Seminar SonicWall Capture Advanced Threat Protection und RTDMI

Dieses Fachseminar behandelt die kontrollierte Einführung und den Betrieb von Capture Advanced Threat Protection. Im Mittelpunkt stehen Analysepfad, Richtlinien, RTDMI-Befunde, Alarmierung und die Übersetzung eines Urteils in konkrete Betriebsmaßnahmen.

Inhaltsverzeichnis

1. Kompetenzziele
2. Zielgruppe und Vorkenntnisse
3. Lernblock 1: Capture ATP und Analysepfad
4. Lernblock 2: Capture-ATP-Richtlinien aktivieren und abstimmen
5. Lernblock 3: RTDMI-Ergebnisse und Bedrohungsanalyse
6. Lernblock 4: Betrieb, Alarmierung und Fehlerbehebung
7. Lernblock 5: Monitoring, Protokollierung und Alarmierung
8. Lernblock 6: Abschließende Praxiswerkstatt
9. Einordnung in den Lernpfad

Kompetenzziele

• Architektur und Abhängigkeiten des Lernpfads Threat Protection fachlich einordnen.
• Konfigurationen aus einem dokumentierten Sollzustand in nachvollziehbaren Schritten umsetzen.
• Wirksamkeit durch Positiv-, Negativ-, Ausfall- und Fehlerfalltests belegen.
• Betrieb, Änderung, Sicherung und Diagnose in wiederholbare Verfahren überführen.

Zielgruppe

Firewall-, Security- und SOC-Administratoren sowie technische Verantwortliche für Malware-Schutz und Ereignisbewertung.

Vorkenntnisse

Grundkenntnisse zu Firewallregeln, Sicherheitsdiensten und Protokollauswertung.

Lernblock 1: Capture ATP und Analysepfad

Unbekannte Dateien werden aus dem Datenstrom an eine Analyseumgebung übergeben und anhand des Ergebnisses behandelt.

1. Unterstützte Datenquellen, Dateitypen, Größen und lizenzabhängige Grenzen erfassen.
2. Weg einer Datei von der Erkennung über die Übermittlung bis zur Rückgabe des Urteils nachvollziehen.
3. Blockieren bis zum Urteil, nachgelagerte Benachrichtigung und Ausnahmemöglichkeiten vergleichen.
4. Datenschutz-, Aufbewahrungs- und Betriebsanforderungen für übermittelte Dateien festlegen.
5. Abhängigkeiten zu DNS, Zeit, Registrierung und Sicherheitsdiensten vor der Aktivierung prüfen.

Praxisübung: Darstellung des vollständigen Analysepfads anhand eines kontrollierten Beispiels.

Lernblock 2: Capture-ATP-Richtlinien aktivieren und abstimmen

Die Analyse wird gezielt auf relevante Datenflüsse angewendet und zunächst kontrolliert eingeführt.

1. Zu schützende Zonen, Protokolle, Dateiklassen und Benutzergruppen priorisieren.
2. Capture ATP in den passenden Sicherheitsprofilen oder Richtlinien aktivieren.
3. Behandlung für unbekannt, gutartig, verdächtig und bösartig eindeutig festlegen.
4. Begrenzte Ausnahmen nach Geschäftsbedarf dokumentieren und mit Ablaufdatum versehen.
5. Ereignisfluss, Benutzerwirkung und Leistungswerte während der Pilotphase überwachen.

Praxisübung: Aktivierung einer Pilotrichtlinie mit unterschiedlichen Aktionen für definierte Dateiklassen.

Lernblock 3: RTDMI-Ergebnisse und Bedrohungsanalyse

Analyseberichte werden in technische Befunde und konkrete Betriebsmaßnahmen übersetzt.

1. Urteil, Zeitachse, beobachtetes Verhalten und Indikatoren eines Analyseberichts unterscheiden.
2. Statische Merkmale und zur Laufzeit erkannte Aktivitäten miteinander korrelieren.
3. Betroffene Quelle, Benutzer, Ziel und weitere Sichtungen im Protokollbestand ermitteln.
4. Blockierung, Quarantäne, Regelanpassung und weitergehende Untersuchung nach Risiko priorisieren.
5. Fehlklassifizierung mit vollständigem Kontext dokumentieren und geregelten Prüfweg einleiten.

Praxisübung: Auswertung mehrerer vorbereiteter Analyseberichte und Ableitung eines Maßnahmenplans.

Lernblock 4: Betrieb, Alarmierung und Fehlerbehebung

Der Dienst wird anhand von Status, Warteschlange, Urteilen und Übermittlungsfehlern überwacht.

1. Dienststatus, Lizenz, Verbindung und Signaturstände regelmäßig kontrollieren.
2. Alarme für bösartige Urteile, Übermittlungsfehler und ungewöhnliche Mengen definieren.
3. Verdächtige Ereignisse mit Firewall-, Endpoint- oder E-Mail-Protokollen zusammenführen.
4. Fehler nach lokaler Richtlinie, Netzwerkpfad, Cloud-Dienst oder Dateieigenschaft trennen.
5. Wirksamkeit und Ausnahmebestand in festem Turnus überprüfen und dokumentieren.

Praxisübung: Bearbeitung eines Analysefehlers und eines positiven Urteils anhand einer standardisierten Betriebscheckliste.

Lernblock 5: Monitoring, Protokollierung und Alarmierung

Betriebsdaten werden so erfasst, dass Abweichungen früh sichtbar und Vorfälle rekonstruierbar werden.

1. Relevante System-, Sicherheits-, VPN- und Administrationsereignisse nach Priorität klassifizieren.
2. Lokale Aufbewahrung, zentrale Weiterleitung und Zeitsynchronisation aufeinander abstimmen.
3. Dashboards und Filter für Tagesbetrieb, Störung und Sicherheitsvorfall definieren.
4. Alarmgrenzen mit Zuständigkeit, Eskalationsweg und Bearbeitungsfrist versehen.
5. Regelmäßig einen vollständigen Ereignisweg vom Auslöser bis zur zentralen Anzeige testen.

Praxisübung: Aufbau eines Betriebsdashboards und Prüfung einer Alarmkette anhand eines kontrollierten Ereignisses.

Lernblock 6: Abschließende Praxiswerkstatt

Die zuvor erarbeiteten Bausteine werden in einem zusammenhängenden Szenario geplant, umgesetzt und geprüft.

1. Ausgangslage, Anforderungen, Schutzbedarf und messbare Abnahmekriterien analysieren.
2. Zielkonfiguration und Arbeitsschritte mit Abhängigkeiten und Rückfallpunkten planen.
3. Konfiguration in einer nachvollziehbaren Reihenfolge umsetzen und Zwischenstände sichern.
4. Positiv-, Negativ-, Ausfall- und Wiederherstellungstests durchführen.
5. Ergebnis, Abweichungen, Betriebsübergabe und offene Maßnahmen dokumentieren.

Praxisübung: Durchgängige Umsetzung eines Szenarios mit technischer Abnahme und Betriebsübergabe.

Einordnung in den Lernpfad

Der Kurs gehört zum Lernpfad Threat Protection. Die angesetzte Dauer von einem Tag folgt aus Umfang, Abhängigkeiten und notwendigem Praxisanteil. Für den produktiven Einsatz werden die erarbeiteten Checklisten, Testfälle und Betriebsnachweise als wiederverwendbare Arbeitsgrundlage geführt.