Seminar SIEMonster XDR: Agenten, Policies, FIM, Vulnerability

Inhaltsverzeichnis

• Abstract
• Zielgruppe
• Voraussetzungen
• Lernziele
• Inhalte und Ablauf
• Praxis

Abstract

Das Seminar vertieft den XDR-Bereich in SIEMonster. Schwerpunkte sind Agentenregistrierung, Gruppen- und Policy-Management, Endpoint-Telemetrie, File Integrity Monitoring, Konfigurationsprüfungen sowie Vulnerability-Daten und deren operative Nutzung im SOC. Ergänzt werden Health-Checks, typische Verbindungs- und Registrierungsfehler sowie Tuningmaßnahmen für Skalierung und Datenqualität.

Zielgruppe

Endpoint-Security, SIEM-Engineering, SOC-Engineering, Plattformbetrieb.

Voraussetzungen

Linux/Windows-Grundkenntnisse, Basiswissen Endpoint-Telemetrie, Netzwerkkenntnisse (Ports, TLS).

Lernziele

• Agenten stabil registrieren, gruppieren und steuern
• FIM und Konfigurationsprüfungen zielgerichtet betreiben
• Vulnerability-Daten in SOC-Workflows nutzbar machen
• XDR-Fehlerbilder reproduzierbar diagnostizieren

Inhalte und Ablauf

• Tag 1: Agentenbetrieb
  • XDR-Architektur, Agentpfade, Registrierungslogik
  • Gruppen und Policies: Rollout-Strategie, Staging/Prod
  • Telemetriearten: Logs, Security Events, Systeminventar
  • Qualitätschecks: Zeitstempel, Host-Identität, Duplikate
  • Fehlerbilder: TLS/SSL, Ports, Load Balancer, DNS
• Tag 2: Endpoint-Security-Module
  • FIM: Scope, Excludes, Alarmregeln, Betriebskonzept
  • Configuration Assessment: Baselines, Abweichungen, Maßnahmen
  • Malware/Rootkit Detection: Alarmarten, False Positives
  • SOC-Nutzung: Dashboards, Triageregeln, Eskalation
• Tag 3: Vulnerability und Skalierung
  • Vulnerability-Daten: Interpretation, Priorisierung, Ownership
  • Korrelationen: Asset-Kritikalität, Exploitability, TTP-Bezug
  • Controller-/Health-Mechanismen: Checks, Wartung, Self-Heal
  • Troubleshooting-Runbooks für XDR-Betrieb
  • Übergabe an Detection Engineering (Rule-Design aus XDR-Signalen)

Praxis

• Agenten-Rollout
  • Agent installieren (Testhost)
  • Registration-Endpoint korrekt bestimmen (Schema)
  • Agent in passende Gruppe aufnehmen
  • Policy anwenden und Status prüfen
  • Telemetrie in Event Search verifizieren
• FIM-Szenario
  • Überwachtes Verzeichnis definieren
  • Exclusions für Rauschen setzen
  • File-Change simulieren
  • Event/Alert triagieren
  • Ableitung: Regel oder IR-Übergabeentscheidung
• Vulnerability-Workflow
  • Vulnerability-Sicht prüfen und Datenqualität bewerten
  • Top-Risiken priorisieren (Assetkritikalität)
  • Ticket-/Task-Liste erstellen (operativer Output)
  • Reporting-Sicht vorbereiten (Management Summary)
  • Ableitung eines Detection- oder Hardening-Backlogs