Seminar Nextron THOR – Analyse, Scoring und Ergebnisbewertung

Das Seminar entwickelt einen belastbaren Bewertungsprozess für THOR-Ergebnisse. Einzelne Treffer werden nicht isoliert betrachtet, sondern mit Score, Gründen, Hostkontext, Signaturtyp, Zeitbezug und zusätzlichen Artefakten zu einer nachvollziehbaren Untersuchungsentscheidung verbunden.

Inhaltsübersicht

• Lernziele und fachliche Einordnung
• Schrittweise Seminarinhalte
• Praxisübungen und Laborszenarien
• Zielgruppe und Voraussetzungen
• Didaktik und Arbeitsweise

Lernziele

• THOR-Schweregrade, Scores und Gründe korrekt interpretieren.
• Logformate und Berichtsausgaben sicher lesen und vergleichen.
• Ereignisse nach Risiko, Plausibilität und Kontext priorisieren.
• False Positives erkennen, begründen und kontrolliert behandeln.
• Ergebnisse an Analysis Cockpit, SIEM und Incident Response übergeben.

Schrittweise Seminarinhalte

1. THOR-Ereignismodell

Schwerpunkt: Module, Features, Meldungstypen, Schweregrade, Score, Gründe, Signaturquelle und Objektbezug.

1. Ausgangslage, Schutzbedarf und Zielkriterien für den Themenblock „THOR-Ereignismodell“ erfassen.
2. Relevante Datenquellen, Objekte, Rollen und Abhängigkeiten anhand von Module, Features, Meldungstypen, Schweregrade, Score, Gründe, Signaturquelle und Objektbezug modellieren.
3. Die erforderliche Konfiguration, Analyse- oder Prozessfolge am Laborsystem schrittweise umsetzen.
4. Funktion, Berechtigungen, Protokollierung und Fehlerverhalten mit definierten Positiv- und Negativfällen prüfen.
5. Als Arbeitsergebnis ein konsistentes Interpretationsmodell dokumentieren, fachlich abnehmen und in einen wiederholbaren Standard überführen.

2. Scoring-System und Schwellenwerte

Schwerpunkt: positive und negative Scores, kumulative Gründe, benutzerdefinierte Werte, Grenzfälle und Priorisierung.

1. Ausgangslage, Schutzbedarf und Zielkriterien für den Themenblock „Scoring-System und Schwellenwerte“ erfassen.
2. Relevante Datenquellen, Objekte, Rollen und Abhängigkeiten anhand von positive und negative Scores, kumulative Gründe, benutzerdefinierte Werte, Grenzfälle und Priorisierung modellieren.
3. Die erforderliche Konfiguration, Analyse- oder Prozessfolge am Laborsystem schrittweise umsetzen.
4. Funktion, Berechtigungen, Protokollierung und Fehlerverhalten mit definierten Positiv- und Negativfällen prüfen.
5. Als Arbeitsergebnis eine dokumentierte Score- und Eskalationsmatrix dokumentieren, fachlich abnehmen und in einen wiederholbaren Standard überführen.

3. Log- und Ausgabeformate

Schwerpunkt: Konsole, Text, JSON, Syslog, TCP oder UDP, verschlüsselte Ausgabe, HTML und Konvertierung.

1. Ausgangslage, Schutzbedarf und Zielkriterien für den Themenblock „Log- und Ausgabeformate“ erfassen.
2. Relevante Datenquellen, Objekte, Rollen und Abhängigkeiten anhand von Konsole, Text, JSON, Syslog, TCP oder UDP, verschlüsselte Ausgabe, HTML und Konvertierung modellieren.
3. Die erforderliche Konfiguration, Analyse- oder Prozessfolge am Laborsystem schrittweise umsetzen.
4. Funktion, Berechtigungen, Protokollierung und Fehlerverhalten mit definierten Positiv- und Negativfällen prüfen.
5. Als Arbeitsergebnis einen sicheren Auswertungs- und Ausgabeweg dokumentieren, fachlich abnehmen und in einen wiederholbaren Standard überführen.

4. Kontextbildung und Pivoting

Schwerpunkt: Host, Benutzer, Prozess, Pfad, Hash, Netzwerk, Eventlog, Zeit und verwandte Treffer.

1. Ausgangslage, Schutzbedarf und Zielkriterien für den Themenblock „Kontextbildung und Pivoting“ erfassen.
2. Relevante Datenquellen, Objekte, Rollen und Abhängigkeiten anhand von Host, Benutzer, Prozess, Pfad, Hash, Netzwerk, Eventlog, Zeit und verwandte Treffer modellieren.
3. Die erforderliche Konfiguration, Analyse- oder Prozessfolge am Laborsystem schrittweise umsetzen.
4. Funktion, Berechtigungen, Protokollierung und Fehlerverhalten mit definierten Positiv- und Negativfällen prüfen.
5. Als Arbeitsergebnis einen wiederholbaren Kontext- und Pivot-Prozess dokumentieren, fachlich abnehmen und in einen wiederholbaren Standard überführen.

5. False Positives und Gegenprüfung

Schwerpunkt: erwartbare Tools, Pfade, Signaturen, Ausnahmen, Hashprüfung, Regelkontext und dokumentierte Begründung.

1. Ausgangslage, Schutzbedarf und Zielkriterien für den Themenblock „False Positives und Gegenprüfung“ erfassen.
2. Relevante Datenquellen, Objekte, Rollen und Abhängigkeiten anhand von erwartbare Tools, Pfade, Signaturen, Ausnahmen, Hashprüfung, Regelkontext und dokumentierte Begründung modellieren.
3. Die erforderliche Konfiguration, Analyse- oder Prozessfolge am Laborsystem schrittweise umsetzen.
4. Funktion, Berechtigungen, Protokollierung und Fehlerverhalten mit definierten Positiv- und Negativfällen prüfen.
5. Als Arbeitsergebnis einen kontrollierten False-Positive-Bewertungsprozess dokumentieren, fachlich abnehmen und in einen wiederholbaren Standard überführen.

6. Triage und Incident-Entscheidung

Schwerpunkt: Dringlichkeit, Auswirkung, weitere Datenerhebung, Isolation, Evidence, Eskalation und Case-Eröffnung.

1. Ausgangslage, Schutzbedarf und Zielkriterien für den Themenblock „Triage und Incident-Entscheidung“ erfassen.
2. Relevante Datenquellen, Objekte, Rollen und Abhängigkeiten anhand von Dringlichkeit, Auswirkung, weitere Datenerhebung, Isolation, Evidence, Eskalation und Case-Eröffnung modellieren.
3. Die erforderliche Konfiguration, Analyse- oder Prozessfolge am Laborsystem schrittweise umsetzen.
4. Funktion, Berechtigungen, Protokollierung und Fehlerverhalten mit definierten Positiv- und Negativfällen prüfen.
5. Als Arbeitsergebnis eine belastbare Triage-Entscheidungsmatrix dokumentieren, fachlich abnehmen und in einen wiederholbaren Standard überführen.

7. Cockpit-, SIEM- und Berichtübergabe

Schwerpunkt: Analysis Cockpit, Splunk, Syslog, THOR Util Report, Felder, Korrelation, Aufbewahrung und Übergabenachweis.

1. Ausgangslage, Schutzbedarf und Zielkriterien für den Themenblock „Cockpit-, SIEM- und Berichtübergabe“ erfassen.
2. Relevante Datenquellen, Objekte, Rollen und Abhängigkeiten anhand von Analysis Cockpit, Splunk, Syslog, THOR Util Report, Felder, Korrelation, Aufbewahrung und Übergabenachweis modellieren.
3. Die erforderliche Konfiguration, Analyse- oder Prozessfolge am Laborsystem schrittweise umsetzen.
4. Funktion, Berechtigungen, Protokollierung und Fehlerverhalten mit definierten Positiv- und Negativfällen prüfen.
5. Als Arbeitsergebnis einen standardisierten Analyse- und Übergabeprozess dokumentieren, fachlich abnehmen und in einen wiederholbaren Standard überführen.

Praxisübungen und Laborszenarien

• Bewertung eines gemischten THOR-Logs mit mehreren Score- und Signaturtypen.
• Pivoting von einem Einzelbefund zu Prozess-, Datei- und Netzwerkbezug.
• Erstellung einer Triage-Matrix mit False-Positive- und Eskalationskriterien.
• Aufbereitung eines Ergebnisdatensatzes für Cockpit- oder SIEM-Übergabe.

Zielgruppe und Voraussetzungen

Zielgruppe: SOC-Analysten, Threat Hunter, Incident Responder, Forensiker und THOR-Anwender.

Voraussetzungen: Grundkenntnisse in Endpoint-Artefakten, Malware-Indikatoren, Eventlogs und Incident-Response-Prozessen.

Didaktik und Arbeitsweise

Kurze Fachimpulse werden unmittelbar durch Demonstrationen, strukturierte Konfigurationsschritte, praktische Übungen und kontrollierte Fehlerfälle vertieft. Jede Übung verwendet definierte Ausgangswerte, Prüfpunkte und Dokumentationsanforderungen, damit die erarbeiteten Abläufe als Betriebsstandard wiederholbar bleiben.