CCNP CyberOps Professional Concentration — Threat Hunting (CBTHD 300-220)

Cyberangriffe werden komplexer, schneller und gezielter – und die Fähigkeit, auf sie zu reagieren, ist zu einer kritischen Unternehmenskompetenz geworden. Dieser Kurs – Conducting Forensic Analysis and Incident Response Using Cisco Technologies for CyberOps (CBRFIR) v1.0 – ist ein fünftägiger Konzentrationskurs des Cisco Certified Network Professional (CCNP) CyberOps Professional Zertifizierungspfades. Er vermittelt umfassendes Wissen und praktische Fähigkeiten in den Bereichen Digital Forensics and Incident Response (DFIR). Die Teilnehmenden lernen, Cybersicherheitsbedrohungen zu identifizieren, digitale Beweise zu sichern und auszuwerten sowie auf Angriffe professionell zu reagieren. Gleichzeitig werden proaktive Auditverfahren eingeführt, um künftige Angriffe zu verhindern. Der Kurs bereitet gezielt auf die Prüfung 300-215 CBRFIR vor.

Der erste inhaltliche Block behandelt die Grundlagen des Incident Response und der Digital Forensics als systematischer Disziplin. Diese Konzepte bilden das Fundament für alle weiteren praktischen Tätigkeiten.

• Incident-Response-Frameworks: NIST SP 800-61, SANS und ISO 27035
• Phasen der Incident Response: Vorbereitung, Erkennung, Eindämmung, Beseitigung und Nachbereitung
• Grundprinzipien der digitalen Forensik: Spurensicherung, Chain of Custody und Beweisintegrität
• Forensische Untersuchungsplanung und Dokumentation
• Rechtliche Rahmenbedingungen: DSGVO, BDSG und Anforderungen an digitale Beweissicherung
• SOC-Strukturen und Aufgabenverteilung im Sicherheitsteam

Der zweite Block behandelt forensische Analyse auf System- und Endgerätebene. Dieser Bereich ist Kernkompetenz eines jeden DFIR-Analysten.

• Windows-Forensik: Registry, Event Logs, Prefetch, Shellbags und NTFS-Artefakte
• Linux-Forensik: Syslog, Bash-History, /proc-Einträge und Cron-Jobs
• Memory-Forensik: RAM-Analyse mit Volatility und Erkennung von Injektionen
• Disk-Forensik: Image-Erstellung, Wiederherstellung gelöschter Dateien und Timeline-Analyse
• Mobile-Device-Forensik: Android- und iOS-Grundlagen für Incident-Response-Zwecke
• Forensische Werkzeuge: FTK, Autopsy, Sleuth Kit und Cisco Threat Response

Der dritte Block fokussiert Netzwerk-Forensik und Malware-Analyse, zwei hochspezialisierte Felder mit wachsender Bedeutung in modernen SOC-Umgebungen.

• PCAP-Analyse mit Wireshark: Angriffsmuster erkennen und Kommunikationspfade rekonstruieren
• NetFlow-Analyse für Anomalie-Erkennung im Unternehmensnetzwerk
• Malware-Analyse: statische Methoden (Hashes, Strings, Import-Tabellen) und dynamische Sandbox-Analyse
• Intrusion Detection und Signaturanalyse mit Snort und Cisco Secure IDS
• Threat Intelligence Integration: IOC-Abgleich mit internen und externen Feeds
• Cloud-Forensik: Beweissicherung in AWS, Azure und Cisco-Cloud-Umgebungen

Der vierte Block widmet sich Threat Hunting, proaktiven Audits und der Vorbereitung auf die Zertifizierungsprüfung.

• Threat-Hunting-Methodik: Hypothesen entwickeln, Daten abfragen und Ergebnisse interpretieren
• MITRE ATT&CK Framework: Taktiken, Techniken und Verfahren (TTPs) von Angreifern
• Proaktive Sicherheitsaudits: Vorgehen, Tools und Dokumentation
• Cisco-spezifische Tools für Threat Hunting und Forensik im Überblick
• Prüfungsrelevante Themen der 300-215 CBRFIR im Detail
• Fallstudien zu realen Vorfällen und Best Practices aus der Praxis

Praxisorientierter Teil mit realen Sicherheitsszenarien

• Untersuchung eines simulierten Ransomware-Angriffs auf ein Windows-System
• Memory-Analyse eines kompromittierten Servers mit Volatility
• PCAP-Analyse eines Datenexfiltrations-Angriffs mit Wireshark
• Sicherung und Analyse eines Linux-System-Images mit Autopsy
• Threat-Hunting-Session im Netzwerk mit Hypothese und Auswertung
• Malware-Analyse einer Phishing-Payload in einer Sandbox-Umgebung
• Erstellung eines vollständigen Incident-Response-Berichts zu einem Übungsvorfall
• IOC-Abgleich mit MITRE ATT&CK und Threat-Intelligence-Plattform
• Forensische Analyse eines USB-Sticks mit Registry-Spuren
• Simulation eines proaktiven Sicherheitsaudits mit Empfehlungsformulierung
• Durcharbeiten prüfungsrelevanter Szenarien und Multiple-Choice-Aufgaben zur 300-215
• Gruppenübung: Incident Simulation mit Rollenverteilung (Analyst, Lead, Management)

Am Ende des Praxisteils steht eine vollständige Incident-Response-Simulation, bei der die Teilnehmenden einen simulierten Vorfall von der Erkennung bis zur Nachbereitung und Berichterstattung durchlaufen. Diese praxisnahe Übung bereitet optimal auf reale Einsatzszenarien vor. Abschließend werden alle Prüfungsthemen der 300-215 CBRFIR systematisch rekapituliert. Offene Fragen werden im Plenum besprochen, und die Teilnehmenden erhalten gezielte Empfehlungen zur weiteren Vorbereitung auf das Examen.

Dieser Kurs richtet sich ausschließlich an erfahrene Sicherheitsprofis mit fundiertem Grundlagenwissen in der Cybersicherheit, die sich auf forensische Analyse und Incident Response spezialisieren möchten.

• SOC-Analysten (Tier 2/3) mit Erfahrung in der Vorfallsbearbeitung
• Incident-Response-Ingenieure und Security-Engineers
• Netzwerk-Ingenieure mit Fokus auf Sicherheit
• IT-Sicherheitsbeauftragte und CISO-nahe Positionen
• Kandidaten für die CCNP CyberOps Professional Zertifizierung

Der Kurs umfasst eine intensive Kombination aus Vorträgen, Videos und praktischen Laborübungen. Die fünftägige Struktur ist darauf ausgelegt, täglich thematische Blöcke zu schließen und das Gelernte unmittelbar in Hands-on-Übungen anzuwenden. Fallstudien aus echten Sicherheitsvorfällen illustrieren die Inhalte und verankern das Wissen praxisnah. Dozentinnen und Dozenten mit Praxiserfahrung im DFIR-Bereich begleiten die Teilnehmenden durch die Übungen und stehen für Fragen zur Verfügung. Der Kurs wird überwiegend als Combined Learning oder Online-Seminar angeboten.

Der Kurs ist auf fünf Tage Vollzeit ausgelegt, typischerweise im Format mehr als eine Woche. Eine flexible Teilzeitvariante ist auf Anfrage möglich. Die Prüfungsabnahme der 300-215 CBRFIR ist gesondert zu buchen und kann direkt im Anschluss an den Kurs erfolgen.

Bei Bestehen der Prüfung 300-215 CBRFIR in Kombination mit der Core-Prüfung 350-201 CBRCOR erhalten die Teilnehmenden die Zertifizierung CCNP CyberOps Professional von Cisco. Zusätzlich erhalten die Teilnehmenden ein international anerkanntes Herstellerzertifikat sowie ein Lehrgangszertifikat des Anbieters New Horizons als Nachweis der Kursteilnahme.

Threat Hunter, DFIR-Analysten und SOC-Leads gehören zu den am höchsten bezahlten und gefragtesten Cybersicherheitsfachkräften auf dem deutschen und internationalen Arbeitsmarkt. Die Kombination aus tiefer Forensik-Expertise und proaktivem Threat-Hunting-Know-how befähigt Absolventinnen und Absolventen, nicht nur auf Angriffe zu reagieren, sondern Bedrohungen vor ihrer Eskalation zu erkennen und zu neutralisieren. Das ist ein Paradigmenwechsel von reaktiver zu proaktiver Sicherheitsarbeit. Die CCNP CyberOps Professional Zertifizierung ist eine der angesehensten Qualifikationen im Bereich der operativen Cybersicherheit. Sie signalisiert Arbeitgeberinnen und Arbeitgebern, dass die Inhaberin oder der Inhaber komplexe Sicherheitsoperationen beherrscht – von der forensischen Analyse bis zur Prüfungsdokumentation. In einer Zeit, in der Cyberangriffe auf kritische Infrastrukturen, Produktionsanlagen und öffentliche Einrichtungen zunehmen, ist diese Qualifikation ein signifikantes Karriere-Asset. Bei AZAV-zertifizierten Trägern ist dieser Kurs in der Regel über einen Bildungsgutschein der Bundesagentur für Arbeit oder des Jobcenters förderbar. Darüber hinaus kommen je nach persönlicher Situation das Qualifizierungschancengesetz, die Berufsförderung der Bundeswehr (BFD), Leistungen zur Teilhabe am Arbeitsleben sowie Förderungen der Deutschen Rentenversicherung in Betracht.