LLM-gestützte Schritte können die SOAR-Triage bereichern, doch ihre Implementierung muss sicherstellen, dass Analysten weiterhin die Kontrolle über nachfolgende Maßnahmen behalten. Dieser Kurs vermittelt Detection Engineers, wie sie eine evidenzbasierte Anreicherung strukturieren, Klassifizierungen und Zusammenfassungen eingrenzen, Freigabeprozesse implementieren sowie mit halluzinierten Indikatoren und Prompt-Injection-Angriffen umgehen. Am Ende des Kurses verfügen die Teilnehmenden über ein vollständiges Playbook für die Phishing-Triage, das automatische Benachrichtigungen und Tagging unterstützt, während für Eindämmungs- oder Blockierungsmaßnahmen eine Freigabe erforderlich ist.
Der Kurs behandelt den sicheren Einsatz von LLMs bei der SOAR-Triage, die strukturierte Anreicherung mit Quellenangaben und Schemata, Klassifizierung und Zusammenfassung, Freigabeprozesse, nachvollziehbare Entscheidungen, halluzinierte Indikatoren, Prompt-Injection durch Alarm-Inhalte sowie die Erstellung von Playbooks für die Phishing-Triage.