Seminar EclecticIQ Intelligence Center – Intensivseminar Analysten, Hunting und Intelligence-Produktion

Dieses Intensivseminar bündelt die analystischen, methodischen und produktionsbezogenen Inhalte des Gesamtportfolios in einem durchgängigen Fall. Es schafft breite Handlungssicherheit von Intelligence Requirements und Datenmodell über Suche, AI, Discovery, Hunting und Graphanalyse bis zu Alert Triage, Dashboards, Defense-orientierten Produkten und geregelter Dissemination.

Inhaltsübersicht

• Zielsetzung
• Zielgruppe
• Voraussetzungen
• Seminarinhalte
• Praxisübungen
• Didaktik und Arbeitsweise

Zielsetzung

• einen vollständigen Intelligence-Zyklus im Intelligence Center durchführen
• Datenmodell, Suche, Datasets, Workspaces und Metadaten sicher verbinden
• Requirements, Keyword Lists, Discovery und AI kontrolliert operationalisieren
• Threat Hunting, Actor Tracking, IOC-Management und Triage methodisch ausführen
• Graphen, ATT&CK, DISARM, Heatmaps und Datenqualität zur Bewertung einsetzen
• adressatengerechte Dashboards und Intelligence-Produkte erstellen und freigeben

Zielgruppe

CTI-Analysten, Threat Hunter, SOC-Analysten, Intelligence-Produktion, Defense- und Behördenanalyse, Teamleitung und erfahrene Key-User.

Voraussetzungen

Gute IT-Sicherheitskenntnisse und grundlegendes Verständnis von CTI oder Intelligence-Arbeit. Eigene Analysefälle oder priorisierte Informationsbedarfe sind hilfreich; Intelligence-Center-Vorkenntnisse sind nicht zwingend erforderlich.

Seminarinhalte

1. Tag 1: Use Cases, Rollen und Intelligence-Zyklus einordnen

   Geschäftliche Entscheidungen, operative Sicherheitsprozesse, Rollen und Plattformgrenzen werden geklärt. Der durchgängige Seminarfall erhält Auftrag, Empfänger, Schutzbedarf und Erfolgskriterien.

2. Tag 1: Analysten-Workbench sicher bedienen

   Navigation, Search and Browse, Listen, Detailpaneele, Benachrichtigungen und persönliche Arbeitsmuster werden eingerichtet. Wiederkehrende Aktionen werden als standardisierter Analystenablauf dokumentiert.

3. Tag 1: Entities, Observables und STIX-nahe Beziehungen modellieren

   Rohinformationen werden in Actors, Campaigns, Malware, Reports, Incidents, technische Werte und Beziehungen zerlegt. Zeitbezug, Identität, Indicator Patterns und Objektwahl werden begründet.

4. Tag 1: Metadaten und Schutzkennzeichnungen anwenden

   Quelle, Source Reliability, TLP, Confidence, Tags, Gruppen sowie ATT&CK- oder DISARM-Klassifikationen werden konsistent gepflegt. Vererbung und manuelle Überschreibung werden geprüft.

5. Tag 1: Draft, Review und Veröffentlichung durchführen

   Ein Objekt wird als Entwurf erstellt, fachlich geprüft, veröffentlicht und anschließend kontrolliert korrigiert. Änderungen und offene Unsicherheiten bleiben nachvollziehbar.

6. Tag 2: Suchstrategie und relationale Abfragen entwickeln

   Einfache, feldbezogene, boolesche, zeitliche und relationale Abfragen werden aus Untersuchungsfragen abgeleitet. Positiv- und Negativbeispiele dienen als Qualitätstest.

7. Tag 2: Datasets und Listenansichten aufbauen

   Wiederkehrende Abfragen werden als verantwortete Datasets gespeichert. Spalten, Sortierung, Zeitbereich und Metadatenfilter werden für unterschiedliche Analyseaufgaben angepasst.

8. Tag 2: Workspaces und Aufgaben steuern

   Fragestellung, Eigentümer, Mitwirkende, Objekte, Dateien, Kommentare, Aufgaben und Abschlusskriterium werden zu einem nachvollziehbaren Untersuchungsraum verbunden.

9. Tag 2: Intelligence Requirements formulieren

   Ein Entscheidungsbedarf wird in Scope, Zeit, Signale, Ausschlüsse, Watcher und Reaktionsweg übersetzt. Die Anforderung wird im Intelligence Compass operationalisiert.

10. Tag 2: Keyword Lists und Discovery-Regeln einsetzen

    Organisationskontext wird in wiederverwendbaren Listen gepflegt und in Suche, Monitoring und Requirements referenziert. Discovery-Regeln werden anhand ihrer Trefferqualität kalibriert.

11. Tag 3: AI Assistant und Web Enrichment kontrolliert nutzen

    AI-Anwendungsfall, Datenfreigabe, Prompt, Antwortprüfung und menschliche Freigabe werden festgelegt. Plattformwissen und Web-Kontext werden gegen Originaldaten und Evidenz geprüft.

12. Tag 3: Enrichment, Sandbox und Risk Scores bewerten

    Observables werden mit geeigneten Enrichern und Sandbox-Ergebnissen untersucht. Maliciousness, Source Reliability, Aktualität und Asset-Relevanz fließen in eine nachvollziehbare Priorisierung ein.

13. Tag 3: Threat Hunting und Actor Tracking durchführen

    Hypothese, erwartete Spuren, Datenquellen und Widerlegungskriterien werden definiert. Actor-Profile, Kampagnen, Infrastruktur, TTPs und IOC-Lebenszyklen werden fortlaufend gepflegt.

14. Tag 3: Graph-Pivots und Zeitbezug analysieren

    Von belastbaren Startobjekten wird kontrolliert zu Beziehungen und Nachbarschaften pivotiert. Zeitbar, Cluster, Hosting-Alternativen und Gegenhypothesen verhindern voreilige Attribution.

15. Tag 3: ATT&CK, DISARM und Heatmaps auswerten

    Verhaltensweisen werden klassifiziert, Abdeckung und Häufigkeit verglichen und Einflussoperationsmuster eingeordnet. Klassifikation wird mit Textbeleg und Confidence verbunden.

16. Tag 4: Alert Triage und Incident-Kontext aufbauen

    Eingangssignale werden normalisiert und anhand von Risiko, Relevanz, Aktualität und Quellenlage priorisiert. Ein Incident-Workspace bündelt Evidenz, Aufgaben, Stakeholder und Eskalation.

17. Tag 4: SOC-, Detection- und IR-Übergaben formulieren

    Indicators, Gültigkeit, TTPs, Confidence, betroffene Assets, empfohlene Maßnahmen und Einschränkungen werden in ein nutzbares Übergabepaket überführt.

18. Tag 4: Datenqualität und Deduplication prüfen

    Duplikate, widersprüchliche Metadaten, veraltete Indicators und falsch übertragene Eigenschaften werden identifiziert. Merge, Decouple und Property Propagation werden anhand fachlicher Kontrollen bewertet.

19. Tag 4: Dashboard und Lagebild erstellen

    Ein kuratiertes Dataset liefert Widgets für Relevanz, Trends, TTPs und Bearbeitungsstand. Kennzahlendefinition und Zeitbasis werden so dokumentiert, dass die Darstellung nicht irreführt.

20. Tag 5: Finished Intelligence redigieren

    Reportstruktur, Executive Summary, Evidenz, Bewertung, Confidence, Datenlücken und Maßnahmen werden erstellt. Fakten, Annahmen, Bewertung und Prognose bleiben sprachlich getrennt.

21. Tag 5: Defense-orientierte Produkte und Quellenbewertung einordnen

    Intelligence Requirements, Signposts, Quellenzuverlässigkeit, Informationsglaubwürdigkeit, Klassifizierung und standardisierte Produktmuster werden auf einen Defense-Fall angewendet.

22. Tag 5: Dissemination und Feedback abschließen

    TLP, Empfänger, Format, Freigabe und Rückkanal werden kontrolliert. Feedback aus Management, SOC und Partnern führt zu Anpassungen an Requirements, Regeln, Scores und Datenqualität.

23. Tag 5: End-to-End-Fall abnehmen

    Der komplette Seminarfall wird anhand von Nachvollziehbarkeit, Schutz, Datenqualität, operativer Verwendbarkeit und Entscheidungsnutzen bewertet. Offene Punkte werden als klarer Übergabeplan dokumentiert.

Praxisübungen

1. Übung 1: Intelligence-Zyklus als Fallstudie planen

   Auftrag, Stakeholder, Use Case, Schutzbedarf, Datenquellen und Erfolgskriterien werden gemeinsam festgelegt.

2. Übung 2: Datenmodell und Suchkorpus erstellen

   Ein Rohdatensatz wird modelliert, veröffentlicht, gesucht und in ein Dataset überführt.

3. Übung 3: Requirement und Keyword-Kontext operationalisieren

   Eine priorisierte Frage wird mit Intelligence Compass, Keyword List und Discovery-Regel umgesetzt.

4. Übung 4: AI- und Enrichment-Ergebnis prüfen

   AI Assistant, Web Enrichment und technische Enricher liefern Aussagen, die gegen Evidenz und Berechtigungsgrenzen geprüft werden.

5. Übung 5: Hunt mit Graph und ATT&CK durchführen

   Eine Hypothese wird über Suche, Pivot, Zeitlinie, TTPs und Gegenhypothesen bearbeitet.

6. Übung 6: Alert triagieren und an SOC übergeben

   Ein relevanter Treffer erhält Priorität, Incident-Kontext, Aufgaben und ein standardisiertes Übergabepaket.

7. Übung 7: Datenqualitätsfall bereinigen

   Duplikat, Metadatenkonflikt und fehlerhafte Propagation werden analysiert und kontrolliert korrigiert.

8. Übung 8: Dashboard und Intelligence-Produkt erstellen

   Ein Lage-Dashboard und ein redigierter Report werden für unterschiedliche Empfänger entwickelt.

9. Übung 9: Defense-Review simulieren

   Quellenbewertung, Signposts, Klassifizierung und Gegenhypothese werden auf das Produkt angewendet.

10. Übung 10: Abschlussbriefing und Feedback durchführen

    Ergebnis, Confidence, Lücken, Maßnahmen und nächste Requirements werden in einer strukturierten Übergabe präsentiert.

Didaktik und Arbeitsweise

Kurze Fachimpulse werden unmittelbar durch Demonstrationen, strukturierte Arbeitsschritte, Praxisübungen und kontrollierte Fehlerfälle vertieft. Jede Übung verwendet definierte Ausgangswerte, Prüfpunkte und Dokumentationsanforderungen. Die erarbeiteten Verfahren bleiben dadurch im späteren Betrieb wiederholbar und auditierbar.