Seminar NetEye Log Management und SIEM mit Elastic Stack

Inhaltsübersicht

• Logursprünge, Agenten und Pipelines
• Parsing, Normalisierung und Datenqualität
• Suche, Dashboards und SIEM-Regeln
• Incident-Bewertung, Audit und Betrieb

Seminarbeschreibung

Dieses Seminar behandelt zentrale Logsammlung, Verarbeitung, Suche, Dashboards, SIEM-Use-Cases, Alarmierung und die sichere Auswertung von Ereignisdaten.

Die notwendige Dauer beträgt vier Tage, weil Log-Pipelines, Datenmodell, Elastic-Auswertung, Sicherheitsregeln und Betriebsprozesse praktisch aufgebaut werden.

Zielgruppe

Das Seminar richtet sich an Security-Analysten, SOC-Teams, Administratoren, Plattformbetreiber und Verantwortliche für Log Management.

Voraussetzungen

Erforderlich sind sichere Grundlagen in Linux, Netzwerkprotokollen, Authentifizierung, Logdaten und operativer IT-Sicherheit.

Seminarinhalte

1. Logstrategie festlegen

Zuerst wird entschieden, welche Logs aus Sicherheits- und Betriebsgründen zentral erfasst werden müssen.

1. Logursprünge inventarisieren.
2. Schutz- und Aufbewahrungsbedarf bewerten.
3. Prioritäten je Systemklasse festlegen.

2. Ingestion vorbereiten

Agenten, Beats, Pipeline-Komponenten und Zielindizes werden für eine belastbare Erfassung geplant.

1. Agentenpfad auswählen.
2. Eingangsformat prüfen.
3. Index- und Retention-Konzept ableiten.

3. Daten normalisieren

Rohdaten werden so verarbeitet, dass Suche, Korrelation und Alarmierung verlässlich funktionieren.

1. Feldstruktur analysieren.
2. Parsing-Regel entwerfen.
3. Normalisierte Ausgabe prüfen.

4. Kibana- und SIEM-Sichten nutzen

Suchen, Dashboards und Regeln werden für Security- und Betriebsszenarien aufgebaut.

1. Suchabfrage erstellen.
2. Dashboard-Elemente anlegen.
3. Regelbedingung testen.

5. Sicherheitsvorfall untersuchen

Ereignisse werden vom Alarm bis zur Bewertung systematisch verfolgt.

1. Alarmkontext öffnen.
2. Zeitlinie aufbauen.
3. Befund dokumentieren und Eskalation festlegen.

6. Betrieb absichern

Pipelines, Speicher, Berechtigungen und Audit-Anforderungen werden regelmäßig geprüft.

1. Pipeline-Status kontrollieren.
2. Datenlücken suchen.
3. Kontrollpunkte für Regelbetrieb definieren.

Praxisübungen

• Logursprung anbinden.
• Parsing-Regel auf Beispieldaten anwenden.
• SIEM-Suche und Dashboard erstellen.
• Alarmfall untersuchen und dokumentieren.