Seminar EclecticIQ Intelligence Center – Grundlagen und Analysten-Workbench

Das Grundlagenseminar vermittelt einen vollständigen, aber klar abgegrenzten Analystenablauf von der Navigation über Suche und Objektpflege bis zur kollaborativen Untersuchung und Berichterstellung. Der Schwerpunkt liegt auf wiederholbaren Arbeitsschritten und sauberer Datenhygiene statt auf einer bloßen Funktionsrundfahrt.

Inhaltsübersicht

• Zielsetzung
• Zielgruppe
• Voraussetzungen
• Seminarinhalte
• Praxisübungen
• Didaktik und Arbeitsweise

Zielsetzung

• Aufbau, Navigation und zentrale Arbeitsbereiche sicher bedienen
• Entities, Observables, Beziehungen und Metadaten korrekt erfassen
• Suche, Filter, Datasets und Workspaces im Analystenalltag einsetzen
• Enrichment, Graph und Aufgaben für Untersuchungen kombinieren
• Ergebnisse als Note oder Report nachvollziehbar dokumentieren

Zielgruppe

Neue CTI-Analysten, SOC-Analysten, Threat Hunter, Intelligence-Konsumenten, Key-User und Projektmitarbeitende.

Voraussetzungen

Allgemeine IT- und Sicherheitskenntnisse. CTI- oder Intelligence-Center-Vorkenntnisse sind nicht erforderlich.

Seminarinhalte

1. Schritt 1: Plattform und CTI-Lebenszyklus einordnen

   Direction, Collection, Processing, Analysis, Dissemination und Feedback werden mit den Arbeitsbereichen des Intelligence Center verbunden. Rollen und Verantwortlichkeiten werden anhand eines durchgängigen Falles erklärt.

2. Schritt 2: Oberfläche und Navigation beherrschen

   Seitennavigation, globale Aktionen, persönliche Einstellungen, Benachrichtigungen und Kontextmenüs werden eingeübt. Wiederkehrende Wege werden als persönlicher Arbeitsablauf dokumentiert.

3. Schritt 3: Search and Browse verwenden

   Entities, Observables, Dateien und weitere Objekte werden über einfache Suche und Filter gefunden. Listenansichten, Spalten, Sortierung und Detailpaneele werden für schnelle Sichtung angepasst.

4. Schritt 4: Entities und Observables unterscheiden

   Aus einem Beispielreport werden analysierte Konzepte und rohe technische Werte getrennt. Passende Objekttypen, Namen, Zeitangaben und Beschreibungen werden ausgewählt.

5. Schritt 5: Metadaten und Schutzkennzeichnungen setzen

   Quelle, Source Reliability, TLP, Confidence, Tags, Gruppen und Klassifikationen werden konsistent gepflegt. Vererbung und manuelle Überschreibung werden sichtbar geprüft.

6. Schritt 6: Beziehungen und Kontext erfassen

   Entities werden mit Richtung, Beziehungstyp und begründender Beschreibung verknüpft. Observables werden eingebettet beziehungsweise zugeordnet, ohne ungeprüfte Kausalität zu behaupten.

7. Schritt 7: Entwürfe, Veröffentlichung und Korrektur nutzen

   Ein Objekt wird als Draft vorbereitet, geprüft und veröffentlicht. Anschließend werden Korrekturen, Versionierung und nachvollziehbare Änderungen durchgeführt.

8. Schritt 8: Datasets für wiederkehrende Sichten anlegen

   Eine Suche wird als Dataset gespeichert, benannt und mit einem fachlichen Zweck versehen. Änderungen an Suchlogik und Mitgliedschaft werden unterschieden.

9. Schritt 9: Workspace für eine Untersuchung aufbauen

   Fragestellung, Beteiligte, Entities, Graph, Dateien, Kommentare und Aufgaben werden gebündelt. Eigentümer und Abschlusskriterium verhindern dauerhaft offene Sammelräume.

10. Schritt 10: Enrichment auswählen und bewerten

    Ein Observable wird mit einem passenden Enricher untersucht. Ergebnisse werden auf Herkunft, Aktualität, Konflikte und Nutzen geprüft, bevor sie gespeichert werden.

11. Schritt 11: Graph zur Orientierung verwenden

    Relevante Objekte werden in einen kleinen Graphen überführt. Beziehungen werden geöffnet und die Visualisierung als Navigations- und Hypothesenwerkzeug genutzt.

12. Schritt 12: Note und Report erstellen

    Zwischenergebnisse werden in einer Note festgehalten; die freigegebene Bewertung wird als Report mit Kernaussage, Evidenz, Confidence, Lücken und Maßnahmen strukturiert.

13. Schritt 13: Arbeitsablauf abschließen und übergeben

    Aufgaben, offene Fragen, TLP, Empfänger und Folgeaktivitäten werden geprüft. Der Fall wird sauber geschlossen oder mit definiertem nächsten Schritt übergeben.

Praxisübungen

1. Übung 1: Ersten Intelligence-Fall erfassen

   Ein kurzer Rohbericht wird in Entities, Observables, Beziehungen und Metadaten überführt.

2. Übung 2: Suche und Dataset aufbauen

   Eine wiederkehrende Suche nach relevanten Malware-Berichten wird gefiltert, als Dataset gespeichert und fachlich beschrieben.

3. Übung 3: Workspace-Untersuchung durchführen

   Ein IOC-Fall wird mit Beteiligten, Aufgaben, Graph und Kommentaren strukturiert bearbeitet.

4. Übung 4: Enrichment bewerten

   Mehrere Ergebnisse werden in bestätigten Kontext, Widerspruch und nicht verwertbare Daten getrennt.

5. Übung 5: Kurzreport publizieren

   Aus dem Fall wird ein adressatengerechter Report mit Evidenz, Confidence und Maßnahmen erstellt.

Didaktik und Arbeitsweise

Kurze Fachimpulse werden unmittelbar durch Demonstrationen, strukturierte Arbeitsschritte, Praxisübungen und kontrollierte Fehlerfälle vertieft. Jede Übung verwendet definierte Ausgangswerte, Prüfpunkte und Dokumentationsanforderungen. Die erarbeiteten Verfahren bleiben dadurch im späteren Betrieb wiederholbar und auditierbar.