Kurs · Schulung · Workshop
Agentic Blue Teaming
Zwei Tage hands-on: Detection, Triage, Threat Hunting und Incident Response mit LLM Agents – damit Dein Blue Team mit dem Tempo GenAI-gestützter Angriffe mithält.
Angreifer arbeiten mit GenAI und LLM Agents: Phishing skaliert in jeder Sprache, Recon dauert Minuten und die Zeit zwischen CVE und Ausnutzung schrumpft auf Stunden. Ein Blue Team, das jeden Alert von Hand abarbeitet, verliert dieses Rennen. In diesem Kurs baust Du agentische Workflows für die Verteidigung: LLM Agents, die über MCP an SIEM, EDR, Threat Intelligence und Ticketing angebunden sind, Alerts anreichern, Hypothesen für Threat Hunting vorschlagen, Detection Rules schreiben und testen und Incident Response vorbereiten. Der Mensch entscheidet, der Agent macht die Fleissarbeit. Genauso wichtig: Wo Agents im SOC versagen. Du lernst, Halluzinationen und Prompt Injection über Log-Daten zu erkennen, Agents mit minimalen Rechten zu betreiben und ihre Arbeit messbar zu machen. Am Ende hast Du einen agentischen Blue-Team-Stack, den Du in Deine Umgebung übertragen kannst.
Stimmen unserer Teilnehmer:innen
The course was highly educational. I discovered many tools and found the integration of these tools with AI into a developer environment extremely fascinating. I learned a lot about cutting-edge topics, which is especially impressive given the rapid evolution of the AI landscape. The knowledge I gained has already helped me improve and accelerate my own processes, significantly enhancing my daily workflow.
Cloud Platform Solution Architect, Helvetia Versicherungen Schweiz
* Stimmen aus diesem oder verwandten Kursen.
Diese Kunden haben Kurse im gleichen Themen-Cluster bei uns gebucht.Mehr Kunden →
Inhalt
Dieses Training richtet sich an Engineers, die ihr Blue Team mit LLM Agents auf das Tempo GenAI-gestützter Angriffe bringen wollen. Gearbeitet wird in einer Lab-Umgebung mit realistischer Telemetrie und simulierten Angriffen.
Der Kurs besteht aus den folgenden Themen und kann je nach Publikum erweitert oder angepasst werden. Für Inhouse-Kurse arbeiten wir auf Wunsch mit Ihrem SIEM- und EDR-Stack.
Angriffsmuster mit GenAI verstehen
- Wie LLM Agents die Cyber Kill Chain beschleunigen
- GenAI-Phishing, Voice Cloning und Deepfake-Fraud: welche Spuren bleiben?
- Threat Modeling mit MITRE ATT&CK und MITRE ATLAS
- Hands-On: Telemetrie eines GenAI-gestützten Angriffs im Lab analysieren
Der agentische Blue-Team-Stack
- Agent-Architektur: Planung, Tool Use, Kontext und Memory
- MCP-Anbindung an SIEM, EDR, Threat Intelligence und Ticketing
- Cloud- vs. lokale Modelle: Datenschutz bei Log- und Kundendaten
- Hands-On: Agent-Harness mit Anbindung an das Lab-SIEM aufsetzen
Alert-Triage und Anreicherung
- Agents reichern Alerts mit Asset-, Identitäts- und Threat-Intel-Kontext an
- Zusammenfassungen und Priorisierung für Analysten
- Halluzinationen erkennen: jede Aussage mit Evidenz belegen
- Hands-On: Triage-Agent bauen und gegen eine Alert-Flut testen
Detection Engineering mit Agents
- Sigma Rules mit LLM-Unterstützung schreiben, testen und tunen
- Detection as Code: Tests, Coverage gegen ATT&CK, CI-Pipeline
- Hands-On: Detections für die Lab-Angriffe bauen und validieren
Threat Hunting
- Hypothesen generieren und agentisch über Logs prüfen
- Natural Language zu Query (KQL, SPL, SQL) – und wo das schiefgeht
- Hands-On: Hunt nach einem versteckten Angreifer im Lab
Incident Response mit Agents
- Timeline-Rekonstruktion, Scoping und Berichtsentwürfe
- Response-Aktionen mit Human-in-the-Loop und Freigabestufen
- Hands-On: Incident im Team mit Agent-Unterstützung bearbeiten
Die Agents selbst absichern
- Prompt Injection über Logs, E-Mails und Tickets
- Least Privilege, Sandboxing, Audit Trail und Kill Switch
- Wirksamkeit messen: MTTD, MTTR, False-Positive-Rate
- Hands-On: Den eigenen Triage-Agent angreifen und härten
Am Ende der zwei Tage hast Du einen funktionierenden agentischen Blue-Team-Stack gebaut, kennst seine Grenzen und weisst, wie Du ihn sicher in Deine Umgebung bringst.
Der effektive Kursinhalt kann, abhängig von Trainer, Durchführung, Dauer und Konstellation der Teilnehmer:innen, von obigen Angaben abweichen.
In-House Kurs anfragen
Öffentlichen Termin anfragen
Kein passender öffentlicher Termin dabei? Trag dich unverbindlich ein – sobald genug Interesse besteht, planen wir einen neuen öffentlichen Termin und informieren dich zuerst.
Mehr über Agentic Blue Teaming
LLM Agents verbinden Sprachmodelle mit echten Werkzeugen und arbeiten mehrstufige Aufgaben selbstständig ab. Im SOC heisst das: Anreicherung, Korrelation und Zusammenfassung laufen in Sekunden statt Minuten. Damit das sicher funktioniert, braucht es klare Leitplanken – minimale Rechte, nachvollziehbare Entscheidungen und Schutz gegen manipulierte Eingaben aus Logs und Tickets.Weitere Ressourcen:
Geschichte und Entwicklung
Das SOC hat sich von manueller Log-Sichtung über SIEM-Korrelation zu SOAR-Playbooks entwickelt. Playbooks automatisierten feste Abläufe, scheiterten aber an allem, was nicht vorhersehbar war – die Arbeit blieb an Analysten hängen.
Mit leistungsfähigen LLMs und Tool-Anbindung über Protokolle wie MCP ab 2024 entstanden Agents, die Kontext verstehen und Untersuchungsschritte selbst planen. Gleichzeitig setzen Angreifer dieselbe Technologie ein – das Blue Team muss nachziehen, ohne neue Angriffsfläche zu schaffen.