logseq_kauer/pages/%J CSOC.md

type:: [[jourfixe]]
icon:: 🗨️
team:: todo
start::

- ## neue Themen aus Journal (noch nicht zugeordnet)
	- {{query(and [[inbox]](page [[%J CSOC]])))}}
- ## Historie (Datum -> Text)
	- **[[2023-01-23]]**: ausführliche Mail zum Status
	- **[[2022-07-06]]**:
		- Wir möchten auch einen Zugriff auf die Nicht-Übertragenen Daten im Sammler (wie Kevin ElasticSearch nutzten)
			- Blick auf Rohdaten nicht gewünscht, Miriam klärt warum nicht
		- Status Berichte In den nächsten zwei Wochen fertig, mit Daten der letzten
		  zwei Monaten
		- Status V-Scanner
			- Hardware ist in Betrieb
			- Kein Dashboard für den V-Scanner
		- Status Dashboards (status.csoc.de)
		- Dashboard vscanner kommt  nichts an
			- Standard Credentials, update-Status etc.
			- Agends:
				- Zu langsam und errors
				- Status über nicht meldender Agends nicht noch vorhanden
			- Separater Termin für Dashboard fachliche Beurteilung
			- Feedback Anfang nächster Woche
		- Erfahrung aus Ticketbearbeitung
			- Zusätzlicher Termin erforderlich -> nächsten Di. 13:00 Uhr
			- Prio im Ticketsystem anzeigen (welches sind die Telefontickets
			- Offene Tickets sichten
				- Events, die aufgelaufen sind, inkl. "False Positives"
				- 16.000 Alerts
		- Logs aus Firewall -> noch offen, kommen Central und XG logs an?
			- Nimmt Miriam zur Prüfung mit
		- Brute-Force
			- Ab wie vielen Anmeldeversuchen melden -> unser Vorschlag 10
			  Feedback zur schlechten Analyse "Proxy"
	- **[[2023-01-23]]**:
		- Neue Dashboards werden in 2 Wochen auf alle Kunden ausgerollt
		- Nächsten Monat: Monatsbericht wird kommen
		- Frage nach Sophos-Central noch offen
		- In zwei Wochen: geändertes Onboarding, -> später über Ticket -> Info über neuen Agend,
		  Regelwerk über Ticket anpassen
		- Frage nach Info-Tickets -> mit ja und sinnvoll bestätig
		- Rollouts kann schon gestartet werden, -> Systeme landen dann aut0omatisch im Onboarding
	- **[[2022-02-24]]**:
		- Seit letzten Monat melden 400 Systeme keine Daten mehr -> bemerkt wird das erst jetzt Kevin sucht nach dem Problem und informiert wieder
	- **[[2022-02-16]]**: Eskalationsgespräch
		- Status Dashboards
			- Liste mit Agends, die aber  nichts melden -> will CSCO noch liefern
				- Anforderung ist verstanden
				- Kibana kann immer nur auf eine Tabelle schauen
				- Ist in Bearbeitung, wird priorisiert
			- Allgemein zu den Dashboards
				- Interne Frage, ob sinnvoll für den Kunden, welche Kennzahlen möchten wir?
				- Verschiedene Ebenen,  allgemeine Sicht -> Absprung auf einzelne PCs
				- Verweise auf
					- Regelwerke aus zwei Quelle: heute Sigma-Rules + Wazuh Rules -> wird aktuell in eine Welt zusammengeführt
					- Braucht noch Zeit
			- Management-Berichte
				- Kommen erst nach dem Go-Live
				- Monatsbericht: erst möglich, wenn sinnvolle Daten vorhanden
				- Preview-Bericht kann schon mal erstellt werden -> prüfen, ob wir einen Test bekommen können
			- OnBoarding, immer gleiche Dinge
				- Status: domänen krahu und hkr sind drauf, critical events sind fertig (critical, high, medium, low)
				- Noch 5-6 Regel in "High"
				- Krah systeme sieht gut aus
				- Hkr systeme -> altsysteme verursache großen onboarding aufwand
					- Systeme mit HKR im Namen fertig
					- Einzelne Systeme können auf Leitstelle geschaltet werden
					- Idee: alle Meldungen der Altsysteme als Ausnahmen definieren
						- Wir bekommen Übersicht der Regeln aus Altsystemen -> dieses Liste wird dann im Nachhinein abgearbeitet und "gesäubert"
					- Abgestimmt, dass wir das so machen
			- Grund für "alte  Kamellen": Wechsel von Stufe auf Medium
			- Sophos Protokolle
				- Integration Sophos muss technisch noch geprüft werden
				- Firewalldaten kommen heute schon an (Hardwareanbindung ok)
				- SophosCentral: unklar, ob daten schon ankommen -> Termin erforderlich
					- Im Termin wird geklärt, wo die Daten her kommen
					- Ggf. Remote-Syslog an einen Port bei uns
					- oder API
					- -> Termin mit Jo Meth (Vorschläge, -> Christopher schickt Find-Time
			- Im Onboarding wurde noch nie ein Punkt aus der Firewall besprochen -> Ulrich prüft das
			- Termin GoLive -> ~ 2 Wochen, konkret bewusst nicht festgelegt.
			- Test
			- Nächste Domänen
				- KNITTLINGEN
					- Kleines Werk ~ 30 Systeme
					- Bewertung ober alles
					    White-Listen
				- KRAH & HKR erst auf die Leitstelle
					- HKR-Altsysteme -> Ausnahmen s.o.
					- ~ 2 - 3 Wochen
	-
	- **[[2021-11-23]]**: Quartalsgespräch, mit Miriam und Teresa
		- Miriam -> du angeboten
		- Liste mit kritischen Systemen
		- Liste mit Status, ob beide Dienste Daten liefern
		- CSOC benötigt Liste über IP-Segmente
		- CSOC benötigt Liste über Businness-Applikation -> E-Mail Job einrichten
		- Go-Live abhängig von Anzahl Agents -> Ziel Ende Dez.
		- Sophos Central API -> noch mal prüfen, RS Ulrich
		- Prüfen, ob HKR-Systeme schon daten melden
	- **[[2021-10-27]]**: Krisengespräch, mit [[@Jörg Lammerich]] und [[@Miriam Schaak]]
		- SysMon hat sich quer gestellt - 30 T Wazu Agends sind aktiv
		- DashBoard wird schon vor dem GoLive zur Verfügung gestellt, so dass wir den Agend-Status sehen können
		- CSOC prüft, ob eine Alarmierung aktiviert werden kann, wenn ein Server keine Daten mehr sendet
		- KRAH setzt virtuelle Maschine zum test der autom. Deployments auf
		- KRAH clont defekte Maschine, auf der der Agend aktuell installiert ist
	- **[[2021-09-17]]**:
		- 80 h nach Stromausfall ohne Daten -> wie kann das nicht bemerkt werden?
	- **[[2021-09-10]]**: Abschlussgespräch
		- Was passiert bei welchen  Ticket-Prioritäten
			- Ticket wird immer während Öffnungszeit (Bearbeitung noch am gleichen Tag)
			- Wenn Prio hoch -> Hörer wird in die Hand genommen
				- Liste muss noch definiert  werden
			- Incident -> Notrufkette
			- ISB
			- Nicht Personengebunden -> 3 Leute ergänzen
				- Christopher schickt Daten von Eray & Michael
			- Häufig kommen  "konservative" Themen - lieber ein Ticket zu viel -> Techniker muss drauf gucken
		- VScanner
			- Andere Technologie, aktiv auf System -> Log-Übertragung
			- aktiver Schwachstellenscanner von außen (Portscans) -> Findet auch Systeme ohne Agend
			- Installationsstatus noch unbekannt
			- Erzeugt andere Events als der Agend
			- Liste über Subnetze erforderlich
				- Definieren wann welche Bereiche gescannt werden dürfen (z.B. außerhalb der Produktionszeit) -
				- Arbeitsplätze während mittags
				- i.d.R. Scan 1 x wöchentlich -> nach Wunschzeit
				- Liste im SharePoint ausfüllen -> HKR beachten
			- Frau Schark lädt zu einem Quartalsgesprächen neu einladen
			- Kommunikationswege
			- Vscanner vs. "normale" Überwachungsereignisse
				- Was macht der V-Scanner jetzt mehr
			- Verfahren im Umgang mit Tickets
	- **[[2021-09-03]]**:
		- Zugangsdaten
		  für Linux-Gerät -> wg. DocuSnap
			- Hotline, Notfallkontakte
				- Monatliche Pauschale Kostenpflichtig - 24/7
					- Hat Ansprechpartner,  Dokumentation etc.
					- Dokumentiert den FallKappa Vor Ort am nächsten  Tag
				- Training:
				- Erstaufschlag sauber Dokumenten
				- Meldekette
				- Incident Response Plan - Training jährlich durch Planspiel
					- Zeit und Art wird gemessen  (wie Apoll 13)
					- Jemand für ein Statement nach außen bereithalten -> Stakeholder informieren
			- fred.schmidt@tuv-austria.com DHPG Wirtschaftsprüfer ->
			    tuv-austria.com Joint-Venture -> CSOC
			- ~2 Punkte noch offen
			- Nächste Woche   Abschlussgespräch am Freitag (KW36)
				- Verfahren und Umgang mit  Tickets
			- Aufschaltung dann in KW37
				- Vorstellung im "Ground-Team" und Aufschaltung
			- Erweiterung Domänen, RES,   WITEC:
				- Neue Systeme autom. ins  Onboarding noch nicht umgesetzt)
				- Alternativ: eine Woche aus Leitstelle -> dann neue Landschaft hinzuschalten
				- Dashboard: ab nächster Woche (nichts für "Thread-Hunting")
			- Wöchentliche Routine-Analysen -> Ticket wird erstellt (Feinjustierung der Einstellungen)
	- **[[2021-08-20]]**:
		- Onboarding läuft
		- Frau Shark -> übernimmt dann die Quartalsgespräche
		- prozentualer Fortschritt:
			- Datenanalyse bei 75% -> 2 bis 3 Termin
		- Bethke am 13.Sep in Elternzeit -> Bis dahin Datenanalyse abschließen
		- Dashboards kommen spätestens Ende des Jahres
	- **[[2021-07-16]]**:
		- Neue MST-Datei wird ausgetauscht
			- Kann der WAZU auf 32Bit
			    Produktionsrechner verteilt werden? -> Erfahrung?
			- Wann sind wir im Status, dass
			    wir Berichte bekommen und selbst das DashBoard einsehen können?
			- Vscanner nicht per SSH
			    erreichbar
			- Probleme mit dem SysMon bei
			    HKR
	- **[[2021-07-02]]**:
		- 125 aktiv, 47 disconnected
		- Vorbereitung vscanner
		- Subnetzt und IP Adressen benötigt
		- Port im Servernetz ->Server direkt erreichbar machen
		- Zugriff auf alle Clients per Firewall einstellen
		- IP 172.21.10.7/16
		- Firewall: Regel, dass Sensor-IP über Port 22 auf 172.21.10.7 zugreifen kann
		- Eine Höheneinheit
		- Hardware-Port wird markiert
	- **[[2021-06-25]]**:
		- 115 Systeme sind aktiv
		- Fehler noch nicht gefunden (Funktion des Agend zum Files anschauen verursacht vermutlich den Fehler)
		- 55 Systeme sind noch offline -> ChrKl prüft, ob diese die neue Konfiguration
		  haben -> ChrKl
		- Info an Jo, so dass alle Domänen den CSOC Server erreichen -> ChrKl
	- **[[2021-06-18]]**: Dienste
	  beenden sich weiter
	- **[[2021-06-11]]**:
		- 165 Clients
		  
		  161 Disconnected
			- Dienst künftig mit
			    Einstellung autom. Neustart Deployen -> ChrKl
			- Ãœberwachung der Agends auf
			    Servern nach 30 Min E-Mail -> CSOC
			- Log  C:\Program Files (x86)\ossec-agent\ossec.log von mehreren Systemen senden
	- **[[2021-05-07]]**:
		- Noch keine User im Ticketsystem -> SteFi, ChrKl -> 
		  
		  WAZU
		  Client ausrollen -> auf Testumgebung
	- **[[2021-04-30]]**:
		- Ticketsystem
		-
		- Ticket muss auf
		  offen gestellt werden -> sonst Anruf
		- Ticket wird nicht
		  quittiert -> sonst Anruf
		-
		- Wunsch: Normaler
		  Prozess, Ausnahme darf erstellt werden
		-
		- Beispiel: Token.bat
		  wird gestartet -> Alarm, jede WOche, -> Ausnahmeregel wird aufgenommen,
		  Datei mit den Ausnahmen kann von uns eingesehen werden.
		-
		- Technik:
		- erstes System
		  installiert: Daten kommen an, aktuell disconnected
		-
		- Klein & Fiebrich in Freitagsserie aufgenommen
	- **[[2021-04-23]]**:
		- System läuft
		  
		  Weiterentwicklung:
		  stufe 3
		  
		  Logdatenanalyse
		  
		  Wazu Agend muss
		  verteilt werden
		  
		  Server muss
		  vorbereitet werden
		  
		  Schnittstelle zum
		  KRAH-Netz wird benötigt (Sensor <-> interne Netz) müsste vorhanden sein
		  
		  Ggf. firewall ports
		  öffnen (Agend -> Sensor Kommunikation)
		  
		   
		  
		  Erster Test manuelle
		  Installation (PowerShell Befehl)
		  
		  Sysmon muss
		  zusätzlich auf den Systemen installiert sein (ausrollen)
		  
		  Verteilung per GPO
		  möglich oder Desktop Central
		  
		  Ausrollen
		  auf Gruppen von ~ 20 Geräten (pro Bereich)
			- Csoc gibt uns Termin für
			    Server Update
			- Test ausrollen, SysMon &
			    Wazu
			- Port Mirroring
			  bleibt wie bisher erhalten
			  
			  Syslog daten müssen
			  mit dem neuen System verarbeitet werden, ggf. muss parsing angepasst werden
			- Dokumentation:
			  
			  Details
			  zu den IP-Adressen benötigt -> Was verbirgt sich hinter einer IP?
			  
			  Docusnap Export vorbereiten
- ## Kleinstprojekte / Themen (Text-> Datum)
	- ### offen
	- ### abgeschlossen
- ## offene Projekte
	- {{query (and (page-property type [[Kleinprojekt]])(page-property jourfixe [[%J CSOC]]))}}