Schulungsübersicht

Einführung und Kursorientierung

  • Kursziele, erwartete Ergebnisse und Setup der Lab-Umgebung
  • Hochrangige EDR-Architektur und OpenEDR-Komponenten
  • Aufarbeitung des MITRE ATT&CK-Frameworks und Grundlagen der Bedrohungsjagd (Threat Hunting)

Bereitstellung von OpenEDR und Telemetriedatensammlung

  • Installation und Konfiguration von OpenEDR-Agenten auf Windows-Endgeräten
  • Serverkomponenten, Datenaufbereitungsprozesse und Speicheraspekte
  • Konfiguration von Telemetriequellen, Ereignisnormalisierung und -anreicherung

Verstehen von Endpunkt-Telemetrie und Ereignismodellierung

  • Kernereignistypen, Felder und deren Zuordnung zu ATT&CK-Techniken
  • Ereignisfilterung, Korrelationsstrategien und Techniken zur Rauschunterdrückung
  • Schaffung zuverlässiger Detektionsignale aus niedrigwertigen Telemetiedaten

Zuordnung von Detektionen zum MITRE ATT&CK-Framework

  • Übersetzung von Telemetriedaten in ATT&CK-Technikabdeckung und -Lücken
  • Nutzung des ATT&CK Navigators und Dokumentation der Zuordnungsentscheidungen
  • Priorisierung von Techniken für die Jagd auf Grundlage von Risiken und Telemetiedatenverfügbarkeit

Methoden der Bedrohungsjagd (Threat Hunting)

  • Hypothesegetriebene Jagd versus indikatorbasierte Untersuchungen
  • Entwicklung von Jagdplaybooks und iterative Entdeckungsabläufe
  • Praktische Jagdaufgaben: Erkennen von lateralem Bewegung, Persistenz und Eskalation von Berechtigungen

Detection Engineering & Feinabstimmung

  • Entwicklung von Detektionsregeln unter Verwendung von Ereigniskorrelation und verhaltensmäßigen Baselines
  • Regeltesten, Feinabstimmung zur Reduktion von Fehlalarmen und Messung der Effektivität
  • Schaffen von Signaturen und analytischen Inhalten für die Wiederverwendung im gesamten Umfeld

Incident Response & Ursachenanalyse mit OpenEDR

  • Nutzung von OpenEDR zur Priorisierung von Alarmen, Untersuchung von Vorfällen und Zeitachsen von Angriffen
  • Erfassung forensischer Artefakte, Beweiserhaltung und Überlegungen zum Beweiskettenverlauf (Chain of Custody)
  • Integration der Ergebnisse in IR-Playbooks und Abläufe zur Behebung von Vorfällen

Automatisierung, Orchestrierung & Integration

  • Automatisieren regelmäßiger Jagdaufgaben und Alarmverstärkungen mit Skripten und Connectoren
  • Integration von OpenEDR in SIEM-, SOAR- und Threat Intelligence-Plattformen
  • Skalierung der Telemetrie, Verwahrungsdauer und operative Aspekte für Unternehmensbereitstellungen

Schwerpunktanwendungen & Zusammenarbeit mit Red Teams

  • Simulation von Gegnerverhalten zur Validierung: Purple-Team-Übungen und ATT&CK-basierte Emulationen
  • Fallstudien: reale Jagdaufgaben und Analysen nach Vorfällen
  • Entwicklung kontinuierlicher Verbesserungsschleifen für die Detektionsabdeckung

Capstone-Labor & Präsentationen

  • Geführte Capstone-Aufgabe: vollständige Jagd von der Hypothese bis zur Kontainment und Ursachenanalyse unter Verwendung von Labor-Szenarien
  • Präsentationen der Teilnehmer über ihre Befunde und Empfehlungen zur Milderung
  • Abschluss des Kurses, Verteilung von Materialien und Empfehlungen für die nächsten Schritte

Voraussetzungen

  • Ein Verständnis der Grundlagen der Endpunkt-Sicherheit
  • Erfahrung mit der Protokollanalyse und der grundlegenden Verwaltung von Linux/Windows
  • Vertrautheit mit gängigen Angriffstechniken und Konzepten der Vorfallsreaktion

Zielgruppe

  • Analysten im Security Operations Center (SOC)
  • Bedrohungsjäger und Vorfallsreagierende
  • Sicherheitsingenieure, die für die Detektionsentwicklung und Telemetrie verantwortlich sind
 21 Stunden

Teilnehmerzahl


Preis je Teilnehmer (exkl. USt)

Erfahrungsberichte (4)

Kommende Kurse

Verwandte Kategorien