Seminar Nextron THOR – Deployment, Automatisierung und Offline-Betrieb

Das Seminar behandelt unterschiedliche Verteil- und Ausführungsmodelle für THOR in zentralen, dezentralen und abgeschotteten Umgebungen. Paket, Lizenz, Signaturen, Startparameter, Ergebnisübertragung und Bereinigung werden als kontrollierte Ende-zu-Ende-Kette aufgebaut.

Inhaltsübersicht

• Lernziele und fachliche Einordnung
• Schrittweise Seminarinhalte
• Praxisübungen und Laborszenarien
• Zielgruppe und Voraussetzungen
• Didaktik und Arbeitsweise

Lernziele

• Deploymentmodelle anhand von Netz, Plattform und Einsatzlage auswählen.
• Pakete, Lizenzen und Signaturen sicher bereitstellen.
• Netzwerkfreigabe, ASGARD und Ansible reproduzierbar einsetzen.
• Remote-, Thunderstorm- und Offline-Szenarien kontrolliert umsetzen.
• Last, Fehlerbehandlung, Ergebniswege und Nachweisführung standardisieren.

Schrittweise Seminarinhalte

1. Deployment-Zielbild und Auswahlkriterien

Schwerpunkt: Endpoint-Zahl, Plattformen, Netztrennung, Privilegien, Scanfrequenz, Updatezugang und Ergebnisziele.

1. Ausgangslage, Schutzbedarf und Zielkriterien für den Themenblock „Deployment-Zielbild und Auswahlkriterien“ erfassen.
2. Relevante Datenquellen, Objekte, Rollen und Abhängigkeiten anhand von Endpoint-Zahl, Plattformen, Netztrennung, Privilegien, Scanfrequenz, Updatezugang und Ergebnisziele modellieren.
3. Die erforderliche Konfiguration, Analyse- oder Prozessfolge am Laborsystem schrittweise umsetzen.
4. Funktion, Berechtigungen, Protokollierung und Fehlerverhalten mit definierten Positiv- und Negativfällen prüfen.
5. Als Arbeitsergebnis eine risikobasierte Deployment-Matrix dokumentieren, fachlich abnehmen und in einen wiederholbaren Standard überführen.

2. Pakete, Lizenzen und Signaturen

Schwerpunkt: THOR-Paket, Architektur, Lizenzabruf, Update, Integritätsprüfung, EDR-Ausnahme und sichere Ablage.

1. Ausgangslage, Schutzbedarf und Zielkriterien für den Themenblock „Pakete, Lizenzen und Signaturen“ erfassen.
2. Relevante Datenquellen, Objekte, Rollen und Abhängigkeiten anhand von THOR-Paket, Architektur, Lizenzabruf, Update, Integritätsprüfung, EDR-Ausnahme und sichere Ablage modellieren.
3. Die erforderliche Konfiguration, Analyse- oder Prozessfolge am Laborsystem schrittweise umsetzen.
4. Funktion, Berechtigungen, Protokollierung und Fehlerverhalten mit definierten Positiv- und Negativfällen prüfen.
5. Als Arbeitsergebnis einen geprüften Bereitstellungsprozess dokumentieren, fachlich abnehmen und in einen wiederholbaren Standard überführen.

3. Windows-Netzwerkfreigabe

Schwerpunkt: Freigabe, Rechte, PsExec oder geplante Ausführung, Parameter, Logs, Cleanup und Fehlerfälle.

1. Ausgangslage, Schutzbedarf und Zielkriterien für den Themenblock „Windows-Netzwerkfreigabe“ erfassen.
2. Relevante Datenquellen, Objekte, Rollen und Abhängigkeiten anhand von Freigabe, Rechte, PsExec oder geplante Ausführung, Parameter, Logs, Cleanup und Fehlerfälle modellieren.
3. Die erforderliche Konfiguration, Analyse- oder Prozessfolge am Laborsystem schrittweise umsetzen.
4. Funktion, Berechtigungen, Protokollierung und Fehlerverhalten mit definierten Positiv- und Negativfällen prüfen.
5. Als Arbeitsergebnis einen wiederholbaren Windows-Share-Rollout dokumentieren, fachlich abnehmen und in einen wiederholbaren Standard überführen.

4. ASGARD- und Agent-basierte Verteilung

Schwerpunkt: Agent, Download, Lizenzierung, Scanauftrag, Gruppen, Versionen, Live Events und Wiederaufnahme.

1. Ausgangslage, Schutzbedarf und Zielkriterien für den Themenblock „ASGARD- und Agent-basierte Verteilung“ erfassen.
2. Relevante Datenquellen, Objekte, Rollen und Abhängigkeiten anhand von Agent, Download, Lizenzierung, Scanauftrag, Gruppen, Versionen, Live Events und Wiederaufnahme modellieren.
3. Die erforderliche Konfiguration, Analyse- oder Prozessfolge am Laborsystem schrittweise umsetzen.
4. Funktion, Berechtigungen, Protokollierung und Fehlerverhalten mit definierten Positiv- und Negativfällen prüfen.
5. Als Arbeitsergebnis einen kontrollierten ASGARD-Scanweg dokumentieren, fachlich abnehmen und in einen wiederholbaren Standard überführen.

5. Ansible und Linux-Automatisierung

Schwerpunkt: Inventar, Privilege Escalation, Kopieren, Ausführen, Einsammeln, Idempotenz und Fehlerbehandlung.

1. Ausgangslage, Schutzbedarf und Zielkriterien für den Themenblock „Ansible und Linux-Automatisierung“ erfassen.
2. Relevante Datenquellen, Objekte, Rollen und Abhängigkeiten anhand von Inventar, Privilege Escalation, Kopieren, Ausführen, Einsammeln, Idempotenz und Fehlerbehandlung modellieren.
3. Die erforderliche Konfiguration, Analyse- oder Prozessfolge am Laborsystem schrittweise umsetzen.
4. Funktion, Berechtigungen, Protokollierung und Fehlerverhalten mit definierten Positiv- und Negativfällen prüfen.
5. Als Arbeitsergebnis einen robusten Linux-Automationsworkflow dokumentieren, fachlich abnehmen und in einen wiederholbaren Standard überführen.

6. THOR Remote und Thunderstorm

Schwerpunkt: Remote-Start, Servicebetrieb, Collector, Datenstrom, Authentisierung, Skalierung und Monitoring.

1. Ausgangslage, Schutzbedarf und Zielkriterien für den Themenblock „THOR Remote und Thunderstorm“ erfassen.
2. Relevante Datenquellen, Objekte, Rollen und Abhängigkeiten anhand von Remote-Start, Servicebetrieb, Collector, Datenstrom, Authentisierung, Skalierung und Monitoring modellieren.
3. Die erforderliche Konfiguration, Analyse- oder Prozessfolge am Laborsystem schrittweise umsetzen.
4. Funktion, Berechtigungen, Protokollierung und Fehlerverhalten mit definierten Positiv- und Negativfällen prüfen.
5. Als Arbeitsergebnis einen abgesicherten Remote- oder Streaming-Betrieb dokumentieren, fachlich abnehmen und in einen wiederholbaren Standard überführen.

7. Offline-Netze und Außenstellen

Schwerpunkt: Pakettransport, Lizenzen, Signaturstand, Medienkontrolle, Ergebnisrückführung, Ablauf und Nachweis.

1. Ausgangslage, Schutzbedarf und Zielkriterien für den Themenblock „Offline-Netze und Außenstellen“ erfassen.
2. Relevante Datenquellen, Objekte, Rollen und Abhängigkeiten anhand von Pakettransport, Lizenzen, Signaturstand, Medienkontrolle, Ergebnisrückführung, Ablauf und Nachweis modellieren.
3. Die erforderliche Konfiguration, Analyse- oder Prozessfolge am Laborsystem schrittweise umsetzen.
4. Funktion, Berechtigungen, Protokollierung und Fehlerverhalten mit definierten Positiv- und Negativfällen prüfen.
5. Als Arbeitsergebnis einen revisionsfähigen Offline-Scanprozess dokumentieren, fachlich abnehmen und in einen wiederholbaren Standard überführen.

Praxisübungen und Laborszenarien

• Planung einer Deployment-Matrix für drei unterschiedlich verbundene Netzbereiche.
• Aufbau eines automatisierten THOR-Laufs mit Paketierung, Start und Logrückführung.
• Simulation eines Offline-Rollouts mit Medien- und Versionskontrolle.
• Messung und Begrenzung der Scanlast auf einem Testsystem.

Zielgruppe und Voraussetzungen

Zielgruppe: Systemadministration, Security Operations, DevOps, Incident Response, Netzwerkbetrieb und technische Projektleitung.

Voraussetzungen: Praxiskenntnisse in Windows- oder Linux-Administration, Skripting, Netzwerkfreigaben, Berechtigungen und grundlegender THOR-Bedienung.

Didaktik und Arbeitsweise

Kurze Fachimpulse werden unmittelbar durch Demonstrationen, strukturierte Konfigurationsschritte, praktische Übungen und kontrollierte Fehlerfälle vertieft. Jede Übung verwendet definierte Ausgangswerte, Prüfpunkte und Dokumentationsanforderungen, damit die erarbeiteten Abläufe als Betriebsstandard wiederholbar bleiben.