Seminar Versasec vSEC:CMS – Microsoft Sentinel und Security Operations

Das Seminar verbindet Credential-Management-Ereignisse mit operativer Sicherheit. Relevante Ereignisse werden klassifiziert, für Microsoft Sentinel aufbereitet, mit Identitäts- und Infrastrukturkontext korreliert und in Erkennungs-, Untersuchungs- und Reaktionsabläufe überführt.

Inhaltsübersicht

• Lernziele und fachliche Einordnung
• Schrittweise Seminarinhalte
• Praxisübungen und Laborszenarien
• Zielgruppe und Voraussetzungen
• Didaktik und Arbeitsweise

Lernziele

• Sicherheitsrelevante Credential- und Administrationsereignisse priorisieren.
• Logquellen, Felder, Zeitbezug und Aufbewahrung für SIEM-Auswertungen strukturieren.
• Analytik für Missbrauch, ungewöhnliche Ausgabe, Sperrung und privilegierte Aktionen entwerfen.
• SOC-Playbooks mit vSEC:CMS-Betrieb und IAM-Prozessen verzahnen.
• Ein Monitoring- und Use-Case-Backlog für die produktive Einführung erstellen.

Schrittweise Seminarinhalte

1. Security-Use-Cases für Credential Management

Schwerpunkt: privilegierte Aktionen, ungewöhnliche Issuance, wiederholter PIN-Unblock, Massenänderungen, Fehlversuche, Sperrungen und Konfigurationsänderungen.

1. Ausgangslage, Schutzbedarf und Zielkriterien für den Themenblock „Security-Use-Cases für Credential Management“ erfassen.
2. Relevante Objekte, Rollen und Abhängigkeiten anhand von privilegierte Aktionen, ungewöhnliche Issuance, wiederholter PIN-Unblock, Massenänderungen, Fehlversuche, Sperrungen und Konfigurationsänderungen modellieren.
3. Die erforderliche Konfiguration oder Prozessfolge am Laborsystem beziehungsweise am Prozessmodell schrittweise umsetzen.
4. Funktion, Berechtigungen, Protokollierung und Fehlerverhalten mit definierten Positiv- und Negativfällen prüfen.
5. Als Arbeitsergebnis einen priorisierten SIEM-Use-Case-Katalog dokumentieren, fachlich abnehmen und in einen wiederholbaren Standard überführen.

2. Ereignisquellen und Datenqualität

Schwerpunkt: Audit-Trails, Anwendungs- und Systemlogs, Zeitstempel, Identitätsattribute, Credential-Kennung, Normalisierung und Aufbewahrung.

1. Ausgangslage, Schutzbedarf und Zielkriterien für den Themenblock „Ereignisquellen und Datenqualität“ erfassen.
2. Relevante Objekte, Rollen und Abhängigkeiten anhand von Audit-Trails, Anwendungs- und Systemlogs, Zeitstempel, Identitätsattribute, Credential-Kennung, Normalisierung und Aufbewahrung modellieren.
3. Die erforderliche Konfiguration oder Prozessfolge am Laborsystem beziehungsweise am Prozessmodell schrittweise umsetzen.
4. Funktion, Berechtigungen, Protokollierung und Fehlerverhalten mit definierten Positiv- und Negativfällen prüfen.
5. Als Arbeitsergebnis ein belastbares Logging- und Feldmapping dokumentieren, fachlich abnehmen und in einen wiederholbaren Standard überführen.

3. Anbindung und Verarbeitung in Microsoft Sentinel

Schwerpunkt: Transportweg, Workspace-Zuordnung, Parser, Tabellen, Zeitbezug, Berechtigungen, Datenvolumen und technische Validierung.

1. Ausgangslage, Schutzbedarf und Zielkriterien für den Themenblock „Anbindung und Verarbeitung in Microsoft Sentinel“ erfassen.
2. Relevante Objekte, Rollen und Abhängigkeiten anhand von Transportweg, Workspace-Zuordnung, Parser, Tabellen, Zeitbezug, Berechtigungen, Datenvolumen und technische Validierung modellieren.
3. Die erforderliche Konfiguration oder Prozessfolge am Laborsystem beziehungsweise am Prozessmodell schrittweise umsetzen.
4. Funktion, Berechtigungen, Protokollierung und Fehlerverhalten mit definierten Positiv- und Negativfällen prüfen.
5. Als Arbeitsergebnis eine überprüfte Ereignisübernahme mit Qualitätskontrollen dokumentieren, fachlich abnehmen und in einen wiederholbaren Standard überführen.

4. Erkennung, Korrelation und Untersuchung

Schwerpunkt: Schwellenwerte, Baselines, Sequenzen, Identitätskontext, Gerätebezug, False Positives, Untersuchungsschritte und Evidenz.

1. Ausgangslage, Schutzbedarf und Zielkriterien für den Themenblock „Erkennung, Korrelation und Untersuchung“ erfassen.
2. Relevante Objekte, Rollen und Abhängigkeiten anhand von Schwellenwerte, Baselines, Sequenzen, Identitätskontext, Gerätebezug, False Positives, Untersuchungsschritte und Evidenz modellieren.
3. Die erforderliche Konfiguration oder Prozessfolge am Laborsystem beziehungsweise am Prozessmodell schrittweise umsetzen.
4. Funktion, Berechtigungen, Protokollierung und Fehlerverhalten mit definierten Positiv- und Negativfällen prüfen.
5. Als Arbeitsergebnis mehrere testbare Erkennungsregeln und Untersuchungsabfragen dokumentieren, fachlich abnehmen und in einen wiederholbaren Standard überführen.

5. Reaktion, Playbooks und kontinuierliche Verbesserung

Schwerpunkt: Alarmtriage, Eskalation, Credential-Sperrung, Kontoschutz, Beweissicherung, Nachkontrolle, Kennzahlen und Tuning.

1. Ausgangslage, Schutzbedarf und Zielkriterien für den Themenblock „Reaktion, Playbooks und kontinuierliche Verbesserung“ erfassen.
2. Relevante Objekte, Rollen und Abhängigkeiten anhand von Alarmtriage, Eskalation, Credential-Sperrung, Kontoschutz, Beweissicherung, Nachkontrolle, Kennzahlen und Tuning modellieren.
3. Die erforderliche Konfiguration oder Prozessfolge am Laborsystem beziehungsweise am Prozessmodell schrittweise umsetzen.
4. Funktion, Berechtigungen, Protokollierung und Fehlerverhalten mit definierten Positiv- und Negativfällen prüfen.
5. Als Arbeitsergebnis einen abgestimmten SOC-Reaktionsprozess dokumentieren, fachlich abnehmen und in einen wiederholbaren Standard überführen.

Praxisübungen und Laborszenarien

• Klassifikation einer Ereignisliste nach Risiko, Relevanz und Aufbewahrungsbedarf.
• Entwurf einer Sentinel-Erkennung für ungewöhnliche Credential-Ausgabe und privilegierte Änderungen.
• Durchspielen eines SOC-Playbooks von Alarmierung bis Credential-Sperrung und Nachkontrolle.

Zielgruppe und Voraussetzungen

Zielgruppe: SOC-Teams, SIEM Engineering, Informationssicherheit, vSEC:CMS-Betrieb und Incident-Response-Verantwortung.

Voraussetzungen: Grundkenntnisse in SIEM, Logquellen, Kusto-Abfragen oder vergleichbarer Analytik sowie Verständnis der vSEC:CMS-Lifecycle-Prozesse.

Didaktik und Arbeitsweise

Kurze Fachimpulse werden unmittelbar durch Demonstrationen, strukturierte Konfigurationsschritte, Praxisübungen und kontrollierte Fehlerfälle vertieft. Jede Übung verwendet definierte Ausgangswerte, Prüfpunkte und Dokumentationsanforderungen, damit die erarbeiteten Abläufe als Betriebsstandard wiederholbar bleiben.