Seminar TheHive Cortex Analyzer und Responder

Überblick

Dieses Seminar behandelt Cortex als Analyse- und Reaktionskomponente im TheHive-Umfeld. Behandelt werden Analyzer, Responder, Job-Verarbeitung, Kataloge, Ausführungsumgebungen, Rechte, Ergebnisbewertung und die saubere Einbettung in Fallbearbeitung und Eskalationswege.

Der Schwerpunkt liegt auf kontrollierter Automatisierung. Ein Analyzer ersetzt keine Bewertung durch Fachleute, beschleunigt aber die Anreicherung von Observables. Ein Responder kann wertvolle Arbeit abnehmen, muss aber wegen seiner möglichen Auswirkungen sauber berechtigt, getestet und dokumentiert sein. Genau diese Grenze wird im Seminar praktisch bearbeitet.

Zielgruppe

• TheHive-Administratoren und Security Engineers
• SOC-Analysten mit Bedarf an schneller Observable-Anreicherung
• Automatisierungsverantwortliche im Incident-Response-Umfeld
• Teams, die Analyzer und Responder sicher in Betriebsprozesse integrieren

Voraussetzungen

Empfohlen werden Grundkenntnisse in TheHive, Security Operations und Linux. Für die Übungen zu Ausführung, Katalogen und Fehlersuche sind Basiskenntnisse in Containern oder Dienstbetrieb hilfreich, aber nicht zwingend Voraussetzung.

Inhalte

• Cortex-Grundarchitektur und Zusammenspiel mit TheHive
• Analyzer, Responder, Jobs, Reports und Ergebnisinterpretation
• Einrichtung von Organisationen, Benutzern, Rechten und Ausführungsprofilen
• Anbindung an TheHive und Auswahl geeigneter Analyzer pro Observable-Typ
• Responder-Design mit Freigabegrenzen und Sicherheitskontrollen
• Kataloge, Container-Ausführung, Updates und typische Betriebsfehler
• Qualitätssicherung: Testdaten, Ergebnisvalidierung und Dokumentation im Case

Praxis und Übungen

In den Übungen werden Observables aus TheHive an Cortex übergeben, Analyzer ausgeführt, Ergebnisse bewertet und in die Fallakte übernommen. Danach werden einfache Response-Abläufe modelliert und mit Berechtigungen abgesichert. Troubleshooting-Übungen behandeln fehlerhafte Kataloge, fehlende Secrets, Berechtigungsprobleme und unklare Analyseergebnisse.