Seminar ONEKEY OCP – Custom Analysis Profiles und OQL

Wiederkehrende Triageentscheidungen verursachen hohen Aufwand und führen ohne gemeinsame Regeln zu inkonsistenten Ergebnissen. Analyseprofile übertragen fachliche Bewertungsgrundsätze in nachvollziehbare, automatisch ausgeführte OQL-Regeln.

Inhaltsübersicht

1. Zielsetzung
2. Zielgruppe
3. Voraussetzungen
4. Seminarinhalte
5. Praxiswerkstatt
6. Kompetenzziele

Zielsetzung

Ziel ist die Entwicklung, Prüfung und kontrollierte Einführung regelbasierter Schwachstellenbewertungen. Regeln sollen präzise, wartbar, konfliktarm und auditierbar sein sowie Produktbesonderheiten berücksichtigen, ohne relevante Befunde unkontrolliert zu unterdrücken.

Zielgruppe

Product Security, PSIRT, Vulnerability Management, Security Engineering, Plattformadministration, Embedded Security und technische Governance

Voraussetzungen

Sichere Grundlagen in CVE-Triage und ONEKEY Vulnerability Management; logisches Verständnis für Filterbedingungen und regelbasierte Entscheidungen

Seminarinhalte

Modul 1: Automatisierungsfälle auswählen

Nicht jede Entscheidung eignet sich für eine Regel; geeignete Muster werden anhand von Wiederholbarkeit und Risiko bestimmt.

1. Schritt 1: Wiederkehrende manuelle Bewertungen und Filtervorgänge erfassen.
2. Schritt 2: Regelfähige Fälle von fachlich prüfpflichtigen Einzelfällen trennen.
3. Schritt 3: Erwartete Wirkung, Geltungsbereich und Abbruchkriterien für jede Regel dokumentieren.

Modul 2: OQL-Grundlagen

Felder, Operatoren, Werte und logische Verknüpfungen werden zu eindeutigen Abfragen kombiniert.

1. Schritt 1: Verfügbare Datenfelder für Firmware, Komponente, CVE, Issue und Bewertung identifizieren.
2. Schritt 2: Vergleichs-, Mengen- und Textoperatoren mit passenden Datentypen einsetzen.
3. Schritt 3: Komplexe Bedingungen mit Klammern, Negation und logischen Operatoren lesbar strukturieren.

Modul 3: Regelaktionen und Statuszuweisungen

Treffer werden mit kontrollierten Aktionen auf Bewertungsfelder abgebildet.

1. Schritt 1: Zielstatus, Kommentar, Priorität oder weitere Bewertungsfelder auswählen.
2. Schritt 2: Aktion mit standardisierter Begründung und Regelkennung versehen.
3. Schritt 3: Auswirkungen auf VEX, Reporting und nachgelagerte Bearbeitung prüfen.

Modul 4: Regelreihenfolge und Kaskadierung

Mehrere Regeln werden so geordnet, dass spezifische Entscheidungen nicht durch allgemeine Regeln überschrieben werden.

1. Schritt 1: Regeln von spezifisch nach allgemein gruppieren.
2. Schritt 2: Konflikte und konkurrierende Aktionen durch Testfälle sichtbar machen.
3. Schritt 3: Priorität, Abbruchlogik und dokumentierte Ausnahmebehandlung festlegen.

Modul 5: False Positives und Risikogrenzen

Unterdrückung wird nur mit klaren Bedingungen, Evidenzen und Review-Punkten automatisiert.

1. Schritt 1: Muster für nicht relevante CVEs und bekannte Fehlalarme präzise beschreiben.
2. Schritt 2: Produkt-, Versions- und Konfigurationsbezug als Schutz gegen zu breite Regeln ergänzen.
3. Schritt 3: Gültigkeitsdauer und regelmäßige Neubewertung für Suppression-Regeln definieren.

Modul 6: Testen und Validieren

Regeln werden gegen positive, negative und grenzwertige Fälle geprüft.

1. Schritt 1: Repräsentative Firmwarestände und erwartete Trefferlisten zusammenstellen.
2. Schritt 2: Regel manuell ausführen und Änderungen vor Übernahme vergleichen.
3. Schritt 3: Fehlende Treffer, Übertreffer und unerwünschte Seiteneffekte korrigieren.

Modul 7: Audit Trail, Versionierung und Freigabe

Änderungen an Regeln werden wie sicherheitsrelevante Konfiguration behandelt.

1. Schritt 1: Regelzweck, Autor, Testnachweis und Freigabestatus dokumentieren.
2. Schritt 2: Änderungen über Audit Trail und Versionierung nachvollziehen.
3. Schritt 3: Vier-Augen-Freigabe und Rollback für produktive Analyseprofile etablieren.

Modul 8: Import, Export und Portfolioeinsatz

Regelsätze werden kontrolliert zwischen Umgebungen und Produktbereichen übertragen.

1. Schritt 1: Abhängigkeiten von Feldern, Produktnamen und organisatorischen Konventionen prüfen.
2. Schritt 2: Regeln exportieren, in einer Zielumgebung importieren und erneut testen.
3. Schritt 3: Gemeinsamen Basissatz und produktspezifische Erweiterungen getrennt pflegen.

Praxiswerkstatt

1. Arbeitsschritt 1: Aus einer manuellen Triagehistorie drei geeignete Automatisierungsfälle ableiten.
2. Arbeitsschritt 2: OQL-Regeln für zurückgezogene CVEs, lokale Angriffsvektoren und produktspezifische Ausnahmen erstellen.
3. Arbeitsschritt 3: Regelkonflikte durch Kaskadierung lösen und mit positiven sowie negativen Testfällen validieren.
4. Arbeitsschritt 4: Ein versioniertes Analyseprofil mit Freigabeprotokoll, Audit Trail und Rollback-Plan bereitstellen.

Kompetenzziele

• OQL-Abfragen präzise und lesbar formulieren
• Analyseprofile für wiederkehrende Triageentscheidungen entwickeln
• Regelkonflikte, Übertreffer und False-Positive-Risiken kontrollieren
• Regeln testen, versionieren, freigeben und auditierbar betreiben
• Unternehmensweite Basispolicies mit produktspezifischen Regeln kombinieren