Seminar ASGARD Management Center – Response Playbooks, Remote Console und Evidence Collection

Das Seminar vermittelt die sichere Ausführung von Response-Maßnahmen auf einzelnen oder vielen Endpoints. Playbooks, Remote Console und Evidence Collection werden mit Freigaben, Protokollierung, Integrität und forensischer Übergabe verbunden.

Inhaltsübersicht

• Lernziele und fachliche Einordnung
• Schrittweise Seminarinhalte
• Praxisübungen und Laborszenarien
• Zielgruppe und Voraussetzungen
• Didaktik und Arbeitsweise

Lernziele

• Response-Maßnahmen nach Risiko, Auswirkung und Freigabebedarf klassifizieren.
• Vordefinierte und eigene Playbooks kontrolliert ausführen.
• Remote-Console-Sitzungen sicher freigeben, aufzeichnen und prüfen.
• Dateien, Verzeichnisse, Speicher und Triage-Pakete beweissicher erfassen.
• Evidence-Aufbewahrung, Verschlüsselung und Übergabe standardisieren.

Schrittweise Seminarinhalte

1. Response-Zielbild und Freigaben

Schwerpunkt: Incident-Klassen, Zielsysteme, Auswirkung, Vier-Augen-Prinzip, Kommunikationswege und Abbruchkriterien.

1. Ausgangslage, Schutzbedarf und Zielkriterien für den Themenblock „Response-Zielbild und Freigaben“ erfassen.
2. Relevante Datenquellen, Objekte, Rollen und Abhängigkeiten anhand von Incident-Klassen, Zielsysteme, Auswirkung, Vier-Augen-Prinzip, Kommunikationswege und Abbruchkriterien modellieren.
3. Die erforderliche Konfiguration, Analyse- oder Prozessfolge am Laborsystem schrittweise umsetzen.
4. Funktion, Berechtigungen, Protokollierung und Fehlerverhalten mit definierten Positiv- und Negativfällen prüfen.
5. Als Arbeitsergebnis eine abgestimmte Response- und Freigabematrix dokumentieren, fachlich abnehmen und in einen wiederholbaren Standard überführen.

2. Response Control und Aufgabenmodell

Schwerpunkt: Einzel- und Gruppenaufträge, Status, Interrogate, Wartung, Proxy, Umzug und Audit.

1. Ausgangslage, Schutzbedarf und Zielkriterien für den Themenblock „Response Control und Aufgabenmodell“ erfassen.
2. Relevante Datenquellen, Objekte, Rollen und Abhängigkeiten anhand von Einzel- und Gruppenaufträge, Status, Interrogate, Wartung, Proxy, Umzug und Audit modellieren.
3. Die erforderliche Konfiguration, Analyse- oder Prozessfolge am Laborsystem schrittweise umsetzen.
4. Funktion, Berechtigungen, Protokollierung und Fehlerverhalten mit definierten Positiv- und Negativfällen prüfen.
5. Als Arbeitsergebnis einen kontrollierten Aufgaben- und Statusprozess dokumentieren, fachlich abnehmen und in einen wiederholbaren Standard überführen.

3. Vordefinierte Playbooks

Schwerpunkt: Agentlogs, Triage-Pakete, Isolation, Speicher, Dateien, Verzeichnisse, Befehle und Diagnosen.

1. Ausgangslage, Schutzbedarf und Zielkriterien für den Themenblock „Vordefinierte Playbooks“ erfassen.
2. Relevante Datenquellen, Objekte, Rollen und Abhängigkeiten anhand von Agentlogs, Triage-Pakete, Isolation, Speicher, Dateien, Verzeichnisse, Befehle und Diagnosen modellieren.
3. Die erforderliche Konfiguration, Analyse- oder Prozessfolge am Laborsystem schrittweise umsetzen.
4. Funktion, Berechtigungen, Protokollierung und Fehlerverhalten mit definierten Positiv- und Negativfällen prüfen.
5. Als Arbeitsergebnis einen geprüften Standard-Playbook-Katalog dokumentieren, fachlich abnehmen und in einen wiederholbaren Standard überführen.

4. Eigene mehrstufige Playbooks

Schwerpunkt: Schritte, Parameter, Bedingungen, Befehle, Ausgabe, Fehlerbehandlung, Test und Versionierung.

1. Ausgangslage, Schutzbedarf und Zielkriterien für den Themenblock „Eigene mehrstufige Playbooks“ erfassen.
2. Relevante Datenquellen, Objekte, Rollen und Abhängigkeiten anhand von Schritte, Parameter, Bedingungen, Befehle, Ausgabe, Fehlerbehandlung, Test und Versionierung modellieren.
3. Die erforderliche Konfiguration, Analyse- oder Prozessfolge am Laborsystem schrittweise umsetzen.
4. Funktion, Berechtigungen, Protokollierung und Fehlerverhalten mit definierten Positiv- und Negativfällen prüfen.
5. Als Arbeitsergebnis ein freigegebenes benutzerdefiniertes Response-Playbook dokumentieren, fachlich abnehmen und in einen wiederholbaren Standard überführen.

5. Remote Console

Schwerpunkt: Root- oder Systemkontext, Freigabe, Kommandos, Sitzungsprotokoll, Wiedergabe, Datenschutz und Abschluss.

1. Ausgangslage, Schutzbedarf und Zielkriterien für den Themenblock „Remote Console“ erfassen.
2. Relevante Datenquellen, Objekte, Rollen und Abhängigkeiten anhand von Root- oder Systemkontext, Freigabe, Kommandos, Sitzungsprotokoll, Wiedergabe, Datenschutz und Abschluss modellieren.
3. Die erforderliche Konfiguration, Analyse- oder Prozessfolge am Laborsystem schrittweise umsetzen.
4. Funktion, Berechtigungen, Protokollierung und Fehlerverhalten mit definierten Positiv- und Negativfällen prüfen.
5. Als Arbeitsergebnis einen revisionsfähigen Remote-Console-Prozess dokumentieren, fachlich abnehmen und in einen wiederholbaren Standard überführen.

6. Evidence Collection

Schwerpunkt: gesammelte Dateien, Verzeichnisse, Speicherabbilder, stdout, Metadaten, verschlüsselte ZIP-Archive und Download.

1. Ausgangslage, Schutzbedarf und Zielkriterien für den Themenblock „Evidence Collection“ erfassen.
2. Relevante Datenquellen, Objekte, Rollen und Abhängigkeiten anhand von gesammelte Dateien, Verzeichnisse, Speicherabbilder, stdout, Metadaten, verschlüsselte ZIP-Archive und Download modellieren.
3. Die erforderliche Konfiguration, Analyse- oder Prozessfolge am Laborsystem schrittweise umsetzen.
4. Funktion, Berechtigungen, Protokollierung und Fehlerverhalten mit definierten Positiv- und Negativfällen prüfen.
5. Als Arbeitsergebnis einen sicheren Evidence-Erfassungsprozess dokumentieren, fachlich abnehmen und in einen wiederholbaren Standard überführen.

7. Integrität, Übergabe und Nachkontrolle

Schwerpunkt: Hashing, Chain of Custody, Aufbewahrung, Übergabe, Endpoint-Nachkontrolle, Lessons Learned und Kennzahlen.

1. Ausgangslage, Schutzbedarf und Zielkriterien für den Themenblock „Integrität, Übergabe und Nachkontrolle“ erfassen.
2. Relevante Datenquellen, Objekte, Rollen und Abhängigkeiten anhand von Hashing, Chain of Custody, Aufbewahrung, Übergabe, Endpoint-Nachkontrolle, Lessons Learned und Kennzahlen modellieren.
3. Die erforderliche Konfiguration, Analyse- oder Prozessfolge am Laborsystem schrittweise umsetzen.
4. Funktion, Berechtigungen, Protokollierung und Fehlerverhalten mit definierten Positiv- und Negativfällen prüfen.
5. Als Arbeitsergebnis ein vollständiges forensisches Übergabe- und Abschluss-Runbook dokumentieren, fachlich abnehmen und in einen wiederholbaren Standard überführen.

Praxisübungen und Laborszenarien

• Ausführung eines vordefinierten Triage-Playbooks auf einer Testgruppe.
• Entwicklung und Negativtest eines eigenen mehrstufigen Playbooks.
• Durchführung und Audit einer Remote-Console-Sitzung.
• Erfassung, Verschlüsselung und dokumentierte Übergabe mehrerer Evidence-Artefakte.

Zielgruppe und Voraussetzungen

Zielgruppe: Incident Response, DFIR, SOC, ASGARD-Administration, Informationssicherheit und technische Einsatzleitung.

Voraussetzungen: Grundkenntnisse in Incident Response, Windows- oder Linux-Administration, forensischer Beweissicherung und ASGARD-Agentbetrieb.

Didaktik und Arbeitsweise

Kurze Fachimpulse werden unmittelbar durch Demonstrationen, strukturierte Konfigurationsschritte, praktische Übungen und kontrollierte Fehlerfälle vertieft. Jede Übung verwendet definierte Ausgangswerte, Prüfpunkte und Dokumentationsanforderungen, damit die erarbeiteten Abläufe als Betriebsstandard wiederholbar bleiben.