In dieser Security-Operations-Schulung lernst du, Logs und Alarme auszuwerten, Vorfälle zu priorisieren und sauber zu dokumentieren, und sie richtet sich an angehende und aktive SOC-Analysten, Administratoren mit Sicherheitsaufgaben und IT-Teams im Aufbau. Du arbeitest mit einem SIEM, formulierst Abfragen, ordnest Auffälligkeiten mit MITRE ATT&CK ein und folgst einem Ablauf nach NIST für die Vorfallbehandlung, damit Entscheidungen nachvollziehbar bleiben.
Das nimmst du mit.
- Logquellen wie Windows-Ereignisse, Firewall und Proxy lesen und korrelieren
- Abfragen in einem SIEM wie Microsoft Sentinel mit KQL formulieren
- Alarme nach Risiko triagieren und Fehlalarme begründet schließen
- Auffälliges Verhalten Taktiken und Techniken aus MITRE ATT&CK zuordnen
- Vorfälle nach einem festen Ablauf dokumentieren und Maßnahmen übergeben
Dein Training im Detail
- Für wen?
- Angehende SOC-Analysten, Administratoren mit Sicherheitsaufgaben und IT-Teams, die Detektion und Reaktion aufbauen.
- Was bringst du mit?
- Grundkenntnisse in Netzwerken, Betriebssystemen und IT-Sicherheit. Erfahrung mit Windows- und Linux-Logs ist hilfreich.
- Umfang & Planung
- Planungsvorschlag: 3 bis 4 Tage live online oder vor Ort. Umfang nach Vorkenntnissen.
Agenda: vom Verständnis zur Anwendung
Unser eigenständig entwickelter Agenda-Vorschlag. Schwerpunkte, Übungsumgebung und Umfang stimmen wir vor einer Buchung ab.
SOC-Aufbau: Rollen, Stufen der Analyse, Ereignis gegenüber Vorfall und Kennzahlen wie Erkennungs- und Reaktionszeit.
Logquellen: Windows-Sicherheitsereignisse, Sysmon, Linux auth.log, DNS-, Proxy- und Firewall-Protokolle.
SIEM-Praxis: Datenanbindung, Abfragen in KQL, Analyseregeln, Dashboards und Korrelation über mehrere Quellen.
Triage: Alarmbewertung nach Kritikalität, Anreicherung mit Threat Intelligence, IOC-Prüfung und Eskalationswege.
Angriffsmuster: MITRE ATT&CK Enterprise Matrix, typische Abfolgen wie Phishing, Credential Access und Lateral Movement.
Vorfallbehandlung: Ablauf nach NIST SP 800-61 Rev. 3, Eindämmung, Beweissicherung, Dokumentation und Nachbereitung.
Eigener Übungsvorschlag: Aus einem vorbereiteten Logdatensatz eine Kette aus fehlgeschlagenen Anmeldungen und einem späteren Erfolg finden, mit ATT&CK einordnen und einen Vorfallbericht schreiben.
Prüfung, Lizenzen & Nachweise
Verwandt ist die Microsoft-Zertifizierung Security Operations Analyst Associate (Prüfung SC-200). Die Schulung ist herstellerneutral und bereitet darauf nur vor, wenn das im Angebot vereinbart wird. Prüfungsgebühren und Lizenzen sind nur enthalten, wenn das bestätigt ist. Die Teilnahme allein vergibt kein Herstellerzertifikat.
Herstellerquellen & fachlicher Stand
Quellen geprüft am 2026-11-03. Die Quellen beschreiben die Technologie bzw. externe Prüfungsanforderungen. Sie belegen keine Partnerschaft mit NextNowa.
Dein Lerninhalt
Die genannten Inhalte beschreiben das gewünschte Schulungsthema. Konkreten Lehrplan, Dauer, Termine, Trainer und Preis stimmen wir vor einer Buchung ab.
Häufige Fragen
Was macht ein SOC-Analyst im Alltag?
Er prüft Alarme aus Überwachungssystemen, entscheidet, ob ein echter Vorfall vorliegt, sammelt Belege in Logs und eskaliert oder schließt den Fall mit Begründung. Dazu kommen Berichte und das Abstimmen von Regeln. Die Schulung übt genau diesen Ablauf an Beispieldaten.
Brauche ich ein SIEM, um Security Operations zu lernen?
Für den Einstieg nicht zwingend, denn die Methodik von Triage, Korrelation und Dokumentation gilt überall. Ein SIEM macht die Arbeit mit großen Datenmengen aber greifbar. Wir nutzen ein Beispiel wie Microsoft Sentinel und übertragen die Konzepte auf eure Lösung, falls sie abweicht.
Wofür ist MITRE ATT&CK gut?
Es ist eine öffentliche Wissensbasis zu Taktiken und Techniken von Angreifern. Du ordnest Beobachtungen ein, sprichst im Team dieselbe Sprache und erkennst Lücken in deiner Erkennung. Es ist ein Hilfsmittel zur Einordnung, kein Ersatz für eigene Analyse. Wir verwenden es in Übungen und Berichten.
Erhalte ich bei Security Operations ein Zertifikat?
Verwandt ist die Microsoft-Zertifizierung Security Operations Analyst Associate (Prüfung SC-200). Die Schulung ist herstellerneutral und bereitet darauf nur vor, wenn das im Angebot vereinbart wird. Prüfungsgebühren und Lizenzen sind nur enthalten, wenn das bestätigt ist. Die Teilnahme allein vergibt kein Herstellerzertifikat.