Seminar Incident Response: Alerts, Cases, Observables, Enrichment

Inhaltsverzeichnis

• Abstract
• Zielgruppe
• Voraussetzungen
• Lernziele
• Inhalte und Ablauf
• Praxis

Abstract

Dieses Seminar fokussiert die Incident-Response-Funktionen in SIEMonster. Von der Alert-Analyse über die Übergabe in den Incident-Bereich bis zur Case-Erstellung, Task-Steuerung und Observable-Anreicherung werden operative Abläufe trainiert. Ziel ist ein konsistenter Response-Workflow, der technische Evidenz, Enrichment-Ergebnisse und Maßnahmen sauber dokumentiert und in SOC-Prozesse integriert.

Zielgruppe

Incident Responder, SOC-Analysten, Threat Analysts, SOC-Leads.

Voraussetzungen

Grundverständnis Incident Lifecycle, Begriffe wie IOC, TLP, Artefakt, Scope.

Lernziele

• Alerts sauber in IR überführen und priorisieren
• Cases strukturiert erstellen und bearbeiten
• Observables korrekt typisieren und anreichern
• Ergebnisse revisionssicher dokumentieren

Inhalte und Ablauf

• Tag 1: Alert → Case
  • Alert-Detailansicht: Tabs, Rohdaten, Verlauf
  • Entscheidungskriterien: ignorieren, beobachten, IR-Übergabe
  • Einmalige vs. dauerhafte Weiterleitung (Policy-Logik)
  • Import in IR und Case-Erstellung (Templates)
  • Tasks: Zuweisung, Status, Abschlusskriterien
• Tag 2: Observables & Enrichment
  • Observables: Typen, Qualität, Mehrfachwerte
  • Markings: TLP/PAP (Prozesssicht)
  • Analyzer-Konzept und Aktivierung
  • Enrichment interpretieren: Confidence, Kontext, False Positives
  • Output: Maßnahmen, Lessons Learned, Übergabe an Detection/Hunting

Praxis

• Case aus Alert
  • Alert auswählen und Details prüfen
  • Preview/Import in IR durchführen
  • Case-Template wählen
  • Case-Details ergänzen (Scope, Kurzbeschreibung)
  • 2 Tasks erzeugen und zuweisen
• Observables & Enrichment
  • Observable-Typ korrekt wählen
  • Mehrere Observables hinzufügen (z. B. IP + Hash)
  • Markings setzen
  • Analyzer ausführen und Ergebnis speichern
  • Schlussfolgerung formulieren (Action Items)