Cyberangriffe früh erkennen und eindämmen - Intensivseminar

Tag 1 - Angriffe erkennen
1. Der Angreifer als Ausgangspunkt
- aktuelles Angreiferverhalten
- Angriffsziele und typische Initial-Access-Wege
- Phishing
- gestohlene Credentials
- öffentlich erreichbare Systeme
- Schwachstellen
- Lieferanten und Drittparteien
- Cloud- und SaaS-Zugänge
- typische Ransomware-Angriffskette
- MITRE ATT&CK als Strukturierungsmodell

Leitfrage:
Welche Spuren hinterlässt ein Angreifer in jeder Phase

2. External Attack Surface Management
Welche IT-Assets sind aus dem Internet sichtbar?
- Domains und Subdomains
- IP-Adressen
- Cloud-Dienste
- Zertifikate
- offene Ports und Dienste
- Remote-Zugänge
- vergessene Systeme
- Shadow IT
- externe Schwachstellen
- öffentlich bekannte technische Informationen

Praxis:
Aufbau eines vereinfachten External-Attack-Surface-Modells für ein Beispielunternehmen

3. Threat Intelligence, Deep Web und Dark Web
- Grundlagen Cyber Threat Intelligence
- strategische, taktische und technische Threat Intelligence
- Open Source Intelligence
- Deep-/Darkweb-Quellen
- Credential Leaks
- Infostealer Logs
- Session Tokens und Cookies
- Initial Access Broker
- Ransomware-Gruppen und Leak-Sites
- veröffentlichte Unternehmensdaten
- Mitarbeiter- und Lieferanten-Credentials
- kompromittierte Domains
- Typosquatting
- verdächtige Domainregistrierungen

Von Information zu Aktion

Beispiel:
Meldung: Passwort eines Mitarbeitenden wurde veröffentlicht.
Nicht automatisch nur Passwort ändern, sondern prüfen:

- wurde das Credential tatsächlich im Unternehmen verwendet?
- existieren erfolgreiche Logins?
- existieren aktive Sessions?
- wurde MFA umgangen?
- wurden neue Geräte registriert?
- wurden weitere Accounts angelegt?
- wurden Berechtigungen verändert?
- existiert laterale Bewegung?

Rechtliche und organisatorische Grenzen
- keine aktive Teilnahme an illegalen Marktplätzen
- professionelle Threat-Intelligence-Dienste
- Umgang mit kompromittierten Daten
- Dokumentation und Eskalation

4. Die wichtigsten internen Frühwarnsignale

Identity
- ungewöhnliche Login-Zeiten
- ungewöhnliche Länder oder Standorte
- neue Geräte
- MFA-Anomalien
- Passwort-Spraying
- Änderungen an privilegierten Gruppen
- neue Administratoren
- neue Service Accounts
- ungewöhnliche Token-Aktivitäten

Endpoint
- verdächtige Prozesse
- unbekannte Software
- PowerShell
- Command Shells
- geplante Tasks
- neue Services
- Änderungen an Security Tools
- Credential Dumping
- ungewöhnliche Dateiaktivitäten

Netzwerk
- ungewöhnliche Verbindungen
- Command-and-Control-Indikatoren
- ungewöhnliche Ports
- DNS-Anomalien
- ungewöhnlicher Outbound Traffic
- Verbindungen zu selten verwendeten Zielen

Daten
- ungewöhnlich grosse Lesezugriffe
- Archivierung grosser Datenmengen
- massenhafte Dateizugriffe
- ungewöhnliche Downloads
- Daten-Staging
- potentielle Exfiltration

5. Logging und Security Monitoring
- Was muss überhaupt geloggt werden?
- zentrale Logarchitektur
- Zeit-Synchronisation
- ausreichende Aufbewahrung
- Integrität von Logs

Relevante Quellen
- Active Directory / Identity Provider
- Windows/Linux
- EDR
- DNS
- Firewall
- Proxy
- VPN
- Microsoft 365
- Cloud-Plattformen
- E-Mail Security
- Applikationen
- Datenbanken
- Backup-Systeme

SIEM, EDR, XDR und SOC
- Unterschiede
- Stärken und Grenzen
- welche Lösung benötigt welches Unternehmen?
- Managed SOC vs. eigene Überwachung

6. Detection Engineering - vom Log zum Alarm
- Use Case statt alle Logs sammeln
- Was möchte ich erkennen?
- welches Angreiferverhalten steht dahinter?
- welche Telemetrie benötige ich?
- wann löse ich einen Alarm aus?
- welche False Positives sind zu erwarten?
- wer reagiert auf den Alarm?

Beispielhafte Detection Use Cases
- neuer Domain Administrator
- ungewöhnliche Administratoranmeldung
- Deaktivierung eines Endpoint-Schutzes
- ungewöhnliche PowerShell-Aktivität
- neuer Service auf kritischem Server
- Massenänderungen an Dateien
- ungewöhnliche Datenkompression
- ungewöhnliche DNS-Aktivität
- Login eines geleakten Accounts
- Zugriff auf Backup-Infrastruktu

7. Threat Hunting
- Unterschied Alerting vs. Threat Hunting
- hypothesenbasiertes Vorgehen
- Ausgangspunkt Threat Intelligence
- Suche nach Indicators of Compromise
- Suche nach ungewöhnlichem Verhalten
- Baselines und Abweichungen

Praxis:
Aus einer externen Threat-Intelligence-Meldung wird eine interne Hunting-Hypothese entwickelt

Tag 2 - Angriffe verhindern und eindämmen

8. Hardening der Systemlandschaft
Asset Management
- vollständige Systemübersicht
- Verantwortlichkeiten
- Lifecycle
- End-of-Life-Systeme
- Shadow IT

Vulnerability Management
- Schwachstelle ist nicht gleich Risiko
- CVSS und reale Ausnutzbarkeit
- externe Erreichbarkeit
- Kritikalität des Assets
- Threat Intelligence
- risikobasierte Patchpriorisierung

Identity Hardening
- MFA
- Least Privilege
- separate Admin Accounts
- privilegierte Workstations
- PAM-Grundprinzipien
- Service Accounts
- Legacy Authentication
- Break-Glass Accounts

Endpoint Hardening
- sichere Baselines
- Application Control
- EDR
- Makros und Skripte
- PowerShell
- lokale Administratorrechte
- Security Configuration Monitoring

Netzwerk-Hardening
- Segmentierung
- administrative Netze
- Management Interfaces
- Firewall-Regeln
- Remote Access
- Internet Exposure
- Zero-Trust-Grundprinzipien

Backup-Hardening
- Trennung von Produktions- und Backup-Zugängen
- Schutz privilegierter Backup-Konten
- Immutable/Offline-Backups
- Monitoring von Backup-Manipulationen

Keine Behandlung vollständiger BCM-/Recovery-Konzepte.

9. Assume Breach - Hardening für den bereits kompromittierten Account
Nicht nur verhindern, dass ein Angreifer hineinkommt:
Was passiert, wenn er bereits einen gültigen Benutzeraccount besitzt?
- welche Systeme erreicht ein normaler Benutzer?
- welche Credentials kann er finden?
- welche administrativen Interfaces sind erreichbar?
- wie leicht kann er sich lateral bewegen?
- kann er Security Tools deaktivieren?
- kann er Backups erreichen?
- wie schnell wird sein Verhalten erkannt?

Praxisübung mit vereinfachter Netzwerkarchitektur

10. Vom Alarm zur technischen Triage
Strukturierter Ablauf:
- Detect
- Validate
- Scope
- Contain
- Preserve Evidence
- Escalate

Fragen bei jedem Verdachtsfall
- Was ist passiert?
- Wann hat es begonnen?
- Welcher Account ist betroffen?
- Welches System ist betroffen?
- Welche Systeme könnten zusätzlich betroffen sein?
- Welche Daten könnten betroffen sein?
- Ist der Angreifer noch aktiv?
- Welche Massnahme reduziert das Risiko am schnellsten?

11. Technische Sofortmassnahmen
Je nach Szenario:
- Endpoint isolieren
- Benutzer sperren
- Sessions widerrufen
- Tokens invalidieren
- Credentials rotieren
- Netzwerkkommunikation blockieren
- IPs/Domains/Hashes blockieren
- administrativen Zugriff beschränken
- gefährdete Systeme segmentieren
- verdächtige Prozesse stoppen

Dabei immer:
- Auswirkungen berücksichtigen
- Beweise erhalten
- Aktionen dokumentieren
- Security-/Incident-Verantwortliche einbeziehen

12. Evidence Preservation - nichts kaputtmachen
- Logdaten sichern
- Zeitstempel dokumentieren
- volatile Informationen berücksichtigen
- keine unkoordinierten Veränderungen
- keine voreiligen Neuinstallationen
- Systeme nicht automatisch abschalten
- Kommunikationswege definieren
- externe Forensik frühzeitig einbeziehen

13. Detection & Response Playbooks
Die Teilnehmenden entwickeln einfache technische Playbooks für beispielsweise:
Playbook A
Credential im Dark Web gefunden
Playbook B
Ungewöhnliche Administratoranmeldung
Playbook C
Malware-/EDR-Alarm auf Server
Playbook D
Verdacht auf Ransomware-Aktivität
Je Playbook:
- Trigger
- Verifikation
- Logquellen
- Analyse
- Sofortmassnahmen
- Eskalationskriterien
- Dokumentation

14. Security Monitoring mit begrenzten Ressourcen
Besonders für KMU:
Mindestfähigkeit
Stufe 1
- MFA
- Patchmanagement
- EDR
- sichere Backups
- grundlegendes Logging

Stufe 2
- zentrale Logsammlung
- Identity Monitoring
- externe Exposure-Überwachung
- Credential Monitoring
- definierte Alarmierungen

Stufe 3
- SIEM/SOC
- Threat Intelligence
- Detection Engineering
- Threat Hunting
- kontinuierliches Attack-Surface-Monitoring

15. Kennzahlen und kontinuierliche Verbesserung
Praxisnahe Kennzahlen:
- Mean Time to Detect
- Mean Time to Respond
- Anteil überwachte kritische Systeme
- EDR Coverage
- Logging Coverage
- Anzahl kritischer Internet Exposures
- Zeit bis zur Behebung kritischer Schwachstellen
- Anzahl privilegierter Accounts
- MFA Coverage
- Anzahl relevanter externer Exposure-/Credential-Funde
- False-Positive-Rate kritischer Detection Rules

16. Übergang zu Incident Management und BCM
Der Kurs behandelt ausschliesslich die Schnittstelle:
IT-/Security-Ebene
- Security Event - Triage - bestätigter Incident - Containment
Organisationsebene
- Incident - grössere Geschäftsbeeinträchtigung - Krisen-/BCM-Eskalation

Beispiele für Eskalation:
- Ausfall geschäftskritischer Systeme
- grossflächige Verschlüsselung
- Verlust zentraler Identitätsdienste
- Manipulation der Backup-Infrastruktur
- erheblicher Datenabfluss
- länger andauernde Betriebsunterbrechung

Nicht Bestandteil:
- Business Impact Analyse
- BCMS-Stufenmodell
- Aufbau eines BCMS
- Krisenstabsorganisation
- vollständige Wiederanlaufplanung
- BC-Strategieentwicklung
Damit bleibt eine klare Trennung zum Business Continuity Manager (IHK)

Abschlusssimulation
Szenario:
- Credentials tauchen extern auf.
- Ungewöhnlicher Login wird festgestellt.
- Privilegien werden erweitert.
- Endpoint-Schutz schlägt an.
- Netzwerk zeigt ungewöhnliche Verbindungen.
- Daten werden gesammelt.
- Backup-System wird angesprochen.

Die Teilnehmenden bearbeiten gemeinsam:
- Detection
- Analyse
- Scoping
- Containment
- Evidence Preservation
- Eskalation
- Übergabe an Incident Management
- möglicher BCM-Trigger

Abschluss
Jeder Teilnehmende erstellt einen persönlichen:
30-Tage-Plan zur Verbesserung von Cyber-Früherkennung und IT-Hardening mit den fünf wichtigsten Massnahmen für die eigene Organisation






Abschlussbeschreibung


Ablauf
Dieses Seminar findet zu 100% online statt. Bitte prüfen Sie im Vorfeld, ob Sie die technischen Voraussetzungen für die Teilnahme am Online-Unterricht erfüllen.

16 Stunden

Teilnahmebescheinigung /

IT-Administratoren, Systemadministratoren, Netzwerkadministratoren, Cloud-Administratoren, IT-Infrastruktur-Verantwortliche.
Mitarbeitende in IT-Security-Teams, SOC-Analysten (Security Operations Center), Security Engineers,
IT-Sicherheitsbeauftragte mit technischem Fokus, Verantwortliche für Incident Response oder Cyberabwehr, Technische IT-Leiter in kleinen und mittelständischen Unternehmen.

Die Teilnehmer sollten bereits über: solide IT-Infrastrukturkenntnisse, Grundwissen zu Netzwerken, Windows/Linux-Systemen, Active Directory, Cloud-Umgebungen oder Logging verfügen.

1987_271_02