Seminar TheHive Intensivseminar für SOC, Automation und Betrieb

Überblick

Dieses Intensivseminar bündelt die wesentlichen TheHive- und StrangeBee-Themen in einem kompakten Fünf-Tage-Format. Es verbindet Analystenarbeit, Administration, SOC-Workflows, Cortex-Automatisierung, MISP-Integration, API-Nutzung, Deployment, Betrieb und Governance.

Das Format ist für Teams geeignet, die TheHive einführen, neu strukturieren oder technisch erweitern. Die einzelnen Themen werden nicht isoliert behandelt, sondern als zusammenhängender Betriebsentwurf: vom Alert über Case Management und Observable-Anreicherung bis zu Bericht, Kennzahlen, Administration und technischer Wartung.

Zielgruppe

• Projektteams für TheHive-Einführung oder Neuaufbau
• SOC-Analysten, Administratoren und Security Engineers in gemischten Teams
• CERT-, CSIRT- und MSSP-Teams mit Bedarf an vollständigem Überblick
• Organisationen, die TheHive nicht nur testen, sondern belastbar betreiben wollen

Voraussetzungen

Erforderlich sind Grundlagen in IT-Sicherheit und Incident Response. Für technische Übungen sind Linux-, Netzwerk- und API-Grundkenntnisse nützlich. Das Seminar enthält sowohl Bedienung als auch Administration; reine Managementteilnahme ohne technisches Interesse ist für dieses Format weniger geeignet.

Inhalte

• Grundlagen: Cases, Alerts, Observables, Tasks, Kommentare, TTPs und Zusammenarbeit
• SOC-Workflows: Triage, Eskalation, Schichtübergabe, Abschluss und Reporting
• Administration: Organisationen, Rollen, Berechtigungen, Case Templates und Custom Fields
• Cortex: Analyzer, Responder, Jobs, Ergebnisbewertung und sichere Automatisierung
• MISP und Threat Intelligence: IOC-Prozesse, Austausch, Klassifikation und Fallbezug
• API und Integrationen: Alert-Ingestion, Skripting, Datenmodelle und Fehlerbehandlung
• Deployment und Betrieb: Installationsvarianten, Härtung, Backup, Monitoring und Upgrade-Planung
• Governance: Datenqualität, KPIs, Prozesspflege und Betriebshandbuch

Praxis und Übungen

Das Labor folgt einem durchgehenden Szenario: Ein Sicherheitsereignis wird importiert, triagiert, in einen Case überführt, mit Observables und Cortex-Analysen angereichert, mit Threat-Intelligence-Informationen abgeglichen, über Aufgaben gesteuert und abgeschlossen. Parallel werden Rollen, Vorlagen, Felder, Reports, Betriebsprüfungen und API-Automationen aufgebaut.