Seminar VMRay User-Reported Phishing – KnowBe4- und Microsoft-Workflows

Das Seminar baut einen durchgängigen Prozess für gemeldete Phishing-Nachrichten auf. Nutzerberichte werden automatisiert erfasst, mit VMRay analysiert, in KnowBe4- oder Microsoft-Workflows angereichert und anhand klarer Entscheidungen, Eskalationen und Feedbackregeln abgeschlossen.

Inhaltsverzeichnis

• Lernziele und fachliche Einordnung
• Schrittweise Seminarinhalte
• Praxisübungen und Laborszenarien
• Zielgruppe und Voraussetzungen
• Didaktik und Arbeitsweise

Lernziele

• Eingangskanäle, Verantwortlichkeiten und Serviceziele für gemeldete Phishing-Fälle definieren.
• E-Mails, Anhänge, URLs und QR-Code-Ketten automatisiert und vollständig analysieren.
• KnowBe4- und Microsoft-Connectoren mit eindeutiger Fallkorrelation konfigurieren.
• Verdict, Reason, Threat Names und Analystennotizen in Triage und Reaktion überführen.
• Nutzerfeedback, Ausnahmen, Datenschutz, Kennzahlen und kontinuierliches Tuning standardisieren.

Schrittweise Seminarinhalte

1. Prozessmodell für User-Reported Phishing

Schwerpunkt: Meldeweg, Mailbox, Outlook, PhishER, Defender, SOC, Priorität, Servicezeit, Ownership, Eskalation und Abschluss.

1. Ausgangslage, Schutzbedarf und Abnahmekriterien für den Themenblock „Prozessmodell für User-Reported Phishing“ erfassen.
2. Relevante Datenquellen, Plattformobjekte, Rollen und Abhängigkeiten anhand von Meldeweg, Mailbox, Outlook, PhishER, Defender, SOC, Priorität, Servicezeit, Ownership, Eskalation und Abschluss modellieren.
3. Die erforderlichen Einstellungen, Analyse-, Integrations- oder Prozessschritte in einer isolierten Laborumgebung nachvollziehbar umsetzen.
4. Funktion, Berechtigungen, Protokollierung, Datenqualität und Fehlerverhalten mit definierten Positiv- und Negativfällen prüfen.
5. Als Arbeitsergebnis einen vollständigen Service- und Triage-Prozess dokumentieren, fachlich abnehmen und in einen wiederholbaren Standard überführen.

2. Eingangskanäle und sichere Submission

Schwerpunkt: IR Mailbox, Outlook-Übermittlung, Connector, Originalnachricht, Header, Anhänge, URLs, Tags, Fall-ID und Datenschutz.

1. Ausgangslage, Schutzbedarf und Abnahmekriterien für den Themenblock „Eingangskanäle und sichere Submission“ erfassen.
2. Relevante Datenquellen, Plattformobjekte, Rollen und Abhängigkeiten anhand von IR Mailbox, Outlook-Übermittlung, Connector, Originalnachricht, Header, Anhänge, URLs, Tags, Fall-ID und Datenschutz modellieren.
3. Die erforderlichen Einstellungen, Analyse-, Integrations- oder Prozessschritte in einer isolierten Laborumgebung nachvollziehbar umsetzen.
4. Funktion, Berechtigungen, Protokollierung, Datenqualität und Fehlerverhalten mit definierten Positiv- und Negativfällen prüfen.
5. Als Arbeitsergebnis einen standardisierten Intake- und Submission-Ablauf dokumentieren, fachlich abnehmen und in einen wiederholbaren Standard überführen.

3. KnowBe4-PhishER-Integration

Schwerpunkt: Connector, VMRay-Tag, Verdict, Verdict Reason, Threat Names, Classification, Discussion Note, Fallkorrelation und Fehlerfall.

1. Ausgangslage, Schutzbedarf und Abnahmekriterien für den Themenblock „KnowBe4-PhishER-Integration“ erfassen.
2. Relevante Datenquellen, Plattformobjekte, Rollen und Abhängigkeiten anhand von Connector, VMRay-Tag, Verdict, Verdict Reason, Threat Names, Classification, Discussion Note, Fallkorrelation und Fehlerfall modellieren.
3. Die erforderlichen Einstellungen, Analyse-, Integrations- oder Prozessschritte in einer isolierten Laborumgebung nachvollziehbar umsetzen.
4. Funktion, Berechtigungen, Protokollierung, Datenqualität und Fehlerverhalten mit definierten Positiv- und Negativfällen prüfen.
5. Als Arbeitsergebnis einen getesteten PhishER-Enrichment-Workflow dokumentieren, fachlich abnehmen und in einen wiederholbaren Standard überführen.

4. Microsoft-Phishing-Workflows

Schwerpunkt: Defender for Office, Outlook, Sentinel, Incident, E-Mail-Artefakte, Submission, Enrichment, Quarantäne und Analystenübergabe.

1. Ausgangslage, Schutzbedarf und Abnahmekriterien für den Themenblock „Microsoft-Phishing-Workflows“ erfassen.
2. Relevante Datenquellen, Plattformobjekte, Rollen und Abhängigkeiten anhand von Defender for Office, Outlook, Sentinel, Incident, E-Mail-Artefakte, Submission, Enrichment, Quarantäne und Analystenübergabe modellieren.
3. Die erforderlichen Einstellungen, Analyse-, Integrations- oder Prozessschritte in einer isolierten Laborumgebung nachvollziehbar umsetzen.
4. Funktion, Berechtigungen, Protokollierung, Datenqualität und Fehlerverhalten mit definierten Positiv- und Negativfällen prüfen.
5. Als Arbeitsergebnis einen durchgängigen Microsoft-Workflow dokumentieren, fachlich abnehmen und in einen wiederholbaren Standard überführen.

5. E-Mail-, URL- und Payload-Ketten

Schwerpunkt: Header, Attachments, Archive, QR-Codes, Redirects, Webseiten, Downloads, rekursive Child-Samples und Relations.

1. Ausgangslage, Schutzbedarf und Abnahmekriterien für den Themenblock „E-Mail-, URL- und Payload-Ketten“ erfassen.
2. Relevante Datenquellen, Plattformobjekte, Rollen und Abhängigkeiten anhand von Header, Attachments, Archive, QR-Codes, Redirects, Webseiten, Downloads, rekursive Child-Samples und Relations modellieren.
3. Die erforderlichen Einstellungen, Analyse-, Integrations- oder Prozessschritte in einer isolierten Laborumgebung nachvollziehbar umsetzen.
4. Funktion, Berechtigungen, Protokollierung, Datenqualität und Fehlerverhalten mit definierten Positiv- und Negativfällen prüfen.
5. Als Arbeitsergebnis eine vollständige Phishing-Delivery-Chain dokumentieren, fachlich abnehmen und in einen wiederholbaren Standard überführen.

6. Verdict, Entscheidung und Reaktion

Schwerpunkt: Clean, Suspicious und Malicious, Gründe, Confidence, Blockierung, Quarantäne, Kontoschutz, Incident, Freigabe und Ausnahme.

1. Ausgangslage, Schutzbedarf und Abnahmekriterien für den Themenblock „Verdict, Entscheidung und Reaktion“ erfassen.
2. Relevante Datenquellen, Plattformobjekte, Rollen und Abhängigkeiten anhand von Clean, Suspicious und Malicious, Gründe, Confidence, Blockierung, Quarantäne, Kontoschutz, Incident, Freigabe und Ausnahme modellieren.
3. Die erforderlichen Einstellungen, Analyse-, Integrations- oder Prozessschritte in einer isolierten Laborumgebung nachvollziehbar umsetzen.
4. Funktion, Berechtigungen, Protokollierung, Datenqualität und Fehlerverhalten mit definierten Positiv- und Negativfällen prüfen.
5. Als Arbeitsergebnis eine belastbare Entscheidungs- und Reaktionsmatrix dokumentieren, fachlich abnehmen und in einen wiederholbaren Standard überführen.

7. Nutzerfeedback und Fallabschluss

Schwerpunkt: Antwortbausteine, Sicherheitshinweis, False Positive, Meldequalität, Ticketstatus, Beweissicherung, Lernschleife und Datenschutz.

1. Ausgangslage, Schutzbedarf und Abnahmekriterien für den Themenblock „Nutzerfeedback und Fallabschluss“ erfassen.
2. Relevante Datenquellen, Plattformobjekte, Rollen und Abhängigkeiten anhand von Antwortbausteine, Sicherheitshinweis, False Positive, Meldequalität, Ticketstatus, Beweissicherung, Lernschleife und Datenschutz modellieren.
3. Die erforderlichen Einstellungen, Analyse-, Integrations- oder Prozessschritte in einer isolierten Laborumgebung nachvollziehbar umsetzen.
4. Funktion, Berechtigungen, Protokollierung, Datenqualität und Fehlerverhalten mit definierten Positiv- und Negativfällen prüfen.
5. Als Arbeitsergebnis einen konsistenten Feedback- und Abschlussprozess dokumentieren, fachlich abnehmen und in einen wiederholbaren Standard überführen.

8. Kennzahlen, Tuning und Betriebsüberwachung

Schwerpunkt: Volumen, Automatisierungsquote, Laufzeit, Eskalationen, False Positives, Connectorfehler, Queue, Stichproben und Verbesserungsbacklog.

1. Ausgangslage, Schutzbedarf und Abnahmekriterien für den Themenblock „Kennzahlen, Tuning und Betriebsüberwachung“ erfassen.
2. Relevante Datenquellen, Plattformobjekte, Rollen und Abhängigkeiten anhand von Volumen, Automatisierungsquote, Laufzeit, Eskalationen, False Positives, Connectorfehler, Queue, Stichproben und Verbesserungsbacklog modellieren.
3. Die erforderlichen Einstellungen, Analyse-, Integrations- oder Prozessschritte in einer isolierten Laborumgebung nachvollziehbar umsetzen.
4. Funktion, Berechtigungen, Protokollierung, Datenqualität und Fehlerverhalten mit definierten Positiv- und Negativfällen prüfen.
5. Als Arbeitsergebnis einen messbaren Verbesserungszyklus dokumentieren, fachlich abnehmen und in einen wiederholbaren Standard überführen.

Praxisübungen und Laborszenarien

• Aufbau eines End-to-End-Prozesses vom Nutzerbericht bis zur Abschlussnachricht.
• Konfiguration eines PhishER-Falls mit VMRay-Tag, Verdict und automatischer Notiz.
• Analyse einer Nachricht mit QR-Code, Redirect und rekursivem Download.
• Entwicklung einer Entscheidungs- und Feedbackmatrix für mehrere Grenzfälle.
• Definition eines Kennzahlensatzes für Qualität, Geschwindigkeit und Automatisierungsgrad.

Zielgruppe und Voraussetzungen

Zielgruppe: Phishing Response, SOC, E-Mail-Security, KnowBe4-Administration, Microsoft Security, Service Desk und Security Awareness.

Voraussetzungen: Grundkenntnisse in E-Mail- und Phishing-Triage, KnowBe4 oder Microsoft Security sowie SOC- und Ticketprozessen.

Didaktik und Arbeitsweise

Kurze Fachimpulse werden unmittelbar durch Demonstrationen, strukturierte Konfigurations- oder Analyseschritte, Praxisübungen und kontrollierte Fehlerfälle vertieft. Jede Übung verwendet definierte Ausgangswerte, Prüfpunkte und Dokumentationsanforderungen, damit die erarbeiteten Abläufe als Betriebsstandard wiederholbar bleiben.