Seminar SonicWall Capture Client und Endpoint Security

Das Seminar vermittelt den strukturierten Aufbau einer Capture-Client-Umgebung vom Mandanten- und Rollenmodell über den Agent-Rollout bis zur Richtlinienpflege und Incident Response. Der Schwerpunkt liegt auf einem kontrollierten Pilotbetrieb und belastbaren Betriebsprozessen.

Inhaltsverzeichnis

1. Kompetenzziele
2. Zielgruppe und Vorkenntnisse
3. Lernblock 1: Capture-Client-Architektur, Mandanten und Rollen
4. Lernblock 2: Agentbereitstellung und kontrollierter Rollout
5. Lernblock 3: Endpoint-Richtlinien und Schutzstufen
6. Lernblock 4: Benutzeridentität, Verzeichnisdienste und Rollen
7. Lernblock 5: Alarme, Isolation und Incident Response
8. Lernblock 6: Endpoint-Betrieb, Updates und Fehleranalyse
9. Lernblock 7: Monitoring, Protokollierung und Alarmierung
10. Lernblock 8: Änderungsmanagement und Betriebsdokumentation
11. Lernblock 9: Abschließende Praxiswerkstatt
12. Einordnung in den Lernpfad

Kompetenzziele

• Architektur und Abhängigkeiten des Lernpfads Endpoint fachlich einordnen.
• Konfigurationen aus einem dokumentierten Sollzustand in nachvollziehbaren Schritten umsetzen.
• Wirksamkeit durch Positiv-, Negativ-, Ausfall- und Fehlerfalltests belegen.
• Betrieb, Änderung, Sicherung und Diagnose in wiederholbare Verfahren überführen.

Zielgruppe

Endpoint-, Security- und Systemadministratoren, Helpdesk-Verantwortliche sowie SOC-Mitarbeitende.

Vorkenntnisse

Grundkenntnisse in Windows- oder macOS-Administration, Endpoint-Sicherheit und zentraler Softwareverteilung.

Lernblock 1: Capture-Client-Architektur, Mandanten und Rollen

Die Endpoint-Verwaltung wird nach Organisation, Gerätegruppen und betrieblichen Zuständigkeiten strukturiert.

1. Mandanten-, Standort- und Gerätegruppenstruktur aus dem Betriebsmodell ableiten.
2. Rollen für Administration, Helpdesk, Auswertung und Freigabe getrennt definieren.
3. Unterstützte Betriebssysteme, Mindeststände und notwendige Netzwerkkommunikation prüfen.
4. Lizenzumfang und aktivierbare Schutzfunktionen je Gerätegruppe dokumentieren.
5. Pilot-, Produktions- und Ausnahmegruppen mit klaren Aufnahmekriterien anlegen.

Praxisübung: Entwurf einer Endpoint-Verwaltungsstruktur für mehrere Standorte und Geräteklassen.

Lernblock 2: Agentbereitstellung und kontrollierter Rollout

Die Installation erfolgt stufenweise, damit Kompatibilitäts- und Leistungsprobleme vor der Breitenverteilung erkannt werden.

1. Gerätebestand, vorhandene Sicherheitssoftware und Deinstallationsanforderungen inventarisieren.
2. Installationspaket und gruppenspezifische Zuordnung vorbereiten.
3. Pilotgeräte auswählen, Ausgangszustand und Erfolgskriterien festhalten.
4. Agent installieren, Registrierung, Dienststatus, Kommunikation und Richtlinienempfang prüfen.
5. Rollout in Wellen erweitern und fehlgeschlagene Installationen getrennt nach Ursache bearbeiten.

Praxisübung: Bereitstellung auf einer Pilotgruppe einschließlich Installationsprüfung und Fehlerklassifizierung.

Lernblock 3: Endpoint-Richtlinien und Schutzstufen

Schutzfunktionen werden nach Geräteklasse und Risiko abgestimmt, nicht pauschal für alle Endpunkte.

1. Basisschutz, Verhaltensanalyse, Webschutz und ergänzende Kontrollen nach Lizenzumfang erfassen.
2. Richtlinien für Standardarbeitsplatz, Server, Entwicklung und Sondergeräte getrennt entwerfen.
3. Erkennungs-, Blockier- und Benachrichtigungsaktionen schrittweise festlegen.
4. Ausschlüsse so eng wie möglich definieren und mit Eigentümer sowie Ablaufdatum versehen.
5. Richtlinienänderung zunächst auf Pilotgeräten testen und erst nach Auswertung verbreitern.

Praxisübung: Erstellung zweier abgestufter Richtlinien mit kontrollierter Ausnahme für eine Laboranwendung.

Lernblock 4: Benutzeridentität, Verzeichnisdienste und Rollen

Identitätsbasierte Regeln verbinden technische Datenflüsse mit nachvollziehbaren Benutzer- und Gruppenrechten.

1. Verzeichnisstruktur, Gruppenmodell und benötigte Attribute vor der Anbindung erfassen.
2. LDAP- oder vergleichbare Verzeichnisanbindung mit einem minimal berechtigten Dienstkonto konfigurieren.
3. Gruppenauflösung, Zeitabweichung, Namensauflösung und Zertifikatsvertrauen kontrollieren.
4. Benutzer- und Gruppenobjekte den vorgesehenen Zugriffsregeln zuordnen.
5. Anmeldung, Gruppenwechsel, Fehlerfall und Protokollierung mit Testkonten prüfen.

Praxisübung: Anbindung eines Laborverzeichnisses und Umsetzung einer gruppenabhängigen Zugriffsregel.

Lernblock 5: Alarme, Isolation und Incident Response

Endpoint-Ereignisse werden priorisiert, eingedämmt und mit belastbaren Belegen abgeschlossen.

1. Alarm nach Schwere, Ausführung, Verbreitungsrisiko und betroffener Gerätekritikalität bewerten.
2. Prozess-, Datei-, Benutzer- und Netzwerkbezug des Ereignisses nachvollziehen.
3. Gerät bei begründetem Risiko isolieren und zulässige Verwaltungswege erhalten.
4. Bereinigung, Quarantäne oder Wiederherstellung nach festgelegtem Freigabeprozess durchführen.
5. Gerät kontrolliert zurückführen, Folgeindikatoren suchen und Fall vollständig dokumentieren.

Praxisübung: Bearbeitung eines simulierten Endpoint-Vorfalls von der Erstbewertung bis zur Wiederfreigabe.

Lernblock 6: Endpoint-Betrieb, Updates und Fehleranalyse

Gesundheitszustand, Agentversionen und Richtlinienabweichungen werden als laufende Betriebsaufgabe geführt.

1. Nicht erreichbare, veraltete und ungeschützte Geräte in getrennten Arbeitslisten überwachen.
2. Agent- und Komponentenupdates über Pilotgruppe und gestufte Wellen verteilen.
3. Leistungsprobleme anhand von Zeitbezug, Prozess, Richtlinie und Gerätegruppe eingrenzen.
4. Kommunikationsfehler zwischen Agent, Netzwerk und Verwaltungsdienst systematisch prüfen.
5. Ausnahmen, Altgeräte und nicht mehr vorhandene Endpunkte regelmäßig bereinigen.

Praxisübung: Analyse eines nicht eincheckenden Endpunkts und Planung eines kontrollierten Agentupdates.

Lernblock 7: Monitoring, Protokollierung und Alarmierung

Betriebsdaten werden so erfasst, dass Abweichungen früh sichtbar und Vorfälle rekonstruierbar werden.

1. Relevante System-, Sicherheits-, VPN- und Administrationsereignisse nach Priorität klassifizieren.
2. Lokale Aufbewahrung, zentrale Weiterleitung und Zeitsynchronisation aufeinander abstimmen.
3. Dashboards und Filter für Tagesbetrieb, Störung und Sicherheitsvorfall definieren.
4. Alarmgrenzen mit Zuständigkeit, Eskalationsweg und Bearbeitungsfrist versehen.
5. Regelmäßig einen vollständigen Ereignisweg vom Auslöser bis zur zentralen Anzeige testen.

Praxisübung: Aufbau eines Betriebsdashboards und Prüfung einer Alarmkette anhand eines kontrollierten Ereignisses.

Lernblock 8: Änderungsmanagement und Betriebsdokumentation

Technische Änderungen werden mit klarer Anforderung, Prüfung, Freigabe und Rücknahme durchgeführt.

1. Anlass, Ziel, betroffene Systeme und Geschäftsrisiko der Änderung erfassen.
2. Technischen Plan, Abhängigkeiten, Testfälle und Rückfallweg vollständig beschreiben.
3. Freigabe und Wartungsfenster vor Beginn prüfen und Ausgangszustand sichern.
4. Änderung schrittweise umsetzen und jeden Kontrollpunkt protokollieren.
5. Abnahme, Restarbeiten und aktualisierte Betriebsdokumentation abschließen.

Praxisübung: Durchführung eines vollständigen Muster-Changes von der Anforderung bis zur Abnahme.

Lernblock 9: Abschließende Praxiswerkstatt

Die zuvor erarbeiteten Bausteine werden in einem zusammenhängenden Szenario geplant, umgesetzt und geprüft.

1. Ausgangslage, Anforderungen, Schutzbedarf und messbare Abnahmekriterien analysieren.
2. Zielkonfiguration und Arbeitsschritte mit Abhängigkeiten und Rückfallpunkten planen.
3. Konfiguration in einer nachvollziehbaren Reihenfolge umsetzen und Zwischenstände sichern.
4. Positiv-, Negativ-, Ausfall- und Wiederherstellungstests durchführen.
5. Ergebnis, Abweichungen, Betriebsübergabe und offene Maßnahmen dokumentieren.

Praxisübung: Durchgängige Umsetzung eines Szenarios mit technischer Abnahme und Betriebsübergabe.

Einordnung in den Lernpfad

Der Kurs gehört zum Lernpfad Endpoint. Die angesetzte Dauer von 2 Tagen folgt aus Umfang, Abhängigkeiten und notwendigem Praxisanteil. Für den produktiven Einsatz werden die erarbeiteten Checklisten, Testfälle und Betriebsnachweise als wiederverwendbare Arbeitsgrundlage geführt.