Seminar CybelAngel – API-, SIEM-, SOAR- und ITSM-Integration

Externe Bedrohungsinformationen entfalten ihren operativen Wert erst dann vollständig, wenn sie ohne Medienbruch in bestehende Sicherheits- und Serviceprozesse einfließen. Das Seminar entwickelt eine belastbare Integration von der technischen Authentifizierung bis zur überwachten Produktivschaltung.

Inhaltsübersicht

• Zielsetzung
• Zielgruppe
• Voraussetzungen
• Seminarinhalte
• Praxisübungen
• Methodik

Zielsetzung

• API-Zugänge und Berechtigungen sicher planen
• Incident-, Asset- und Statusdaten strukturiert abbilden
• Tickets und Orchestrierungsabläufe reproduzierbar erzeugen
• Dubletten und Synchronisationskonflikte vermeiden
• Integrationstests und Betriebsübergabe nachvollziehbar durchführen

Zielgruppe

SOC-Engineering, Plattformadministration, SIEM- und SOAR-Engineering, ITSM-Verantwortliche, Security Architects und technische Consultants.

Voraussetzungen

Sichere Grundlagen in HTTP, JSON, REST und Authentifizierung sowie Erfahrung mit mindestens einem SIEM-, SOAR- oder ITSM-System. Skriptkenntnisse sind erforderlich.

Seminarinhalte

1. Schritt 1: Integrationsziel und Systemgrenzen festlegen

   Anwendungsfälle, beteiligte Systeme, Datenverantwortung, Sicherheitszonen, Synchronisationsrichtung und zulässige Automatisierungsgrade werden dokumentiert.

2. Schritt 2: API-Zugang sicher einrichten

   Technische Identitäten, Token-Verwaltung, minimale Berechtigungen, Geheimnisablage, Rotation und Trennung von Test- und Produktivzugängen werden eingerichtet.

3. Schritt 3: Objektmodell und Lebenszyklus verstehen

   Incidents, Assets, Schweregrade, Status, Zeitstempel, Kommentare und Nachweise werden auf fachliche Bedeutung und Änderungslogik untersucht.

4. Schritt 4: Abfragen und Filter entwickeln

   Pagination, Zeitfenster, Modul- und Statusfilter sowie inkrementelle Abfragen werden so kombiniert, dass nur relevante Datensätze verarbeitet werden.

5. Schritt 5: Datenmapping definieren

   CybelAngel-Felder werden auf Ereignisse, Fälle, Tickets, Observables, Prioritäten, Mandanten und Verantwortungsgruppen des Zielsystems abgebildet.

6. Schritt 6: Idempotenz und Dubletten beherrschen

   Eindeutige Schlüssel, Korrelationsregeln, Wiederanlauf, Retry-Logik und Sperrmechanismen verhindern Mehrfachanlage und Schleifen.

7. Schritt 7: Ticket- und Alert-Prozesse automatisieren

   Erstellung, Zuweisung, Eskalation, Anreicherung und Benachrichtigung werden anhand klarer Schweregrad- und Routingregeln umgesetzt.

8. Schritt 8: Status und Rückmeldungen synchronisieren

   Zulässige Statusübergänge, Kommentare, Abschlussgründe und Wiedereröffnungen werden zwischen den Systemen konsistent gehalten.

9. Schritt 9: SOAR-Playbooks absichern

   Automatisierte Reaktionen werden mit Freigabepunkten, Ausnahmebehandlung und technischen Sicherheitsgrenzen versehen.

10. Schritt 10: Fehler und Rate Limits behandeln

    Timeouts, ungültige Daten, fehlende Berechtigungen, temporäre Störungen und API-Begrenzungen werden erkannt und kontrolliert verarbeitet.

11. Schritt 11: Integration testen und abnehmen

    Positiv-, Negativ-, Last-, Wiederanlauf- und Berechtigungstests werden mit messbaren Abnahmekriterien durchgeführt.

12. Schritt 12: Produktivbetrieb organisieren

    Monitoring, Verantwortlichkeiten, Versionspflege, Notbetrieb, Dokumentation und regelmäßige Funktionsprüfungen werden festgelegt.

Praxisübungen

• Gefilterten Abruf neuer Incidents mit Pagination implementieren
• Feldmapping für SIEM-Ereignis und ITSM-Ticket erstellen
• Idempotente Synchronisation einschließlich Wiederanlauf testen
• SOAR-Playbook mit Freigabe- und Fehlerpfad entwerfen

Methodik

Die Inhalte werden mit kurzen Fachvorträgen, Demonstrationen und einer durchgängigen Fallbearbeitung vermittelt. Jeder Arbeitsschritt endet mit einem dokumentierten Prüfkriterium zu Datenqualität, Risiko, Zuständigkeit und nächster Maßnahme.