Dieses Modul bietet eine umfassende Anleitung zur Einrichtung von Google SecOps SIEM und konzentriert sich dabei auf den gesamten Lebenszyklus der Datenerfassung, Zugriffskontrolle und Normalisierung. Die Teilnehmer lernen alle unterstützten Erfassungspfade kennen – direkte Collectors, APIs von Drittanbietern, Cloud-Speicher-Buckets, Streaming-Dienste und On-Premise-Bereitstellungen mit BindPlane – und verstehen, wann und wie die einzelnen Methoden zum Einsatz kommen. Das Modul befasst sich zudem eingehend mit dem RBAC-Framework von SIEM und behandelt dabei Berechtigungen auf Funktionsebene, datenbezogenen Zugriff, Bereiche, Labels sowie praktische Strategien zur Umsetzung sicherer Abläufe nach dem Prinzip der geringsten Berechtigungen. Abschließend befassen sich die Teilnehmer mit Normalisierungskonzepten und der Parser-Verwaltung, um sicherzustellen, dass die eingelesenen Protokolle gemäß den UDM-Best-Practices strukturiert, transformiert und angereichert werden. Am Ende sind die Teilnehmer in der Lage, eine voll funktionsfähige und gut verwaltete SIEM-Erfassungspipeline bereitzustellen.

Dieses Modul bietet einen umfassenden Überblick über die Untersuchung von Sicherheitsereignissen in Google SecOps SIEM und konzentriert sich dabei darauf, wie Analysten von der Auswertung von Rohprotokollen zu strukturierten, hypothesengesteuerten Untersuchungen mithilfe von UDM übergehen. Die Teilnehmer beginnen mit Suchtechniken für Rohprotokolle, um zu verstehen, wie Daten in die Plattform gelangen und wie sich die Datenerfassung, Zeitstempel und der Quellkontext schnell überprüfen lassen. Anschließend werden das UDM-Schema und die Feldfamilien vorgestellt und erläutert, wie die Normalisierung eine konsistente Abfrage über unterschiedliche Datenquellen hinweg ermöglicht. Anschließend beschäftigen sich die Teilnehmer mit der UDM-Suche und statistischen Aggregation und lernen, wie sie Ereignisse mithilfe strukturierter Abfragen und Datentabellen pivotieren, gruppieren und korrelieren können. Anhand praktischer Demos und angeleiteter Beispiele entwickeln die Teilnehmer effiziente Untersuchungsworkflows, die Rohprotokolle, UDM-Suchen und Aggregationen kombinieren, um verdächtiges Verhalten zu identifizieren, Erkennungen zu validieren und Entscheidungen zur Reaktion auf Vorfälle zu unterstützen.

Dieses Modul bietet einen umfassenden Überblick über Dashboards in Google SecOps SIEM und konzentriert sich dabei darauf, wie Dashboards zur Visualisierung, Überwachung und Operationalisierung von Sicherheitsdaten eingesetzt werden. Die Teilnehmer beginnen mit einer Einführung in kuratierte Dashboards und vorgefertigte Inhalte und lernen, wann und wie vorgefertigte Ansichten im Vergleich zu benutzerdefinierten Dashboards eingesetzt werden sollten. Anschließend führt das Modul die Teilnehmer durch die Erstellung von YARA-L-Abfragen für Dashboards und die Anwendung effektiver Filtertechniken, um relevante Signale hervorzuheben und Störsignale zu reduzieren. Es werden erweiterte native Dashboard-Funktionen behandelt, darunter interaktive Widgets, Drilldowns und Leistungsaspekte, gefolgt von einem Überblick über ältere SIEM-Dashboards und deren Unterschiede zu nativen Dashboards. Am Ende des Moduls sind die Teilnehmer in der Lage, Dashboards zu entwerfen und zu pflegen, die sowohl Analysten als auch Stakeholdern klare, umsetzbare Sicherheitserkenntnisse liefern.

Dieses Modul bietet eine umfassende Einführung in die Erkennungstechnik in Google SecOps SIEM und konzentriert sich dabei auf die Erstellung, das Testen und die Optimierung von Erkennungsregeln mithilfe von YARA-L. Die Teilnehmer beginnen mit der Untersuchung ausgewählter Erkennungskategorien, Regelsätze und Regelabhängigkeiten, um zu verstehen, wie Erkennungsregeln organisiert und in großem Maßstab bereitgestellt werden. Anschließend befasst sich das Modul eingehend mit der Erstellung von YARA-L-Regeln und behandelt dabei die Regelstruktur, Variablen, den Abgleich von Zeichenfolgen mit regulären Ausdrücken, Referenzlisten, wiederholte Felder sowie CORE-YARA-L-Funktionen. Die Teilnehmer lernen, wie sie Einzelereignis-, Mehrfachereignis- und zusammengesetzte Regeln entwerfen, den Entitätskontext und den Entitätsgraphen nutzen, um die Erkennungsgenauigkeit zu verbessern, und verstehen, wie Ereignisse in Warnmeldungen umgewandelt werden. Abschließend üben die Teilnehmer Techniken zum Testen und Optimieren von Regeln, um die Leistung, Genauigkeit und Wartbarkeit von Erkennungsregeln in Produktionsumgebungen zu verbessern.