Qualität, Sicherheit & Compliance

Machine Learning im SOC: Anomalien erkennen und die Alarmflut ordnen

Hunderte Alarme pro Schicht, viele davon Fehlalarme, und dazwischen ein Angreifer, der mit gültigen Zugangsdaten unterwegs ist und keine Signatur auslöst: Hier setzen ML-Verfahren im Security Operations Center an. Der Tag richtet sich an SOC-Analysten, SIEM-Verantwortliche und Teams der IT-Sicherheit. Sie bilden Baselines, suchen Anomalien in Log-Daten, bündeln und priorisieren Alarme in Übungen und prüfen, wo LLM-gestützte Analyse Zeit spart und wo Modell-Drift oder lernende Angreifer die Erkennung untergraben.

Für wen

SOC-Analystinnen und -Analysten, SIEM-Verantwortliche und IT-Sicherheitsteams, die Bedrohungen mit ML-Verfahren aufspüren wollen.

KI-Tagesseminar · 1 Tag

Angriffe jenseits von Signaturen finden und Analysten bei der Triage entlasten

Das nehmen Sie mit

  • UEBA, Netzwerk-, Endpoint- und Log-Analyse können Sie als Einsatzfelder für ML bewerten und KI-Funktionen von SIEM- und XDR-Plattformen einordnen.
  • In Log-Daten haben Sie Baselines gebildet und Ausreißer selbst aufgespürt.
  • Alarme bündeln und priorisieren Sie mit ML-Unterstützung, um Fehlalarme zu reduzieren.
  • Grenzen wie Modell-Drift und fehlende Nachvollziehbarkeit fließen in Ihren Ausbauplan für das SOC ein.

Ablauf

  1. Teil 1

    Modul 1 – Lage: Wo signaturbasierte Erkennung endet

    • Unbekannte Varianten, missbrauchte Konten, Living-off-the-Land: was Signaturen übersehen
    • ML-Anwendungsfelder im Überblick: UEBA, Netzwerk-, Endpoint- und Log-Analyse
    • SIEM- und XDR-Plattformen im Marktvergleich: wie weit KI-gestützte Erkennung und Analyse dort reicht
    • Ihre Ausgangslage: Alarmmengen je Schicht, Quellen mit den meisten Fehlalarmen, Engpässe in der Triage
  2. Teil 2

    Modul 2 – Erkennung: Normalverhalten lernen, Abweichungen finden

    • Baselines aus Logs bilden und Ausreißer statistisch bestimmen
    • User and Entity Behavior Analytics (UEBA): Verhalten von Konten, Hosts und Diensten profilieren
    • Übung: In Log-Daten auffällige Anmeldungen und Zugriffe herausarbeiten
    • Ungewöhnlich ist nicht gleich bösartig: Kriterien, nach denen Analysten Treffer einordnen
  3. Teil 3

    Modul 3 – Triage: Alarme verdichten und anreichern

    • Alert-Triage mit ML: Alarme gruppieren, bewerten und nach Dringlichkeit reihen
    • LLM-gestützte Incident-Analyse: Kontext aus Threat Intelligence und Asset-Daten zusammentragen
    • Fehlalarme in großer Zahl eindämmen, ohne echte Vorfälle zu unterdrücken
    • Übung: Einen Stapel Alarme zu Vorfällen bündeln und eine Bearbeitungsreihenfolge festlegen
    • Werkzeuge so einführen, dass sie Analysten Arbeit abnehmen und keine zusätzliche Prüfschleife schaffen
  4. Teil 4

    Modul 4 – Betrieb: Drift, Täuschung und Nachvollziehbarkeit

    • Modell-Drift erkennen und Angreifern begegnen, die ihr Verhalten an die Erkennung anpassen
    • Explainability: Treffer so begründen, dass SOC-Analysten sie prüfen und weitergeben können
    • Fallstudie: Ein Angriffsszenario, das durch ML-gestützte Erkennung aufgedeckt wurde
    • Fehlleitungen durch das Modell erkennen: Situationen, in denen KI-Ergebnisse falsche Spuren legen
    • Ausbauplan für ein KI-gestütztes SOC mit Reihenfolge der Anwendungsfälle

VoraussetzungenGrundwissen in IT-Sicherheit und im Betrieb eines SOC wird erwartet.

AbschlussTeilnahmezertifikat und digitales Badge

Thema anfragen