Seminar Logpoint Detection Engineering mit MITRE ATT&CK

Ziel und Nutzen

Das Seminar behandelt die Entwicklung, Prüfung und Pflege belastbarer Erkennungslogik. Mit MITRE ATT&CK als Strukturierungsrahmen werden Use Cases von der Hypothese über Datenanforderungen und Regelbau bis zur Qualitätssicherung umgesetzt.

Inhaltsübersicht

• Detection-Lifecycle und Use-Case-Design
• MITRE ATT&CK als Mapping-Struktur
• Datenquellen, Felder und Normalisierung
• Regelbau, Schwellenwerte und Korrelation
• Testdaten, False Positives und Tuning
• Dokumentation und Betriebsübergabe

Schrittweise Seminarinhalte

1. Schritt 1: Angriffstechniken in überwachbare Hypothesen übersetzen.
2. Schritt 2: Benötigte Datenquellen und Normalisierungsfelder identifizieren.
3. Schritt 3: Suchlogik, Korrelationen und Schwellenwerte entwerfen.
4. Schritt 4: Regeln mit Testdaten, historischen Ereignissen und bekannten Gutmustern prüfen.
5. Schritt 5: False Positives analysieren und Tuning-Entscheidungen dokumentieren.
6. Schritt 6: Use Cases versionieren, priorisieren und in den SOC-Betrieb übergeben.
7. Schritt 7: Qualitätskennzahlen für Regelabdeckung, Trefferquote und Bearbeitbarkeit festlegen.

Praktische Übungen

Entwickelt werden mehrere Detection Use Cases mit Mapping, Suchlogik, Testplan, Tuning-Protokoll und Übergabedokumentation.

Zielgruppe

• Detection Engineers, erfahrene SOC-Analysten, Threat Hunter

Voraussetzungen

Sichere Kenntnisse in Logpoint-Suche, Security Monitoring, Windows-/Linux-Logs und Angriffsphasen.