Modul 1: Grundlagen der User Behavior Analytics (UBA)
Einführung in UBA: Die Entwicklung von signaturbasierten Erkennungsmethoden hin zu verhaltensbasierten Analysen zur Identifikation von Insider-Bedrohungen und kompromittierten Accounts, veranschaulicht durch interaktive Online-Dashboards.

Datenquellen für UBA: Erfassung und Normalisierung von Log-Daten aus Active Directory, VPNs und Cloud-Diensten unter ausschließlicher Verwendung kostenfreier Open-Source-Kollektoren.

Feature Engineering für Nutzerverhalten: Transformation von rohen Log-Daten in maschinenlesbare Vektoren zur Modellierung von Nutzerprofilen direkt im Browser mittels Python-Notebooks.

Machine Learning Basics für UBA: Supervised vs. Unsupervised Learning im Kontext der Verhaltensanalyse, demonstriert durch browserbasierte KI-Modellierung.

Online Hands-on Lab: Aufbau einer kostenfreien Open-Source-Datenpipeline. Nutzung von Google Colab und frei verfügbaren Log-Datensätzen zur Datenaufbereitung und Visualisierung von Nutzeraktivitäten mit Open-Source-Bibliotheken wie Matplotlib und Seaborn.

Modul 2: Modellierung von Nutzerverhalten und Baselines
Statistische vs. ML-basierte Baseline-Erstellung: Entwicklung dynamischer Baselines zur Erkennung von Abweichungen im Nutzerverhalten und die Herausforderung von False Positives, analysiert anhand von Open-Source-Daten.

Zeitreihenanalyse in UBA: Erkennung von Anomalien in Login-Zeiten und Zugriffsmustern durch Python-basierte Datenanalyse im Browser.

Unsupervised Learning-Algorithmen: Funktionsweise von Isolation Forests und Autoencodern zur Identifikation unbekannter Verhaltensmuster, trainiert in kostenfreien Cloud-Umgebungen.

Risikoscoring-Modelle: Entwicklung von dynamischen Schwellenwerten zur Quantifizierung des Risikos einzelner Nutzer, programmiert in kostenfreien Jupyter-Umgebungen.

Online Hands-on Lab: Implementierung eines Isolation-Forest-Modells in Python (Scikit-learn) via Google Colab. Training des Modells mit kostenfreien Active Directory-Logs zur Erkennung von anomalen Login-Zeiten.

Modul 3: Erkennung von Insider-Bedrohungen
Psychologie und Motivation von Insidern: Verständnis der verschiedenen Arten von Insider-Bedrohungen (böswillig, fahrlässig, kompromittiert) und deren Verhaltensmuster.

Erkennung von Datenexfiltration: Identifikation von ungewöhnlichen Datentransfers und Zugriffen auf sensible Informationen durch Verhaltensmodellierung in kostenfreien Online-Umgebungen.

Privilege Escalation und Lateral Movement: Erkennung von unberechtigten Rechteausweitungen und internen Bewegungen durch KI-gestützte Graphenanalyse in browserbasierten Jupyter-Notebooks.

Sentiment-Analyse in der internen Kommunikation: Überwachung von Kommunikationskanälen zur proaktiven Erkennung von Unzufriedenheit oder böswilligen Absichten unter Nutzung quelloffener Sprachmodelle.

Online Hands-on Lab: Analyse von simulierten Insider-Bedrohungen mit dem kostenfreien OpenUBA-Framework. Konfiguration von ML-Jobs in einer Open-Source-Elastic-Umgebung zur Aufdeckung anomaler Datenexfiltration.

Modul 4: Erkennung von Account Compromise
Indikatoren für kompromittierte Accounts: Identifikation von "Impossible Travel"-Szenarien, ungewöhnlichen Geräten und IP-Adressen anhand anonymisierter Open-Source-Logfiles.

Credential Stuffing und Brute-Force-Angriffe: Erkennung von automatisierten Login-Versuchen durch Analyse von Authentifizierungs-Logs in sicheren, browserbasierten Umgebungen.

Verhaltensbasierte Authentifizierung: Nutzung von biometrischen Verhaltensmerkmalen (z.B. Tippverhalten, Mausbewegungen) zur kontinuierlichen Authentifizierung, demonstriert an quelloffenen Frameworks.

Integration von Threat Intelligence: Anreicherung von UBA-Daten mit externen Bedrohungsinformationen zur besseren Kontextualisierung von Alarmen.

Online Hands-on Lab: Entwicklung eines Python-Skripts zur Erkennung von "Impossible Travel"-Szenarien. Nutzung von Google Colab und frei verfügbaren GeoIP-Datenbanken zur Analyse von Login-Standorten.

Modul 5: Entity Behavior Analytics (EBA)
Erweiterung von UBA auf Entitäten: Analyse des Verhaltens von Geräten, Servern und Applikationen zur Erkennung von Anomalien, die nicht direkt mit Nutzern verknüpft sind.

Modellierung von Netzwerkverkehr: Erstellung von Baselines für die Kommunikation zwischen internen Systemen zur Identifikation von Command-and-Control (C2) Traffic.

Erkennung von IoT-Anomalien: Verhaltensanalyse von Internet-of-Things-Geräten zur Erkennung von Botnet-Aktivitäten und unautorisierten Zugriffen.

Graphen-basierte Ansätze für EBA: Visualisierung und Analyse von Beziehungen zwischen Entitäten zur Aufdeckung komplexer Angriffsmuster.

Online Hands-on Lab: Nutzung einer cloudbasierten, kostenfreien Umgebung zur Analyse von Netzwerk-Flow-Daten. Training eines ML-Modells im Browser zur Klassifizierung von normalem und anomalem Server-Verhalten.

Modul 6: Natural Language Processing (NLP) in UBA
Analyse unstrukturierter Daten: Herausforderungen bei der Auswertung von E-Mails, Chat-Protokollen und Support-Tickets zur Erkennung von Insider-Bedrohungen.

Named Entity Recognition (NER) für UBA: Training von NLP-Modellen zur Extraktion relevanter Entitäten (z.B. Projektnamen, sensible Begriffe) unter Nutzung quelloffener Sprachmodelle.

Automatisierte Kategorisierung von Nutzeranfragen: Einsatz von Textklassifikation zur Identifikation von ungewöhnlichen Support-Anfragen oder Rechteanforderungen.

Integration von NLP in Risikoscoring: Anreicherung von Verhaltensprofilen mit Erkenntnissen aus der Textanalyse zur Verbesserung der Erkennungsgenauigkeit.

Online Hands-on Lab: Entwicklung eines NLP-Skripts mit kostenfreien Hugging Face Transformers im Browser. Automatisierte Auswertung von simulierten Chat-Protokollen zur Erkennung von verdächtigen Kommunikationsmustern.

Modul 7: Adversarial Machine Learning in UBA
Schwachstellen von UBA-Modellen: Verständnis der Angriffsvektoren auf ML-Systeme zur Verhaltensanalyse (Evasion, Poisoning), simuliert in sicheren Online-Umgebungen.

Evasion Attacks auf Verhaltensprofile: Techniken zur Umgehung von UBA-Systemen durch schrittweise Anpassung des Verhaltens (Mimicry Attacks), demonstriert an Open-Source-Modellen.

Data Poisoning in UBA: Manipulation von Trainingsdaten zur Erzeugung von Backdoors in Verhaltensmodellen, analysiert in isolierten, browserbasierten Containern.

Härtung von UBA-Modellen: Strategien zur Erhöhung der Robustheit durch Adversarial Training und kontinuierliche Validierung mit quelloffenen Frameworks.

Online Hands-on Lab: Durchführung eines Evasion-Angriffs auf ein UBA-Modell unter Verwendung der kostenfreien, quelloffenen Adversarial Robustness Toolbox (ART) direkt im Browser. Anschließende Härtung des Modells.

Modul 8: SOC-Integration und Incident Response
Orchestrierung von UBA-Modellen: Integration von trainierten ML-Modellen in Open-Source Security Operations Center (SOC) Architekturen zur zentralen Überwachung.

KI-gestützte Alert Triage für UBA: Automatisierte Priorisierung von Verhaltensanomalien zur Entlastung von Analysten, umgesetzt mit kostenfreien SOAR-Tools.

Automatisierte Incident Response: Entwicklung von Playbooks, die basierend auf UBA-Risikoscores autonome Entscheidungen treffen (z.B. Account-Sperrung), konfiguriert in Open-Source-Plattformen.

Datenschutz und Ethik in UBA: Berücksichtigung von Datenschutzrichtlinien (z.B. DSGVO) und ethischen Aspekten bei der Überwachung von Nutzerverhalten.

Online Hands-on Lab: Integration der entwickelten UBA-Modelle in die kostenfreie Open-Source-Plattform TheHive und Shuffle SOAR. Erstellung eines automatisierten Playbooks im Browser zur Reaktion auf kritische Insider-Bedrohungen.