Seminar Binalyze AIR – Grundlagen und operativer Einstieg

Das Grundlagenmodul vermittelt ein belastbares Gesamtbild der Plattform und führt unmittelbar in die operative Arbeit. Architektur, Responder, Assets, Fälle, Erfassung, Analyse, Hunt und Live Response werden anhand eines zusammenhängenden Vorfalls erklärt.

Inhaltsübersicht

1. Zielsetzung
2. Zielgruppe
3. Vorkenntnisse
4. Tag 1: Plattform, Architektur und Arbeitsobjekte
5. Tag 2: Operative Untersuchung und Reaktion
6. Praxisübungen
7. Arbeitsweise

Zielsetzung

Die Teilnehmer können sich sicher in der Konsole orientieren, wesentliche Objekte und Aufgaben unterscheiden und einen einfachen Incident vom ersten Hinweis bis zur dokumentierten Untersuchung bearbeiten. Gleichzeitig entsteht die Grundlage für weiterführende Fachseminare.

Zielgruppe

Neue AIR-Anwender, SOC-Analysten, Incident Responder, Administratoren und technische Projektmitarbeiter.

Vorkenntnisse

Grundverständnis von IT-Infrastrukturen, Endpoints und Informationssicherheit ist erforderlich. Produkterfahrung wird nicht vorausgesetzt.

Seminarinhalte

Tag 1: Plattform, Architektur und Arbeitsobjekte

1. Schritt 1: Aufgabenbereich und Nutzen von AIR werden in den Ablauf von Erkennung, Untersuchung, Eindämmung und Dokumentation eingeordnet.
2. Schritt 2: Management Console, Responder, Assets, Evidence Repositories und Kommunikationswege werden als Gesamtarchitektur dargestellt.
3. Schritt 3: Navigation, Suche, Filter, Benachrichtigungen und grundlegende Einstellungen werden in der Konsole praktisch erschlossen.
4. Schritt 4: Assets, Tags, Fälle und Aufgaben werden angelegt und mit einem konsistenten Namens- und Zuständigkeitsmodell versehen.
5. Schritt 5: Ein erster Untersuchungsfall wird aus einem Alarm erstellt und mit Zielsystem, Zeitfenster und Fragestellung vorbereitet.

Tag 2: Operative Untersuchung und Reaktion

1. Schritt 1: Eine passende Datenerfassung wird ausgewählt, gestartet, überwacht und auf Vollständigkeit kontrolliert.
2. Schritt 2: Ergebnisse werden im Investigation Hub gefiltert und mit automatischen Befunden zu einer ersten Hypothese zusammengeführt.
3. Schritt 3: Ein einfacher Hunt wird auf eine definierte Asset-Gruppe angewendet und hinsichtlich Treffer sowie Falschpositiven ausgewertet.
4. Schritt 4: interACT und Isolation werden in ihrer Funktion, Freigabe und sicheren Einsatzreihenfolge praktisch eingeordnet.
5. Schritt 5: Der Vorfall wird mit Aktivitäten, Befunden, Maßnahmen und einem nachvollziehbaren Kurzbericht dokumentiert.

Praxisübungen

• Anlage eines Falls und Zuordnung eines Zielsystems
• Durchführung einer einfachen Erfassung mit Ergebniskontrolle
• Ausführung eines grundlegenden Hunts
• Dokumentation eines vollständigen Einsteiger-Incident-Workflows

Arbeitsweise

Die Inhalte werden durch fachliche Erläuterungen, Demonstrationen und unmittelbar anschließende Übungen am System erarbeitet. Jeder Arbeitsschritt wird mit Zweck, Eingaben, Kontrollpunkten und typischen Fehlerbildern dokumentiert. Die Übungsfälle bauen aufeinander auf und verwenden ein konsistentes Rollen-, Asset- und Fallmodell.