SC190: Incident Response Manager (IRM)

Agenda:

• Grundlagen und First Response

  • Darstellung eines mehrstufigen Angriffes auf einen Informationsverbund

  • Gegenseitiges Wirken von Angriff und Abwehr

  • Bedeutung der Timeline für die schnelle Erkennung eines Vorfalls

  • Grundsätze und Richtlinien des IR-Managements

  • Aufbau einer zuverlässigen Meldekette und First Response

  • Vorstellung eines Fast-Response-Konzepts basierend auf den Rollen Ersthelfer, SIRT und Notfallstab
    
    

• Forensik und Incident Handling in der Praxis

  • Livedemo von Angriffen auf Windows- und Linux-Maschinen

  • Triageprozess durch IT-Ops und nachgelagertes SOC und CSIRT

  • Sec-Ops-Forensik 1: Spurensuche in Windows-Maschinen

  • Sec-Ops-Forensik 2: Spurensuche in Linux-Maschinen

  • Sec-Ops-Forensik 3: Spurensuche in OT

  • Remediation von infizierten Systemen

  • Workshop: Arbeiten mit Playbooks und Runbooks in einem selbstgehosteten Notfallsystem

  • Malware- und Ransomwareanalyse: typische Spuren, Verhalten, Indicators of Compromise (IoCs)
    
    

• Netzwerkangriffe und Eskalation:

  • Angriffe auf das Netzwerk von außen und innen

  • Die Bedeutung von Delivery- und Comand&Control-Servern

  • Sec-Ops-Forensik 4: Spurensuche in verteilten LDAP und AD-Diensten

  • Sec-Ops-Forensik 5: Spurensuche in Netzwerken und Firewalls

  • Sec-Ops-Forensik 3: Aufspüren von ICMP/DNS-Tunneln und Backdoors

  • Best Practices und Validierung von Angriffsquellen

  • Rollen und Funktionen im Vorfallmanagement: Zusammenspiel von Ersthelfer, Incident Manager, SIRT, IT-Ops und Notfallstab
    
    

• Vertiefung, Übungen und Zusammenarbeit mit externen Partnern:

  • Individueller DeepDive von Themen der Module 1-3

  • Praxisübung: Behandlung von Sicherheitsvorfällen

  • Erfahrungsaustausch

  • Zusammenarbeit mit externen situativen Erweiterungen wie Cyberversicherern, forensischen Dienstleistern und Kriminalisten
    
    

• Bei Inhouse-Schulungen/Geschlossenen Kursen, die online stattfindet, gehen wir gern auf Ihre individuellen Terminwünsche ein. So können wir den Kurs anstatt an zwei Tagen mit jeweils 8 Stunden auch an 4 Tagen mit jeweils 4 Stunden durchführen. Sprechen Sie uns an!
  
  

Ziele:

Zielgruppe:

Das Training SC190 Incident Response Manager (IRM) richtet sich an:

• Verantwortliche für Informationssicherheit

• Verantwortliche von IT-Operations

• Incident Manager

• Prozessverantwortliche

Voraussetzungen:

Um den Kursinhalten und dem Lerntempo des Workshops SC190 Incident Response Manager (IRM) gut folgen zu können, sollten Sie Vorkenntnisse aus folgenden Bereichen mitbringen:

• Grundkenntnisse der Informationssicherheit

• Kenntnisse des Tagesgeschäfts von IT-Operations

Beschreibung:

Die meisten Vorfälle beginnen ganz harmlos. Ein User eröffnet ein Ticket, der Helpdesk widmet sich nach einer Weile dem Problem. Dann wird der Techniker nervös, er informiert seinen Chef – und der wird auch nervös.

Ist es ein Angriff oder ein Fehler – welche Auswirkungen und Schäden sind zu erwarten und welche Maßnahmen sind jetzt einzuleiten? Dies und mehr lernen Sie im Workshop SC190 Incident Response Manager (IRM), der in 4 Bereiche aufgeteilt ist:

• Erkennung von Vorfällen und allgemeine Grundsätze der Störungs- bzw. Vorfallsannahme

• Aufspüren von Angriffen im Netzwerk

• Vorfälle mit Clients und Servern

• Workshops und Übungen, in denen Sie das Gelernte festigen und trainieren

Durch die Erweiterung um moderne Themen wie Malware- und Ransomwareanalyse, Fast-Response-Konzepte und den Einsatz von Playbooks/Runbooks in einem selbstgehosteten Notfallsystem wird der Kurs noch praxisnäher und vermittelt den Teilnehmenden die Sicherheit, auch in stressigen Szenarien methodisch und zielgerichtet zu reagieren.