Seminar Shuffle SOAR – Incident Response und SOC-Playbooks

Seminarprofil

Ein wirksames Playbook verbindet technische Automatisierung mit Verantwortlichkeiten, Beweisen, Freigaben und Kommunikationswegen. Das Seminar entwickelt mehrere Incident-Response-Abläufe von der Triage bis zur kontrollierten Wiederherstellung.

Inhaltsverzeichnis

1. Seminarprofil
2. Zielsetzung
3. Zielgruppe
4. Voraussetzungen
5. Seminarinhalte
6. Praxisübungen
7. Methodik

Zielsetzung

• Incident-Response-Prozesse in klare, ausführbare Playbooks überführen
• Triage, Anreicherung, Entscheidung und Eindämmung mit Freigaben verbinden
• Beweissicherung, Kommunikation und Nachvollziehbarkeit integrieren
• Playbooks testen, messen und für unterschiedliche Vorfallklassen wiederverwenden

Zielgruppe

SOC-Analysten, Incident Responder, SOC-Leitung, Forensik, IT-Betrieb, Informationssicherheit und Security Automation Engineering.

Voraussetzungen

Grundkenntnisse zu Sicherheitsvorfällen, Incident-Response-Phasen und Workflow-Entwicklung.

Seminarinhalte

1. Schritt 1: Playbook-Ziel und Vorfallklasse definieren

   Ein Playbook beginnt mit eindeutigen Auslösern, Grenzen, Rollen und Abbruchkriterien.

   • Vorfallklasse und Kritikalität festlegen
   • Start- und Endzustände beschreiben
   • Owner, Eskalation und Freigaben zuordnen
2. Schritt 2: Triage-Datenmodell aufbauen

   Meldung, betroffene Entitäten, Zeitbezug, Quelle und Vertrauenswürdigkeit werden in einem gemeinsamen Fallmodell erfasst.

   • Pflichtfelder definieren
   • Entitäten normalisieren
   • fehlende Informationen kennzeichnen
3. Schritt 3: Kontext automatisch anreichern

   Asset-, Identitäts-, Netzwerk- und Threat-Intelligence-Daten werden zielgerichtet und fehlertolerant ergänzt.

   • Anreicherungsreihenfolge planen
   • Ergebnisse in ein Schema überführen
   • Quellenqualität dokumentieren
4. Schritt 4: Priorität und Eskalation bestimmen

   Auswirkung, Wahrscheinlichkeit, Kritikalität und Beweislage werden in eine nachvollziehbare Entscheidung übersetzt.

   • Bewertungsmatrix anwenden
   • Schwellenwerte prüfen
   • Eskalationsstufe und Reaktionszeit setzen
5. Schritt 5: Eindämmung kontrolliert auslösen

   Automatische und manuelle Maßnahmen werden nach Risiko, Reversibilität und Freigabe getrennt.

   • Konten, Hosts oder Indikatoren als Maßnahmenobjekte vorbereiten
   • Genehmigungspunkt einbauen
   • Erfolg und Teilfehler prüfen
6. Schritt 6: Beweise und Fallchronologie sichern

   Technische Ergebnisse, Zeitpunkte, Entscheidungen und Verantwortliche werden zu einer belastbaren Chronologie verbunden.

   • Artefakte referenzieren
   • Entscheidungsgründe erfassen
   • Zeitlinie fortschreiben
7. Schritt 7: Kommunikation und Ticketing integrieren

   Status, Aufgaben und Eskalationen werden konsistent an Fall-, Chat- oder Benachrichtigungssysteme übergeben.

   • Ticket aktualisieren
   • zielgruppengerechte Meldung erzeugen
   • Dubletten und Mehrfachbenachrichtigung vermeiden
8. Schritt 8: Wiederherstellung und Abschluss steuern

   Rücknahme von Eindämmungsmaßnahmen, Funktionsprüfung und Abschlusskriterien werden ausdrücklich geplant.

   • Wiederanlaufbedingungen prüfen
   • Maßnahmen kontrolliert zurücknehmen
   • Abschlussfreigabe dokumentieren
9. Schritt 9: Playbook für Phishing anwenden

   Ein vollständiger Ablauf behandelt Meldung, Indikatoren, Bewertung, Eindämmung und Rückmeldung.

   • E-Mail-Daten extrahieren
   • Anreicherungen ausführen
   • Analystenentscheidung und Folgeaktion verbinden
10. Schritt 10: Playbook für kompromittiertes Konto anwenden

    Identitätskontext, Sitzungen, Risikosignale und kontrollierte Kontomaßnahmen werden orchestriert.

    • Kontodaten validieren
    • aktive Sitzungen und Ereignisse abfragen
    • Sperr- oder Resetmaßnahme freigeben
11. Schritt 11: Playbook für verdächtigen Host anwenden

    Hostkontext, Netzwerkbeobachtungen und reversible Isolationsschritte werden kombiniert.

    • Asset-Kritikalität prüfen
    • Telemetrie und Indikatoren bündeln
    • Isolation und Aufhebung kontrollieren
12. Schritt 12: Tests und Kennzahlen etablieren

    Tabletop, technische Simulation und Produktionskennzahlen zeigen Lücken und Wartungsbedarf.

    • Testfälle und Mock-Daten erstellen
    • mittlere Bearbeitungszeiten messen
    • Fehler- und manuellen Anteil auswerten

Praxisübungen

• Ein generisches Incident-Fallmodell mit Triage, Priorität, Owner und Zeitlinie erstellen
• Ein Phishing-Playbook mit Anreicherung, Freigabe, Ticketing und Eindämmung vollständig umsetzen
• Ein Playbook für kompromittierte Konten oder verdächtige Hosts testen und anhand von Kennzahlen verbessern

Methodik

Fachvortrag, Demonstrationen, geführte Konfiguration, praktische Übungen und strukturierte Auswertung am System. Jeder Themenblock folgt dem Ablauf Ausgangslage, Konfiguration, Test, Fehlerbild und Korrektur. Ergebnisse werden anhand festgelegter Sollzustände geprüft und in einer wiederverwendbaren Arbeitsunterlage dokumentiert.