Seminar TheHive Analysten-Grundlagen und Incident Handling

Überblick

Dieses Seminar vermittelt die tägliche Arbeit mit TheHive aus Sicht von SOC-Analysten und Incident Handlern. Behandelt werden Alerts, Cases, Observables, Aufgaben, Kommentare, Statuswechsel, Eskalationen und die Zusammenarbeit innerhalb eines Incident-Response-Teams.

Der Schwerpunkt liegt auf reproduzierbarer Fallbearbeitung statt auf hektischem Abarbeiten einzelner Meldungen. Teilnehmende trainieren, wann ein Alert zu einem Case wird, wie ähnliche Ereignisse zusammengeführt werden, wie Observables dokumentiert werden und wie Aufgaben so formuliert werden, dass auch bei Schichtwechseln kein Wissen verloren geht.

Zielgruppe

• SOC-Analysten im First- und Second-Level
• Incident Handler in CERT-, CSIRT- und IT-Security-Teams
• Mitarbeitende, die TheHive als zentrale Fallakte nutzen
• Teams, die vom klassischen Ticketing auf Security Case Management umstellen

Voraussetzungen

Erforderlich sind Grundlagen in IT-Sicherheit und ein Verständnis typischer Sicherheitsmeldungen. Kenntnisse über Phishing, Malware, verdächtige Logins, Netzwerkindikatoren und Hashwerte sind ausreichend. Administrationswissen ist für dieses Seminar nicht notwendig.

Inhalte

• Navigation, Arbeitsbereiche und Grundobjekte in TheHive
• Triage von Alerts und Entscheidung zwischen Schließen, Zusammenführen und Case-Erstellung
• Aufbau von Cases mit Aufgaben, Observables, TTPs, Kommentaren und Anhängen
• Nachvollziehbare Dokumentation von Hypothesen, Analyseschritten und Entscheidungen
• Fallbearbeitung über Schichtgrenzen hinweg
• Einsatz von Filtern, Tags und Suchen für laufende Untersuchungen
• Abschluss von Fällen mit konsistenter Zusammenfassung und belastbarer Historie

Praxis und Übungen

Die Übungen folgen realistischen SOC-Szenarien: verdächtige Anmeldung, Phishing-Meldung, Malware-Fund und verdächtige Infrastruktur. Für jedes Szenario werden Alerts bewertet, Cases erstellt oder zusammengeführt, Observables gepflegt, Aufgaben abgearbeitet und der Fall sauber abgeschlossen. Der Fokus liegt auf Disziplin im Prozess, nicht auf Klickakrobatik.