Seminar Filigran XTM Intensivseminar: OpenCTI, OpenAEV, Betrieb und Automatisierung

Dieses Intensivseminar fasst die zentralen OpenCTI- und Filigran-Themen in einem kompakten Gesamtprogramm zusammen. Abgedeckt werden Analyse, Administration, Datenmodell, Ingestion, Connectoren, Betrieb, Automatisierung, Case Management und die Verbindung zu OpenAEV. Die Veranstaltung ist für Organisationen konzipiert, die in kurzer Zeit ein belastbares Gesamtverständnis aufbauen und die Plattform danach fachlich wie technisch einführen oder weiterentwickeln müssen.

Zielgruppe

Das Seminar richtet sich an gemischte Teams aus CTI-Analysten, SOC, CSIRT, Plattformadministration, Architektur, Detection Engineering und technischen Projektleitungen. Besonders geeignet ist es für Einführungsprojekte, Migrationen und den Aufbau eines gemeinsamen Betriebsmodells.

Voraussetzungen

Solide Grundlagen in IT-Sicherheit, Threat Intelligence, Netzwerk- und Systembetrieb werden vorausgesetzt. Für die technischen Übungen sind Linux-, Docker- und API-Grundkenntnisse hilfreich.

Inhalte

• Filigran XTM im Gesamtbild: OpenCTI, OpenAEV, Integrationen, Rollen und typische Betriebsmodelle
• OpenCTI-Grundlagen: STIX-2.1-orientiertes Datenmodell, Wissensgraph, Entitäten, Beziehungen und Observables
• Analystenworkflows: Reports, Groupings, Indicators, Malware, Threat Actors, Campaigns, TTPs und Sighting-Kontext
• Governance: Organisationen, Gruppen, Rollen, Markierungen, Confidence, Taxonomien und Datenqualität
• Datenintegration: Connectoren, Feeds, TAXII, CSV, JSON-Mapping, Ingestion-Manager und Datenbereinigung
• Betrieb: Deployment-Architektur, Abhängigkeiten, Updates, Backups, Performance, Monitoring und Troubleshooting
• Automatisierung: Playbooks, Trigger, Priorisierung, Integrationslogik und Übergabe an SOC- und SOAR-Prozesse
• Case Management und Incident Response: Fälle, RFIs, Takedowns, Zusammenarbeit und Eskalationsmuster
• OpenAEV-Anbindung: Ableitung validierbarer Szenarien aus Threat Intelligence und Bewertung von Sicherheitskontrollen
• Entwicklungsüberblick: Connector-SDK, API-Nutzung, Datenmodellgrenzen und Anpassungsoptionen

Praxisübungen

• Aufbau eines vollständigen OpenCTI-Datenbestands aus mehreren Quelltypen
• Modellierung einer Kampagne mit Akteuren, Malware, TTPs, Indikatoren und Sichtungen
• Konfiguration von Rollen, Markierungen und Qualitätsregeln für ein realistisches Mehrteam-Szenario
• Einrichtung einer exemplarischen Datenintegration mit Mapping und Validierung
• Entwurf eines Playbook-gestützten Analyse- und Verteilprozesses
• Ableitung eines OpenAEV-Szenarios aus einer priorisierten Bedrohungslage

Methodik

Das Intensivformat verdichtet die Spezialseminare in ein fünf­tägiges Gesamtprogramm. Die Übungen sind auf reale Einführungs- und Betriebsentscheidungen ausgerichtet; Detailtiefe entsteht dort, wo sie für Einführung, Betrieb und Governance unmittelbar relevant ist.