführen

1. Von einem Alert zu Zeek-, Suricata-, PCAP- und Hostdaten wechseln.
2. Verdachtsmomente prüfen und alternative Erklärungen berücksichtigen.
3. Untersuchungsnotizen reproduzierbar erfassen.

4. Erkennung und Fallarbeit verbinden

1. Detections lesen, Trefferqualität bewerten und Tuning-Bedarf ableiten.
2. Cases mit Observables, Notizen und Artefakten strukturieren.
3. SOC-Workflows und Eskalationspunkte standardisieren.

5. Betrieb und Weiterentwicklung planen

1. Grid-, Dienst- und Datenflusskontrollen als Betriebsroutine definieren.
2. Pilot-, Rollout- und Vertiefungsschritte priorisieren.
3. Rollen, Verantwortlichkeiten und nächste Seminare für das eigene Team festlegen.

Praxisübungen

• Architektur- und Datenquellenbild erstellen
• Alert-to-Hunt-to-PCAP-Untersuchung durchführen
• Hostdaten in eine Analysekette einbinden
• Detection-Tuning-Bedarf und Case-Notiz erstellen
• Betriebs- und Lernpfad für ein SOC-Team planen

Voraussetzungen

Vorausgesetzt werden Grundlagen in IT-Sicherheit, TCP/IP, Linux und Loganalyse. Für einzelne Administrationsübungen sind zusätzliche Betriebserfahrungen hilfreich.