Seminar Security Onion Playbooks, Cases und SOC Workflows

Dieses Seminar zeigt, wie wiederkehrende Untersuchungen in Security Onion als strukturierte SOC-Workflows abgebildet werden. Behandelt werden Playbook-orientierte Triage, Cases, Eskalationspunkte, Rollenübergaben und Qualitätskriterien. Ein SOC ohne Standards ist wie eine Werkstatt ohne Werkzeugwand: Alles ist irgendwo, nur nie dort, wo es gebraucht wird.

Inhaltsübersicht

• SOC-Workflows für wiederkehrende Alarmtypen strukturieren
• Playbook-Schritte in Untersuchungslogik übersetzen
• Cases als zentrales Arbeitsobjekt nutzen
• Eskalationen und Übergaben standardisieren
• Qualitätsprüfung für geschlossene Fälle etablieren

Ziele

Nach dem Seminar können wiederkehrende SOC-Abläufe als klare Arbeitsfolge dokumentiert, in Security Onion unterstützt und für Analysten einheitlich nutzbar gemacht werden.

Zielgruppe

Das Seminar richtet sich an SOC-Analysten, Teamleiter und Incident Responder, die wiederkehrende Untersuchungen mit Playbooks, Cases und klaren Workflows vereinheitlichen möchten.

Seminarinhalte

1. Workflow-Klassen definieren

1. Häufige Alarmtypen und Untersuchungsfragen sammeln.
2. Triage-, Analyse- und Eskalationsschritte grob trennen.
3. Mindestinformationen für jeden Workflow festlegen.

2. Playbook-Logik anwenden

1. Untersuchungsschritte in nachvollziehbarer Reihenfolge formulieren.
2. Entscheidungspunkte und Abbruchbedingungen festlegen.
3. Benötigte Datenquellen je Schritt zuordnen.

3. Cases integrieren

1. Case-Anlage, Observables und Notizen an Workflow-Schritte koppeln.
2. Statuswechsel und Verantwortlichkeiten standardisieren.
3. Arbeitsnotizen für spätere Prüfung verständlich halten.

4. Eskalation steuern

1. Kriterien für Betrieb, Forensik, Management oder externe Stellen festlegen.
2. Übergabetext und technische Belege zusammenführen.
3. Offene Risiken und Sofortmaßnahmen klar trennen.

5. Qualität sichern

1. Geschlossene Fälle auf Vollständigkeit, Nachvollziehbarkeit und Tuning-Bedarf prüfen.
2. Wiederkehrende Fehler in Workflows zurückführen.
3. Regelmäßige Reviews für Playbooks und Case-Standards planen.

Praxisübungen

• Triage-Workflow für einen Alert-Typ entwerfen
• Playbook-Schritte mit Datenquellen verbinden
• Case nach Workflow-Vorgabe bearbeiten
• Eskalationsübergabe formulieren
• Qualitätscheck für einen Beispiel-Case durchführen

Voraussetzungen

Vorausgesetzt werden SOC-Grundlagen und erste Orientierung in Security Onion. Erfahrung mit Alert Triage oder Incident Response ist hilfreich.