Seminar Nextron THOR und ASGARD – Kompaktseminar Compromise Assessment und Incident Response

Das dreitägige Kompaktseminar vermittelt einen zusammenhängenden Arbeitsprozess vom geplanten THOR-Scan über die zentrale ASGARD-Steuerung bis zur Analyse, Fallbearbeitung und Response-Maßnahme. Das Format schafft eine gemeinsame Grundlage für Einführungs- und Incident-Response-Teams.

Inhaltsübersicht

• Lernziele und fachliche Einordnung
• Schrittweise Seminarinhalte
• Praxisübungen und Laborszenarien
• Zielgruppe und Voraussetzungen
• Didaktik und Arbeitsweise

Lernziele

• THOR und ASGARD in ein gemeinsames Detection- und Response-Modell einordnen.
• Agents, Assets und Scan Templates für einen Pilotbetrieb vorbereiten.
• THOR-Scans ausführen und Ergebnisse nach Score und Kontext bewerten.
• Baselines und Cases im Analysis Cockpit grundlegend bearbeiten.
• Response Playbooks und Evidence Collection kontrolliert einsetzen.

Schrittweise Seminarinhalte

1. Gesamtarchitektur und Use Cases

Schwerpunkt: THOR, Management Center, Analysis Cockpit, Agents, Signaturen, Datenwege, Rollen und Einsatzlagen.

1. Ausgangslage, Schutzbedarf und Zielkriterien für den Themenblock „Gesamtarchitektur und Use Cases“ erfassen.
2. Relevante Datenquellen, Objekte, Rollen und Abhängigkeiten anhand von THOR, Management Center, Analysis Cockpit, Agents, Signaturen, Datenwege, Rollen und Einsatzlagen modellieren.
3. Die erforderliche Konfiguration, Analyse- oder Prozessfolge am Laborsystem schrittweise umsetzen.
4. Funktion, Berechtigungen, Protokollierung und Fehlerverhalten mit definierten Positiv- und Negativfällen prüfen.
5. Als Arbeitsergebnis ein abgestimmtes Gesamtarchitektur- und Pilotzielbild dokumentieren, fachlich abnehmen und in einen wiederholbaren Standard überführen.

2. THOR-Grundkonfiguration und Scanplanung

Schwerpunkt: Edition, Plattform, Lizenz, Updates, Privilegien, Module, Ressourcen und Ergebnisweg.

1. Ausgangslage, Schutzbedarf und Zielkriterien für den Themenblock „THOR-Grundkonfiguration und Scanplanung“ erfassen.
2. Relevante Datenquellen, Objekte, Rollen und Abhängigkeiten anhand von Edition, Plattform, Lizenz, Updates, Privilegien, Module, Ressourcen und Ergebnisweg modellieren.
3. Die erforderliche Konfiguration, Analyse- oder Prozessfolge am Laborsystem schrittweise umsetzen.
4. Funktion, Berechtigungen, Protokollierung und Fehlerverhalten mit definierten Positiv- und Negativfällen prüfen.
5. Als Arbeitsergebnis eine geprüfte THOR-Scanbaseline dokumentieren, fachlich abnehmen und in einen wiederholbaren Standard überführen.

3. ASGARD-Installation und Agent-Onboarding

Schwerpunkt: Appliance, Netzwerk, TLS, Agentpaket, Asset Request, Gruppe und Systemstatus.

1. Ausgangslage, Schutzbedarf und Zielkriterien für den Themenblock „ASGARD-Installation und Agent-Onboarding“ erfassen.
2. Relevante Datenquellen, Objekte, Rollen und Abhängigkeiten anhand von Appliance, Netzwerk, TLS, Agentpaket, Asset Request, Gruppe und Systemstatus modellieren.
3. Die erforderliche Konfiguration, Analyse- oder Prozessfolge am Laborsystem schrittweise umsetzen.
4. Funktion, Berechtigungen, Protokollierung und Fehlerverhalten mit definierten Positiv- und Negativfällen prüfen.
5. Als Arbeitsergebnis eine funktionsfähige ASGARD-Laborbasis dokumentieren, fachlich abnehmen und in einen wiederholbaren Standard überführen.

4. Scan Templates und skalierbare Ausführung

Schwerpunkt: Einzel- und Gruppenscan, Scheduling, Last, Excludes, False-Positive-Filter und Live Streaming.

1. Ausgangslage, Schutzbedarf und Zielkriterien für den Themenblock „Scan Templates und skalierbare Ausführung“ erfassen.
2. Relevante Datenquellen, Objekte, Rollen und Abhängigkeiten anhand von Einzel- und Gruppenscan, Scheduling, Last, Excludes, False-Positive-Filter und Live Streaming modellieren.
3. Die erforderliche Konfiguration, Analyse- oder Prozessfolge am Laborsystem schrittweise umsetzen.
4. Funktion, Berechtigungen, Protokollierung und Fehlerverhalten mit definierten Positiv- und Negativfällen prüfen.
5. Als Arbeitsergebnis einen kontrollierten Pilot-Scanprozess dokumentieren, fachlich abnehmen und in einen wiederholbaren Standard überführen.

5. THOR-Ergebnisse und Triage

Schwerpunkt: Scores, Gründe, Alerts, Kontext, Pivoting, False Positives, Eskalation und Dokumentation.

1. Ausgangslage, Schutzbedarf und Zielkriterien für den Themenblock „THOR-Ergebnisse und Triage“ erfassen.
2. Relevante Datenquellen, Objekte, Rollen und Abhängigkeiten anhand von Scores, Gründe, Alerts, Kontext, Pivoting, False Positives, Eskalation und Dokumentation modellieren.
3. Die erforderliche Konfiguration, Analyse- oder Prozessfolge am Laborsystem schrittweise umsetzen.
4. Funktion, Berechtigungen, Protokollierung und Fehlerverhalten mit definierten Positiv- und Negativfällen prüfen.
5. Als Arbeitsergebnis eine belastbare Triage- und Eskalationsmethodik dokumentieren, fachlich abnehmen und in einen wiederholbaren Standard überführen.

6. Analysis Cockpit und Baselining

Schwerpunkt: Logquelle, AQL, Filter, Zeitbezug, Baseline, automatische Cases und Priorisierung.

1. Ausgangslage, Schutzbedarf und Zielkriterien für den Themenblock „Analysis Cockpit und Baselining“ erfassen.
2. Relevante Datenquellen, Objekte, Rollen und Abhängigkeiten anhand von Logquelle, AQL, Filter, Zeitbezug, Baseline, automatische Cases und Priorisierung modellieren.
3. Die erforderliche Konfiguration, Analyse- oder Prozessfolge am Laborsystem schrittweise umsetzen.
4. Funktion, Berechtigungen, Protokollierung und Fehlerverhalten mit definierten Positiv- und Negativfällen prüfen.
5. Als Arbeitsergebnis einen kompakten Analyse- und Baseline-Prozess dokumentieren, fachlich abnehmen und in einen wiederholbaren Standard überführen.

7. Case Management und Zusammenarbeit

Schwerpunkt: Status, Rollen, Dispatching, Notizen, Gruppierung, Review und Abschluss.

1. Ausgangslage, Schutzbedarf und Zielkriterien für den Themenblock „Case Management und Zusammenarbeit“ erfassen.
2. Relevante Datenquellen, Objekte, Rollen und Abhängigkeiten anhand von Status, Rollen, Dispatching, Notizen, Gruppierung, Review und Abschluss modellieren.
3. Die erforderliche Konfiguration, Analyse- oder Prozessfolge am Laborsystem schrittweise umsetzen.
4. Funktion, Berechtigungen, Protokollierung und Fehlerverhalten mit definierten Positiv- und Negativfällen prüfen.
5. Als Arbeitsergebnis einen minimalen, aber belastbaren Case-Workflow dokumentieren, fachlich abnehmen und in einen wiederholbaren Standard überführen.

8. Response und Evidence

Schwerpunkt: Playbooks, Remote Console, Triage-Paket, Datei- und Speichererfassung, Verschlüsselung, Audit und Nachkontrolle.

1. Ausgangslage, Schutzbedarf und Zielkriterien für den Themenblock „Response und Evidence“ erfassen.
2. Relevante Datenquellen, Objekte, Rollen und Abhängigkeiten anhand von Playbooks, Remote Console, Triage-Paket, Datei- und Speichererfassung, Verschlüsselung, Audit und Nachkontrolle modellieren.
3. Die erforderliche Konfiguration, Analyse- oder Prozessfolge am Laborsystem schrittweise umsetzen.
4. Funktion, Berechtigungen, Protokollierung und Fehlerverhalten mit definierten Positiv- und Negativfällen prüfen.
5. Als Arbeitsergebnis einen kontrollierten Incident-Response-Abschlussprozess dokumentieren, fachlich abnehmen und in einen wiederholbaren Standard überführen.

9. Betrieb und nächste Ausbaustufen

Schwerpunkt: Updates, Backup, Monitoring, Diagnose, Kennzahlen, Spezialisierungen und Qualifizierungsfolge.

1. Ausgangslage, Schutzbedarf und Zielkriterien für den Themenblock „Betrieb und nächste Ausbaustufen“ erfassen.
2. Relevante Datenquellen, Objekte, Rollen und Abhängigkeiten anhand von Updates, Backup, Monitoring, Diagnose, Kennzahlen, Spezialisierungen und Qualifizierungsfolge modellieren.
3. Die erforderliche Konfiguration, Analyse- oder Prozessfolge am Laborsystem schrittweise umsetzen.
4. Funktion, Berechtigungen, Protokollierung und Fehlerverhalten mit definierten Positiv- und Negativfällen prüfen.
5. Als Arbeitsergebnis einen priorisierten Betriebs- und Lernfahrplan dokumentieren, fachlich abnehmen und in einen wiederholbaren Standard überführen.

Praxisübungen und Laborszenarien

• Aufbau eines vollständigen THOR- und ASGARD-Pilotpfads.
• Ausführung eines Gruppen-Scans mit Live Event Streaming.
• Triage, Baseline und Case-Eröffnung für vorbereitete Ereignisse.
• Ausführung eines Response-Playbooks mit Evidence-Erfassung und Audit.

Zielgruppe und Voraussetzungen

Zielgruppe: Einführungsteams, SOC, Incident Response, Systemadministration, Security Architecture und technische Projektleitung.

Voraussetzungen: Grundkenntnisse in Endpoint Security, Netzwerken, Windows- oder Linux-Administration und Incident Response.

Didaktik und Arbeitsweise

Kurze Fachimpulse werden unmittelbar durch Demonstrationen, strukturierte Konfigurationsschritte, praktische Übungen und kontrollierte Fehlerfälle vertieft. Jede Übung verwendet definierte Ausgangswerte, Prüfpunkte und Dokumentationsanforderungen, damit die erarbeiteten Abläufe als Betriebsstandard wiederholbar bleiben.