Seminar OpenCTI Threat Intelligence Analyse und Reporting für SOC/CSIRT

Dieses Seminar vertieft die analytische Nutzung von OpenCTI für SOC, CSIRT und CTI-Teams. Der Fokus liegt auf belastbarer Analyse, sauberem Reporting, Kontextaufbau, Priorisierung und operativer Verwertbarkeit. Technische Artefakte werden nicht nur gesammelt, sondern in Beziehung zu Akteuren, Kampagnen, TTPs, Schwachstellen und Schutzmaßnahmen gesetzt.

Zielgruppe

Das Seminar richtet sich an CTI-Analysten, SOC-Analysten, CSIRT-Mitglieder, Threat Hunter, Detection Engineers und Security-Verantwortliche, die aus OpenCTI verwertbare Analyseergebnisse für operative Entscheidungen erzeugen müssen.

Voraussetzungen

Grundlagen in OpenCTI oder Teilnahme am Grundlagenseminar werden empfohlen. Kenntnisse in Cyber Threat Intelligence, MITRE ATT&CK und Security Operations sind sinnvoll.

Inhalte

• Analytischer Arbeitszyklus in OpenCTI: Sammlung, Strukturierung, Bewertung, Anreicherung und Veröffentlichung
• Aufbau aussagekräftiger Reports und Groupings mit nachvollziehbarer Objektstruktur
• Pivoting im Wissensgraphen zwischen Observables, Indicators, Malware, Threat Actors, Campaigns und TTPs
• Priorisierung nach Relevanz, Confidence, Quelle, Markierung, zeitlicher Aktualität und operativem Nutzen
• Sichtungen, false positives, indicator lifecycle und Interpretation technischer Signale
• Nutzung von Dashboards, Filtern und gespeicherten Sichten für wiederkehrende Analyseaufgaben
• Ableitung von Detection-Ideen, Threat-Hunting-Fragen und Incident-Response-Kontext
• Analystische Qualität: Quellenkritik, Belegbarkeit, Konsistenz, Benennung und Datenhygiene
• Adressatengerechtes Reporting für SOC, CSIRT, Management und technische Spezialteams

Praxisübungen

• Analyse eines vorbereiteten Bedrohungsclusters mit mehreren widersprüchlichen Quellen
• Erstellung eines strukturierten Reports mit Entitäten, Beziehungen und Bewertung
• Ableitung von SOC-relevanten Detection- und Hunting-Hypothesen
• Bewertung von Indicators nach Qualität, Kontext und Verwendbarkeit
• Erstellung einer Management-orientierten Kurzlage aus einem technischen Analysefall
• Review eines Reports auf Konsistenz, Markierungen und Nachvollziehbarkeit

Methodik

Die Übungen orientieren sich an realistischen Analyseproblemen: unvollständige Daten, widersprüchliche Quellen und Zeitdruck. Ziel ist nicht hübsche Ablage, sondern verwertbare Intelligence mit sauberer Begründung.