Seminar GLIMPS Malware: EDR- und NDR-Integration

Inhaltsübersicht

1. Seminarprofil
2. Lernziele
3. Schrittweise Seminarinhalte
   • 1. Integrationsfälle und Datenvertrag
   • 2. Dateibeschaffung und Einreichung
   • 3. Ergebnisanreicherung
   • 4. Reaktion und Orchestrierung
   • 5. Betrieb und Prüfung
4. Praxisübungen
5. Zielgruppe und Voraussetzungen
6. Methodik

Seminarprofil

Das Seminar verbindet Datei- und Alarmkontext aus Endpoint Detection and Response sowie Network Detection and Response mit GLIMPS Malware Detect und Expert. Ziel ist eine nachvollziehbare Kette von der Alarmaufnahme über Dateibeschaffung und Analyse bis zur angereicherten Entscheidung und kontrollierten Reaktion.

Lernziele

• EDR- und NDR-Fälle für Dateianalyse priorisieren
• Dateien und Kontext sicher aus Quellsystemen übernehmen
• Analyseergebnisse mit Alarmen, Hosts, Benutzern und Netzwerkbeobachtungen korrelieren
• Automatisierte und manuelle Reaktionspfade definieren
• Fehler, Duplikate und Rückkopplungsschleifen verhindern

Schrittweise Seminarinhalte

1. Integrationsfälle und Datenvertrag

1. Schritt 1: Alarme identifizieren, bei denen eine zusätzliche Dateianalyse entscheidungsrelevant ist.
2. Schritt 2: Benötigte Datei-, Host-, Prozess-, Benutzer- und Netzwerkattribute festlegen.
3. Schritt 3: Zulässige Übergabewege, Datenminimierung und Aufbewahrung dokumentieren.
4. Schritt 4: Eindeutige Korrelationsschlüssel zwischen Quellalarm und Analyseauftrag definieren.

2. Dateibeschaffung und Einreichung

1. Schritt 1: Dateien über Quarantäne, Sensor, sicheren Export oder automatisierte API abrufen.
2. Schritt 2: Integrität, Dateiname, Hashwert, Herkunft und Zeitstempel vor Übertragung erfassen.
3. Schritt 3: Datei mit Kontexttags an Detect einreichen und Auftrag nachverfolgen.
4. Schritt 4: Nicht verfügbare, zu große, beschädigte oder mehrfach beobachtete Dateien kontrolliert behandeln.

3. Ergebnisanreicherung

1. Schritt 1: Verdikt, Indikatoren, erkannte Funktionen und Analysehinweise in ein gemeinsames Schema überführen.
2. Schritt 2: Befunde mit Endpoint-, Netzwerk- und Identitätsdaten korrelieren.
3. Schritt 3: Expert für vertiefte Untersuchung unklarer oder schwerwiegender Fälle einsetzen.
4. Schritt 4: Vertrauensniveau und Datenherkunft für jede angereicherte Aussage erhalten.

4. Reaktion und Orchestrierung

1. Schritt 1: Quarantäne, Host-Isolation, Blockierung, Suche und Ticketanlage nach Risikostufe auslösen.
2. Schritt 2: Automatische Maßnahmen durch Freigabeschwellen und Stop-Bedingungen begrenzen.
3. Schritt 3: Wiederholungen, Rekursion und gegenseitige Trigger zwischen Systemen verhindern.
4. Schritt 4: Manuelle Übersteuerung, Rücknahme und Nachprüfung als feste Schritte vorsehen.

5. Betrieb und Prüfung

1. Schritt 1: Latenz, Fehlerquote, Einreichungsvolumen und Eskalationsquote messen.
2. Schritt 2: Testfälle für saubere, schädliche, fehlende und technisch nicht analysierbare Dateien ausführen.
3. Schritt 3: Token-, Zertifikats- und Schemaänderungen kontrolliert einführen.
4. Schritt 4: Runbook für Ausfall eines Quellsystems, Detect oder Orchestrierungsdienstes erstellen.

Praxisübungen

1. Entwurf eines EDR-zu-Detect-Datenvertrags
2. Aufbau eines angereicherten Alarmobjekts mit Datei-, Host- und Netzkontext
3. Modellierung eines begrenzten Reaktionsplaybooks
4. Test von Duplikat, fehlender Datei, Timeout und Rückkopplungsschleife

Zielgruppe und Voraussetzungen

Zielgruppe: SOC Analysts, EDR- und NDR-Engineering, Incident Response, SOAR-Entwicklung und Security Architecture

Voraussetzungen: Grundkenntnisse in EDR oder NDR, Alarmtriage, APIs, Hashwerten, IOC-Verarbeitung und Reaktionsprozessen

Methodik

Fachliche Einordnung, technische Demonstration und praktische Umsetzung wechseln sich ab. Jeder Themenblock folgt derselben belastbaren Reihenfolge: Ziel und Risiko bestimmen, Konfiguration oder Analyse durchführen, Sollzustand prüfen, Fehlerfall testen und den wiederholbaren Betriebsablauf dokumentieren.