KKC_0119 | Malware-Analyse mit KI Grundkurs: Erkennen, Finden, Beweisen

Dieses Seminar richtet sich an erfahrene Security-Praktikerinnen und Security-Praktiker, die Malware nicht nur „finden“, sondern belastbar erkennen, einordnen und für Incident Response verwertbar machen wollen. Sie starten mit der Übersetzung von Taktiken, Techniken und Prozeduren in messbare Detection-Signale und klären, wo KI echten Mehrwert liefert und wo klassische Ansätze überlegen bleiben. Danach bauen Sie eine saubere Datenbasis auf: Welche Telemetrie aus EDR, Sysmon, Windows Event Logs und Netzwerkflüssen Sie brauchen, wie Sie Labeling und Ground Truth organisieren und welche Feature-Strategien sich für Sequenzen, Graphen und Zeitreihen eignen.

Im Kern arbeiten Sie an statischer und dynamischer Malware-Analyse. Statisch nutzen Sie PE-Metadaten, Imports, Strings und robuste Merkmale, die auch bei Packers und Obfuscation nicht sofort brechen. YARA dient Ihnen dabei nicht als Ersatz, sondern als Kontrollinstanz und zusätzliche Feature-Quelle.

Dynamisch gehen Sie über Sandbox-Artefakte, Prozessketten, API-Call-Profile und Netzwerkverhalten in Richtung Verhaltenserkennung und C2-Muster. Darauf aufbauend setzen Sie supervised und unsupervised Verfahren ein, lernen Anomalie-Detection sauber zu baseline’n und Drift zu erkennen. Zum Schluss operationalisieren Sie die Ergebnisse: Evaluation mit Precision/Recall und Kosten, Threat-Informed Testing, Deployment in Batch oder Streaming sowie die saubere Beweissicherung für Reports.

LLMs nutzen Sie kontrolliert für Triage und Regel- oder Query-Entwürfe, inklusive Guardrails gegen Prompt-Injection und Datenabfluss.

• Taktiken, Techniken und Prozeduren in messbare Detection-Signale übersetzen
• Telemetrie aus EDR, Sysmon, Event Logs und Netzwerkflüssen einordnen
• Statische Malware-Merkmale wie PE-Metadaten, Imports und Strings nutzen
• Dynamische Analyse über Sandbox-Artefakte, Prozessketten und Netzwerkverhalten anwenden
• Supervised und unsupervised Verfahren für Malware-Erkennung bewerten
• Evaluation mit Precision, Recall, Kosten und Threat-Informed Testing planen
• LLMs kontrolliert für Triage, Regelentwürfe und Reports einsetzen

Das Seminar richtet sich an erfahrene Security-Praktiker/innen, SOC-Teams, Incident-Response-Teams, Malware-Analyst/innen und IT-Sicherheitsverantwortliche.

Vorausgesetzt werden fundierte Kenntnisse in IT-Sicherheit oder Incident Response. Erfahrungen mit Logs, EDR, Windows-Artefakten oder Malware-Analyse sind empfehlenswert.

• Threat Landscape und Angriffslogik verstehen
  • Taktiken, Techniken und Prozeduren (TTPs) in Detection übersetzen
  • Commodity-Malware vs. zielgerichtete Kampagnen
  • Living-off-the-Land und Missbrauch legitimer Tools
  • Was KI in der Malware-Analyse wirklich leistet
• Datenbasis für KI-Detection aufbauen
  • Telemetrie: EDR, Sysmon, Windows Event Logs, Netzwerkflüsse
  • Labeling-Strategien und Ground Truth ohne Selbstbetrug
  • Feature Engineering: Sequenzen, Graphen, Zeitreihen
  • Datenschutz, Aufbewahrung, Zugriffskonzepte
• Statische Analyse mit ML-Features
  • PE-Metadaten, Imports, Strings, Sections
  • YARA als Feature-Quelle und als Kontrollinstanz
  • Embeddings für Byte-/Opcode-N-Grams
  • Packers, Obfuscation und robuste Merkmale
• Dynamische Analyse und Verhaltenserkennung
  • Sandboxing: Artefakte, API-Calls, Prozessketten
  • Sequenzmodelle für Prozess- und Event-Reihen
  • Command-and-Control Muster in Netzwerkdaten
  • Anti-VM und Evasion: Grenzen und Gegenmaßnahmen
• Unsupervised Detection und Anomalie-Methoden
  • Baselining und Drift: wann „normal“ kippt
  • Clustering für Malware-Familien und Kampagnen
  • Isolation Forest, Autoencoder, One-Class Ansätze
  • Alert-Triage: Priorisierung statt Alarmflut
• LLMs für Analystenarbeit, aber sicher
  • LLM-gestützte Triage: Zusammenfassen von Artefakten
  • Regel- und Query-Generierung (Sigma, KQL) mit Guardrails
  • Prompt-Injection und Datenabfluss vermeiden
  • Human-in-the-Loop und Review-Workflows
• Operationalisierung: vom Modell zur Detection
  • Evaluation: Precision/Recall, Kosten von False Positives
  • Threat-Informed Testing und kontinuierliche Validierung
  • Deployment-Patterns: Batch, Streaming, SIEM/SOAR
  • Incident-Readiness: Beweise sichern und berichten