Seminar Nextron THOR – Scanmodi, Konfiguration und Ressourcensteuerung

Das Seminar vermittelt die kontrollierte Konfiguration von THOR für unterschiedliche Systemklassen und Untersuchungsziele. Standardverhalten, Module, Features, Templates und Ressourcenparameter werden anhand messbarer Abdeckungs- und Lastziele angepasst.

Inhaltsübersicht

• Lernziele und fachliche Einordnung
• Schrittweise Seminarinhalte
• Praxisübungen und Laborszenarien
• Zielgruppe und Voraussetzungen
• Didaktik und Arbeitsweise

Lernziele

• Module, Features und Scanmodi passend zum Use Case auswählen.
• YAML-Templates und Kommandozeilenparameter konsistent einsetzen.
• Multithreading, CPU-Limit und Prozesspriorität kontrollieren.
• Dateigrößen, Laufwerke, Archive und Ausschlüsse sicher konfigurieren.
• Ausgaben, Diagnosen und Abnahmetests standardisieren.

Schrittweise Seminarinhalte

1. Scananforderungen und Baseline

Schwerpunkt: Systemklasse, Untersuchungsziel, Zeitfenster, Privilegien, Abdeckung, Last und Ergebnisweg.

1. Ausgangslage, Schutzbedarf und Zielkriterien für den Themenblock „Scananforderungen und Baseline“ erfassen.
2. Relevante Datenquellen, Objekte, Rollen und Abhängigkeiten anhand von Systemklasse, Untersuchungsziel, Zeitfenster, Privilegien, Abdeckung, Last und Ergebnisweg modellieren.
3. Die erforderliche Konfiguration, Analyse- oder Prozessfolge am Laborsystem schrittweise umsetzen.
4. Funktion, Berechtigungen, Protokollierung und Fehlerverhalten mit definierten Positiv- und Negativfällen prüfen.
5. Als Arbeitsergebnis eine messbare Scan-Konfigurationsbaseline dokumentieren, fachlich abnehmen und in einen wiederholbaren Standard überführen.

2. Module und Features

Schwerpunkt: aktive Module, Zusatzmodule, Features, Extras, Plattformabhängigkeiten und gezielte Auswahl.

1. Ausgangslage, Schutzbedarf und Zielkriterien für den Themenblock „Module und Features“ erfassen.
2. Relevante Datenquellen, Objekte, Rollen und Abhängigkeiten anhand von aktive Module, Zusatzmodule, Features, Extras, Plattformabhängigkeiten und gezielte Auswahl modellieren.
3. Die erforderliche Konfiguration, Analyse- oder Prozessfolge am Laborsystem schrittweise umsetzen.
4. Funktion, Berechtigungen, Protokollierung und Fehlerverhalten mit definierten Positiv- und Negativfällen prüfen.
5. Als Arbeitsergebnis eine abgestimmte Modul- und Feature-Matrix dokumentieren, fachlich abnehmen und in einen wiederholbaren Standard überführen.

3. Kommandozeilenparameter

Schwerpunkt: häufige Parameter, riskante Flags, nützliche Optionen, Pfade, Laufwerke, Signaturauswahl und Beispiele.

1. Ausgangslage, Schutzbedarf und Zielkriterien für den Themenblock „Kommandozeilenparameter“ erfassen.
2. Relevante Datenquellen, Objekte, Rollen und Abhängigkeiten anhand von häufige Parameter, riskante Flags, nützliche Optionen, Pfade, Laufwerke, Signaturauswahl und Beispiele modellieren.
3. Die erforderliche Konfiguration, Analyse- oder Prozessfolge am Laborsystem schrittweise umsetzen.
4. Funktion, Berechtigungen, Protokollierung und Fehlerverhalten mit definierten Positiv- und Negativfällen prüfen.
5. Als Arbeitsergebnis einen geprüften Parameterkatalog dokumentieren, fachlich abnehmen und in einen wiederholbaren Standard überführen.

4. YAML-Scan-Templates

Schwerpunkt: Generierung, Struktur, Kombination mehrerer Templates, Versionierung, Kommentare, Secrets und Tests.

1. Ausgangslage, Schutzbedarf und Zielkriterien für den Themenblock „YAML-Scan-Templates“ erfassen.
2. Relevante Datenquellen, Objekte, Rollen und Abhängigkeiten anhand von Generierung, Struktur, Kombination mehrerer Templates, Versionierung, Kommentare, Secrets und Tests modellieren.
3. Die erforderliche Konfiguration, Analyse- oder Prozessfolge am Laborsystem schrittweise umsetzen.
4. Funktion, Berechtigungen, Protokollierung und Fehlerverhalten mit definierten Positiv- und Negativfällen prüfen.
5. Als Arbeitsergebnis eine versionierte Template-Bibliothek dokumentieren, fachlich abnehmen und in einen wiederholbaren Standard überführen.

5. Ressourcensteuerung

Schwerpunkt: Multithreading, CPU-Limit, Prozesspriorität, Speicher, I/O, Rescontrol, Laufzeit und Systemlast.

1. Ausgangslage, Schutzbedarf und Zielkriterien für den Themenblock „Ressourcensteuerung“ erfassen.
2. Relevante Datenquellen, Objekte, Rollen und Abhängigkeiten anhand von Multithreading, CPU-Limit, Prozesspriorität, Speicher, I/O, Rescontrol, Laufzeit und Systemlast modellieren.
3. Die erforderliche Konfiguration, Analyse- oder Prozessfolge am Laborsystem schrittweise umsetzen.
4. Funktion, Berechtigungen, Protokollierung und Fehlerverhalten mit definierten Positiv- und Negativfällen prüfen.
5. Als Arbeitsergebnis ein belastbares Last- und Performanceprofil dokumentieren, fachlich abnehmen und in einen wiederholbaren Standard überführen.

6. Dateien, Archive und Ausschlüsse

Schwerpunkt: maximale Dateigröße, Archive, rekursive Ebenen, Netzpfade, Symlinks, Excludes und False Positives.

1. Ausgangslage, Schutzbedarf und Zielkriterien für den Themenblock „Dateien, Archive und Ausschlüsse“ erfassen.
2. Relevante Datenquellen, Objekte, Rollen und Abhängigkeiten anhand von maximale Dateigröße, Archive, rekursive Ebenen, Netzpfade, Symlinks, Excludes und False Positives modellieren.
3. Die erforderliche Konfiguration, Analyse- oder Prozessfolge am Laborsystem schrittweise umsetzen.
4. Funktion, Berechtigungen, Protokollierung und Fehlerverhalten mit definierten Positiv- und Negativfällen prüfen.
5. Als Arbeitsergebnis eine sichere Abdeckungs- und Ausnahmeplanung dokumentieren, fachlich abnehmen und in einen wiederholbaren Standard überführen.

7. Output, Diagnose und Abnahme

Schwerpunkt: Logformate, Syslog, Verschlüsselung, Debug-Flags, Diagnostics Pack, Bottlenecks und Vergleichsläufe.

1. Ausgangslage, Schutzbedarf und Zielkriterien für den Themenblock „Output, Diagnose und Abnahme“ erfassen.
2. Relevante Datenquellen, Objekte, Rollen und Abhängigkeiten anhand von Logformate, Syslog, Verschlüsselung, Debug-Flags, Diagnostics Pack, Bottlenecks und Vergleichsläufe modellieren.
3. Die erforderliche Konfiguration, Analyse- oder Prozessfolge am Laborsystem schrittweise umsetzen.
4. Funktion, Berechtigungen, Protokollierung und Fehlerverhalten mit definierten Positiv- und Negativfällen prüfen.
5. Als Arbeitsergebnis einen reproduzierbaren Test- und Abnahmeprozess dokumentieren, fachlich abnehmen und in einen wiederholbaren Standard überführen.

Praxisübungen und Laborszenarien

• Erstellung mehrerer YAML-Templates für Workstation, Server und Domain Controller.
• Benchmark unterschiedlicher Thread- und CPU-Einstellungen.
• Negativtest von Laufwerks-, Archiv- und Ausschlusskonfigurationen.
• Diagnose eines absichtlich verlangsamt oder fehlerhaft konfigurierten Scans.

Zielgruppe und Voraussetzungen

Zielgruppe: THOR-Anwender, SOC Engineering, Systemadministration, Incident Response und Performance- beziehungsweise Betriebsverantwortung.

Voraussetzungen: Grundlegende THOR-Bedienung, sichere Kommandozeilennutzung und Verständnis von CPU-, Speicher- und I/O-Ressourcen.

Didaktik und Arbeitsweise

Kurze Fachimpulse werden unmittelbar durch Demonstrationen, strukturierte Konfigurationsschritte, praktische Übungen und kontrollierte Fehlerfälle vertieft. Jede Übung verwendet definierte Ausgangswerte, Prüfpunkte und Dokumentationsanforderungen, damit die erarbeiteten Abläufe als Betriebsstandard wiederholbar bleiben.