Seminar TheHive Incident Response Workflows im SOC

Überblick

Dieses Seminar übersetzt Incident-Response-Prozesse in konkrete TheHive-Workflows. Behandelt werden Alert-Triage, Case-Erstellung, Aufgabenmodelle, Eskalationsregeln, Schichtübergaben, Kommunikationsdisziplin, Abschlusskriterien und Berichtsfähigkeit.

Der Schwerpunkt liegt auf Prozessqualität. TheHive kann sehr viel abbilden; genau deshalb muss festgelegt werden, was standardisiert wird und wo Fachentscheidungen bewusst offen bleiben. Das Seminar trennt operative Pflichtschritte von sinnvoller Analystenfreiheit.

Zielgruppe

• SOC-Leads und Incident Manager
• Analysten im Second-Level und Senior-Analysten
• CERT- und CSIRT-Teams mit geregelten Reaktionsprozessen
• Prozessverantwortliche für Security Operations und Incident Response

Voraussetzungen

Benötigt wird Verständnis für typische Sicherheitsvorfälle und Incident-Response-Phasen. Grundlagen in TheHive sind hilfreich. Das Seminar ist auch geeignet, wenn bisher mit Ticketing, Tabellen oder E-Mail-Verteilern gearbeitet wurde und der Wechsel auf ein spezialisiertes Case-Management vorbereitet wird.

Inhalte

• Abbildung des Incident-Lifecycle in TheHive
• Triage-Entscheidungen: schließen, beobachten, zusammenführen oder Case erstellen
• Case-Struktur für Phishing, Malware, Kontoübernahme, Schwachstelle und Datenabfluss
• Aufgabenpakete, Verantwortlichkeiten, Eskalationspunkte und Übergaben
• Dokumentationsstandards für nachvollziehbare Entscheidungen
• Zusammenarbeit zwischen Analysten, Fachbereichen, IT-Betrieb und Management
• Messbarkeit über Status, Tags, Felder und Reports

Praxis und Übungen

In Gruppenübungen werden mehrere Incident-Typen als vollständige Workflows modelliert und in TheHive umgesetzt. Der Ablauf reicht vom ersten Alert über die Fallbearbeitung bis zum Abschlussbericht. Besondere Aufmerksamkeit gilt unklaren Fällen, Doppelmeldungen und Übergaben, weil dort im SOC traditionell die meiste Reibung entsteht.