CrowdStrike Falcon – Sicherheitsmeldungen untersuchen und Reaktionen prüfen

Sie bearbeiten vorbereitete Falcon-Meldungen vom ersten Verdacht bis zur begründeten Reaktion. Der Schwerpunkt liegt auf Prozesszusammenhängen, Zeitabläufen und belastbaren Übergaben. Sie entscheiden anhand der verfügbaren Hinweise, welche Maßnahme vertretbar ist und welche Informationen vor einer Freigabe noch fehlen.

Dauer: 3 Tage.

• Sicherheitsmeldungen anhand nachvollziehbarer Befunde bewerten.
• Reaktionen mit Freigabe und Wiederanlaufkriterien verbinden.
• Untersuchungen strukturiert an andere Beteiligte übergeben.

• Eine Erstbewertung nach betroffenen Geräten, Benutzern, Beobachtungszeit und möglicher Geschäftsauswirkung durchführen.
• Prozessbeziehungen und verfügbare Endpunkttelemetrie zu einer zeitlichen Darstellung zusammenführen; Hypothesen von Befunden trennen.
• Weitere betroffene Geräte und wiederkehrende Merkmale suchen; Aussagegrenzen der verfügbaren Daten festhalten.
• Reaktionsmöglichkeiten nach Berechtigung, Eingriffstiefe und Betriebsfolgen vergleichen; Freigaben vor einer Eindämmung festlegen.
• Untersuchungsergebnisse, Artefakte und Maßnahmen so protokollieren, dass andere Beteiligte den Ablauf nachvollziehen können.
• Entwarnung, Eskalation und Wiederaufnahme des normalen Betriebs an konkrete Nachweise binden; Lernpunkte in Richtlinienpflege überführen.

• Ein vorbereitetes Ereignispaket untersuchen und eine Zeitleiste mit belegten Befunden, offenen Fragen und ausgeschlossenen Vermutungen erstellen.
• An einem freigegebenen Testgerät eine verfügbare Eindämmungsmaßnahme und deren kontrollierte Rücknahme erproben.
• Einen Fehlalarm von einer weiter zu untersuchenden Meldung abgrenzen und die Entscheidung in einem Übergabeprotokoll begründen.

SOC-Analysten, Incident-Response-Mitarbeiter und Endpunktadministratoren mit Aufgaben in der Untersuchung von Sicherheitsmeldungen.

Grundkenntnisse zu Falcon, Betriebssystemprozessen und typischen Sicherheitsereignissen; Erfahrung mit Ereignisprotokollen.

Funktionsumfang und verfügbare Telemetrie hängen von den vereinbarten Falcon-Modulen ab. Übungen erfolgen mit vorbereiteten Ereignissen und autorisierten Testgeräten, ohne Schadsoftwareeinsatz.

Sie erhalten eine Teilnahmebescheinigung von SCN.

Aufbaukurs für Teilnehmende mit praktischer Erfahrung in den genannten Voraussetzungen.

Besprechen Sie Ihre Lernziele vorab mit dem Trainer. Unsere Ansprechpartner unterstützen Sie bei individuellen Themen und Firmenschulungen.

Diese Angebote behandeln ergänzende Schwerpunkte. Wählen Sie nach Ihren Aufgaben und den jeweiligen Voraussetzungen; eine verbindliche Kursreihenfolge ist damit nicht vorgegeben.

• CrowdStrike Falcon – Endpunkte und Schutzrichtlinien betreuen