Seminar Sekoia Incident Response mit Alerts und Cases

Dieses Seminar konzentriert sich auf die operative Bearbeitung von Alerts und Cases. Es vermittelt, wie Meldungen priorisiert, angereichert, zusammengeführt, dokumentiert und in eine saubere Reaktion überführt werden.

Inhaltsübersicht

• Struktur und Bewertung von Alerts
• Case-Erstellung, Statusführung und Verantwortlichkeiten
• Priorisierung nach Schweregrad, Kontext und Geschäftsrelevanz
• Eskalation und Übergabe an technische oder organisatorische Stellen
• Dokumentierte Bearbeitung für Wiederholbarkeit und Nachvollziehbarkeit

Zielgruppe

Geeignet für SOC-Analysten, Incident Responder, SOC-Schichtleiter und Security Engineers, die Alerts und Cases sicher bearbeiten sollen.

Seminarinhalte

1. Alert erfassen: Regel, Quelle, Zeitbezug, Schweregrad und betroffene Objekte werden strukturiert aufgenommen.
2. Kontext anreichern: Zusätzliche Ereignisse, CTI-Hinweise, Asset-Informationen und frühere Treffer werden geprüft.
3. Priorität bestimmen: Technische Kritikalität und fachliche Auswirkungen werden gemeinsam bewertet.
4. Case bilden: Zusammengehörige Alerts werden in einem Fall gebündelt und sauber beschrieben.
5. Untersuchung dokumentieren: Hypothesen, Befunde, Ausschlüsse und nächste Schritte werden nachvollziehbar festgehalten.
6. Eskalation auslösen: Technische Maßnahmen, organisatorische Freigaben und Kommunikationswege werden angestoßen.
7. Bearbeitungsstand pflegen: Status, Verantwortung und Fristen werden im Case sauber geführt.
8. Qualität prüfen: Abschlusskriterien, Dokumentation und mögliche Regelverbesserungen werden bewertet.

Praktische Übungen

• Bearbeitung eines Beispielalerts von der Triage bis zur Eskalation
• Zusammenführung mehrerer Alerts in einen Case
• Bewertung einer Falldokumentation auf Vollständigkeit