Startseite › SOC‑Simulator
Der SOC‑Simulator: üben wie in einem Sicherheitsteam
Im SOC‑Simulator läuft ein Alarm auf deinem Bildschirm auf, und du musst entscheiden, was jetzt zu tun ist. Diese Seite erklärt in einfachen Worten, was ein SOC ist, wie ein Fall abläuft und was dabei gemessen wird. Und sie zeigt, wo dein Dozent dabei ist.
Probier es aus · dauert eine Minute
Ein Alarm ist da. Was tust du?
So sieht die Arbeit aus: Eine Meldung landet in der Warteschlange, und du entscheidest, ob dahinter ein echter Angriff steckt oder ein Fehlalarm. Genau das übst du im SOC‑Simulator – dort mit echten Werkzeugen, hier zum Anschauen.
- Benutzer
- [email protected]
- Zeitpunkt
- 03:14 Uhr, Ortszeit Berlin
- Quell-IP
- 41.203.88.17 — Nigeria
- Ergebnis
- Anmeldung erfolgreich, erster Versuch
- Gerät
- nie zuvor bei diesem Konto gesehen
- Danach
- 14 Postfachregeln angelegt, alle leiten weiter
Aus der Firmendokumentation: Nordwerk GmbH, Maschinenbau. Standorte nur in Deutschland und Polen. Der Außendienst reist innerhalb Europas. Reisen nach Afrika sind nicht vorgesehen.
Dein Urteil im Case Report:
Richtig — True Positive
Knapp daneben — es ist ein True Positive
Drei Dinge zusammen machen den Fall: die Anmeldung um 3 Uhr nachts aus einem Land, in dem die Firma nicht tätig ist; ein Gerät, das bei diesem Konto nie zuvor gesehen wurde; und unmittelbar danach 14 Weiterleitungsregeln im Postfach. Jedes für sich wäre erklärbar. Zusammen ist es eine Übernahme des Kontos — und die Regeln sorgen dafür, dass der Angreifer weiter mitliest.
Die Überlegung ist richtig: Vieles, was ungewöhnlich aussieht, ist harmlos. Hier kommen aber drei Auffälligkeiten zusammen — 3 Uhr nachts, ein Land ohne Firmenbezug, ein nie gesehenes Gerät. Und dann die 14 Weiterleitungsregeln direkt danach. Das ist kein Zufall, das ist eine Übernahme des Kontos.
Im Simulator schreibst du danach den Case Report und entscheidest, ob der Fall eskaliert wird. Gemessen wird unter anderem, wie lange du bis zur Lösung brauchst — die Kennzahl heißt MTTR, Mean Time to Resolve.
Der echte Simulator läuft im Browser, mit eingebettetem SIEM und einer Analyst-VM. Ein Teil der Szenarien ist auch ohne Bezahlung zugänglich, in einer abgespeckten Fassung — du kannst also vorher hineinschauen. TryHackMe ist ein eigenständiges Unternehmen; der Simulator gehört nicht uns, wir unterrichten damit. Zum SOC‑Simulator bei TryHackMe →
Wie hier geübt wird
Die Arbeit im Sicherheitsteam wird hier gemacht, nicht beschrieben
Viele Weiterbildungen mit Bildungsgutschein unterrichten mit Folien, Übungsaufgaben und einer Prüfung am Ende. Bei uns arbeitest du ab Woche 24 sieben Wochen lang im SOC‑Simulator von TryHackMe, mit echten Werkzeugen und echten Alarmen. Ob andere Anbieter das auch tun, können wir nicht für den ganzen Markt sagen.
Unterricht mit Folien
- Folien und Übungsaufgaben
- Eine Zertifizierung am Ende
- Die Arbeit im Sicherheitsteam wird beschrieben
So unterrichten wir
- Sieben Wochen Schichten im Simulator, ab Woche 24
- Drei Zertifizierungen unterwegs: SEC0, SEC1, SAL1
- Die Arbeit im Sicherheitsteam wird gemacht – mit echten Werkzeugen, echten Alarmen und einer Kennzahl, die dein Tempo misst
Ob eine andere Weiterbildung ähnlich arbeitet, können wir nicht beurteilen. In Deutschland gibt es mehrere hundert zugelassene Träger, und wir haben nicht alle Lehrpläne gesehen.
Der Rahmen drumherum
Eine Schicht im Sicherheitsteam, von 8 bis 16 Uhr
Der Alarm von eben war einer von vielen. So sieht der Tag aus, in den er gehört – und genau diesen Tag übst du im Simulator, Woche für Woche.
Übergabe von der Nachtschicht
Was ist offen, was wurde eskaliert, worauf muss man heute achten.
Der erste Alarm landet in der Warteschlange
Genau der von oben. Du weist ihn dir zu – ab jetzt läuft die Zeit.
Das war dein TestNachsehen, was wirklich passiert ist
Im SIEM die Protokolle des Kontos. In der Analyst VM die IP-Adresse prüfen. In der Documentation nachlesen, wo die Firma überhaupt Standorte hat.
Das Playbook sagt, was jetzt zu tun ist
Für jede Alarmart gibt es einen festen Ablauf – wie in echten Sicherheitsteams. Du folgst ihm, statt zu raten.
Case Report und Eskalation
True Positive. Du schreibst auf, was du gefunden hast, und gibst den Fall an die nächste Stufe. Zeit bis hierher: 30 Minuten.
MTTR 00:30Der nächste Alarm. Und der übernächste.
Manche sind in zwei Minuten erledigt, andere kosten eine Stunde. Die meisten sind Fehlalarme – sie zu erkennen ist die eigentliche Kunst.
Womit du arbeitest
Sechs Bereiche, wie in einem echten Sicherheitsteam
Das sind keine Namen, die wir uns ausgedacht haben – so heißen die Bereiche im Simulator, und so ähnlich heißen sie im Beruf.
Der Überblick
Wie viele Alarme offen sind, was dringend ist, wie das Team im Vergleich steht.
Die Warteschlange
Hier laufen die Meldungen ein. Du nimmst dir eine und bist ab dann dafür zuständig.
Die Protokolle
Das Suchsystem über alle Ereignisse. Wer hat sich wann angemeldet, welcher Rechner hat wohin gefunkt.
Der eigene Rechner
Ein abgeschotteter Arbeitsplatz mit Werkzeugen – unter anderem, um Adressen und Dateien zu prüfen, ohne sich etwas einzufangen.
Die Firmenakte
Was diese Firma tut, wo sie Standorte hat, welche Software normal ist. Ohne das kann man einen Alarm nicht beurteilen.
Der feste Ablauf
Für jede Alarmart ein vorgegebener Weg. So arbeiten echte Sicherheitsteams – damit niemand im Ernstfall improvisiert.
Zwei Minuten. Dann weißt du, welche Regel für dich gilt.
Kurzer Förder-Check, ohne Anmeldung und ohne Verpflichtung.