Seminar GLIMPS Malware: Intensivseminar Gesamtplattform

Inhaltsübersicht

1. Seminarprofil
2. Lernziele
3. Schrittweise Seminarinhalte
   • 1. Architektur, Kiosk und Einführungsmodell
   • 2. Detect, Sicherheit und Tagesbetrieb
   • 3. Automatisierung und Dateiquellen
   • 4. Expert, Hunting und CTI
   • 5. Orchestrierung und Incident Response
   • 6. Performance, Diagnose und Betriebsübergabe
4. Praxisübungen
5. Zielgruppe und Voraussetzungen
6. Methodik

Seminarprofil

Das Intensivseminar fasst das vollständige Seminarportfolio in einer komprimierten Gesamtstrecke zusammen. Architektur, Kiosk, Detect, Expert, API, ICAP, SMTP, Host Connector, Dateiablagen, CI/CD, SIEM, SOAR, EDR, NDR, CTI, Monitoring, Performance, Troubleshooting, Threat Hunting und Incident Response werden in einem gemeinsamen Zielsystem verbunden.

Lernziele

• Die Gesamtarchitektur und Rollen von Kiosk, Detect und Expert sicher beherrschen
• Plattform, Schnittstellen und Dateiflüsse grundlegend konfigurieren
• Automatisierung, Host Connector und CI/CD-Anbindung praktisch umsetzen
• Analyse, YARA, Hunting, CTI und Response in einem Gesamtprozess verbinden
• Härtung, Monitoring, Kapazität und Troubleshooting in den Betrieb integrieren
• Ein vollständiges Einführungs- und Betriebsmodell erstellen

Schrittweise Seminarinhalte

1. Architektur, Kiosk und Einführungsmodell

1. Schritt 1: Schutzbedarf, Dateiquellen, Rollen und Zielarchitektur erfassen.
2. Schritt 2: Kiosk-, Detect- und Expert-Aufgaben sowie Übergaben festlegen.
3. Schritt 3: SaaS- und On-Premises-Optionen mit Betriebs- und Datenschutzanforderungen vergleichen.
4. Schritt 4: Pilot, Abnahme, Rollout und Governance als Gesamtplan strukturieren.

2. Detect, Sicherheit und Tagesbetrieb

1. Schritt 1: Grundkonfiguration, Token, TLS, Rollen, Aufbewahrung und Cache einrichten.
2. Schritt 2: API-, ICAP- und SMTP-Pfade mit Normal- und Fehlerfällen testen.
3. Schritt 3: Alerting, Logs, Dashboard, Sicherung und Updateverfahren definieren.
4. Schritt 4: Härtungs- und Wiederherstellungscheckliste anwenden.

3. Automatisierung und Dateiquellen

1. Schritt 1: API-Client für Einreichung, Statusabfrage und Berichtsauswertung aufbauen.
2. Schritt 2: Host Connector für Scan, Monitoring, Archive und Quarantäne konfigurieren.
3. Schritt 3: SharePoint-, OneDrive- oder Verzeichnisflüsse über kontrollierte Integrationsmuster anbinden.
4. Schritt 4: CI/CD-Gate mit Secrets, Zeitlimits, Cache und Ausnahmeprozess umsetzen.

4. Expert, Hunting und CTI

1. Schritt 1: Expert-Berichte aus statischer, dynamischer und hybrider Analyse bewerten.
2. Schritt 2: Indikatoren, Funktionen und MITRE-ATT&CK-Kontext herausarbeiten.
3. Schritt 3: YARA-Regel entwickeln, testen und für Retro Hunting einsetzen.
4. Schritt 4: Befunde für MISP, STIX, JSON, SIEM und Sensoranreicherung strukturieren.

5. Orchestrierung und Incident Response

1. Schritt 1: Doubt-Removal- und SOAR-Workflow mit Eskalationsstufen modellieren.
2. Schritt 2: EDR- und NDR-Kontext mit Dateianalyse verknüpfen.
3. Schritt 3: Scoping, Containment, Eradikation und Wiederherstellung in einem Incident-Fall durchführen.
4. Schritt 4: Zeitlinie, Analystenbericht und Managementbewertung erstellen.

6. Performance, Diagnose und Betriebsübergabe

1. Schritt 1: Durchsatz, Latenz, Worker, Cache, Dateigrenzen und Queue-Verhalten messen.
2. Schritt 2: TLS-, Token-, Datei-, Connector-, Alerting- und Lastfehler systematisch diagnostizieren.
3. Schritt 3: Kennzahlen, Kontrolltests, Runbooks und Eskalationspakete definieren.
4. Schritt 4: Gesamtarchitektur und Betriebsmodell in einer technischen Abnahme verteidigen.

Praxisübungen

1. Aufbau einer Miniatur-Gesamtplattform mit Kiosk-, Detect- und Expert-Prozess
2. Integration von API, Host Connector und CI/CD-Gate
3. Analyse einer Probe mit YARA, Retro Hunting und CTI-Export
4. Doubt-Removal- und SOAR-Workflow mit EDR/NDR-Kontext
5. Incident-Response-Fall mit Performance- und Störungsanteil
6. Technische Abnahme und Betriebsübergabe anhand eines Prüfkatalogs

Zielgruppe und Voraussetzungen

Zielgruppe: Architekten, Administratoren, DevOps, SOC Engineering, Malware Analysts, Incident Response, Threat Hunting und technische Projektleitung

Voraussetzungen: Breite Grundlagen in IT-Sicherheit, Netzwerk, APIs, Plattformbetrieb und SOC-Prozessen; vertiefte Spezialkenntnisse sind nicht zwingend

Methodik

Fachliche Einordnung, technische Demonstration und praktische Umsetzung wechseln sich ab. Jeder Themenblock folgt derselben belastbaren Reihenfolge: Ziel und Risiko bestimmen, Konfiguration oder Analyse durchführen, Sollzustand prüfen, Fehlerfall testen und den wiederholbaren Betriebsablauf dokumentieren.