Threat Intelligence und operative Informationssicherheit Methodische Individualisierung der Bedrohungsanalyse

Anbieter zum Thema

Orange Cyberdefense

Fsas Technologies GmbH

Threat-Intelligence-Feeds, Indicators of Compromise und automatisierte Detektion entfalten ihren Nutzen nur im Kontext eigener Risiken. Warum standardisierte Intelligence ohne Einbettung zur operativen Belastung wird.

Nicht zuletzt durch das breite Angebot globaler Plattformbetreiber neigen viele Organisationen dazu, Technologie und darin enthaltene Elemente ohne angemessene Prüfung hinsichtlich Relevanz für die eigene Organisation lediglich stumpf anzuwenden.

Detektion und Reaktion – für viele Organisationen der Einstieg in die operative Informations­sicher­heit. Die in Standards und gegebenenfalls relevanten Compliance-Vorgaben geforderte Orientierung an individuellen Risiken wird meist nur auf die Assets der eigenen Organisation angewendet.

Die operative Informations­sicher­heit wird vielfach an Managed Security Service Provider (MSSP) ausgelagert, darüber hinaus existiert eine sehr unübersichtliche, höchst heterogene Landschaft an Tools und Technologieanbietern. MSSP, Tools und Technologieanbieter stellen ihren Kunden (Konsumenten) in der Regel ein standardisiertes Basisset an Intellectual Property bereit, angefangen bei Threat-Intelligence-Feeds (TI) bis hin zu Detektionsszenarien, alles in höchst unterschiedlicher Güte.

(Un)reflektierte Übernahme von IoCs

Gerade an diesem Punkt zeigt sich ein zentrales Dilemma: Was als wertvolle Unterstützung gedacht ist, verkommt im Alltag vieler Organisationen zu einer reinen Sammlung standardisierter Informationen. Ein besonders anschauliches Beispiel dafür sind Indicators of Compromise (IOCs). Sie bilden oft das Fundament der Detektion, werden aber ebenso häufig unreflektiert übernommen.

Ohne Kontext zur eigenen Bedrohungslage, zur Branche oder zu aktuellen Angriffskampagnen laufen IOCs Gefahr, schnell zu veralten oder Fehlalarme zu produzieren. Damit werden sie von einem potenten Werkzeug zur Belastung für Analysten und Security Operations. Was der Konsument von IOCs zunächst unbedingt verstehen muss, ist, wo sie herkommen und wie sie erzeugt werden. Analog zu echten Fingerabdrücken von echten, menschlichen Tätern, muss in der digitalen Welt zunächst jemand einen Täter erwischt haben (einen Einbruch detektiert). Hat man den Täter beziehungsweise typischerweise die Tätergruppe, werden die Fingerabdrücke genommen.

Phantom Taurus

Neue Erkenntnisse zu durch China unterstützter Bedrohungsgruppe

Die verwendete Schadsoftware wird forensisch analysiert und per HASH eineindeutig einem Täter zugeordnet (attributiert), seine Rückmelde-Infrastruktur, die sogenannte Command & Control Infrastruktur (C2) wird der Akte des Täters hinzugefügt (Domains und IP-Adressen). Zudem wird Kontext erzeugt, das heißt welche Branchen in welcher Region angegriffen werden, wann wurde der Fingerabdruck das erste Mal und das letzte Mal beobachtet (first seen - last seen).

Kontext ist wichtig, da wir nur für uns relevante Intelligence konsumieren sollten (need-to-know versus nice-to-know), um unsere Systeme nicht mit unwichtigen, irrelevanten Information zu fluten und unsere Prozesse nicht unnötig zu verlangsamen. Wenn man alle verfügbaren kostenlosen und kommerziellen IOC Feeds kritiklos in seine Systeme füttert, ist das nicht zielführend.

Ein weiteres Kriterium an Intelligence ist der Faktor „zeitnah“. Nur IOCs, die so aktuell wie möglich sind, schützen unsere Infrastrukturen. Open-Source IOC-Feeds benötigen schon mal 60 Tage oder mehr, von der Erzeugung eines IOCs bis zur Veröffentlichung. Das kann bei fortschrittlichen Angreifern sowohl aus dem E-Crime-Umfeld als auch bei nationalstaatlichen Angreifern wesentlich zu lange sein. Kommerzielle IOC-Feed-Anbieter verarbeiten Schadsoftware automatisiert, teilweise mit KI-Unterstützung und sind in der Lage, IOCs in nahezu Echtzeit ihren Kunden zur Verfügung zu stellen.

Nachgelagerte Bewertung

Es finden in der Regel keine weiteren Recherchen zu Domains und IP-Adressen statt. Das heißt der Konsument bekommt nur das zu sehen, was die Automaten des Anbieters aus der Schadsoftware extrahieren können. Liegen etwa auf einer zur C2-Domain gehörenden IP-Adresse weitere Domains, wären das unter Umständen weitere IOCs, die schützen können. Konsumenten haben in der Regel keine Zeit und keine Ressourcen, jede Domain und IP-Adresse aus IOC-Feeds näher zu betrachten.

Daher empfiehlt sich die nähere Untersuchung von Infrastruktur nur, wenn Konsumenten Reports und Analysen von IT-Sicherheits-Anbietern lesen und diese als relevant eingestuft haben. Beispielsweise wenn der Konsument ein Energieversorger ist und „Dragos“-Angriffe beschreibt, die man zum russischen Nexus attribuiert hat. Dann kann Passiv-DNS genutzt werden, um zu prüfen, ob weitere relevante IOCs herausgearbeitet werden können. Es hilft auch zu schauen, ob andere Anbieter von TI zum selben Täter Berichte oder Blogs veröffentlicht haben und die IOCs aus allen Reports gegen die eigene Infrastruktur prüfen (Threat Hunting).

Ein anderer wesentlicher Aspekt ist der Marktanteil des IOC-Herstellers in Regionen und Branchen. Wenn man davon ausgeht, dass die qualitativ besten IOC-Feeds von Herstellern erzeugt werden, die diese aus der Endpoint-Telemetrie extrahieren, dann hat selbst der zurzeit größte EDR-Hersteller einen Anteil um die 20 Prozent in Deutschland und global. Sehr stark vereinfacht bedeutet das für den IOC-Konsumenten, dass hier 80 Prozent Sichtbarkeit fehlen und er anderer Hersteller zusätzlich onboarden sollte.

Threat-Hunting

Wichtig ist auch, sich immer wieder ins Gedächtnis zu rufen, warum wir IOCs überhaupt konsumieren; Wir konsumieren IOCs sozusagen als zweite Meinung zusätzlich zu SIEM, XDR, EDR oder um etwa Blocklisten auf Firewalls dynamisch zu erzeugen. Denn wir sollten uns bewusst sein, dass keine Sicherheitstechnologie der Welt während ihrer Laufzeit durchgehend hundertprozentigen Schutz leisten wird.

Cybersicherheitsvorfälle

Aktuelle Cyberangriffe auf deutsche Unternehmen 2025

Das heißt aus der Sicht eines IT-Sicherheits-„Philosophen“ resultieren daraus zwei Konsequenzen: Wir müssen daher davon ausgehen, dass wir möglicherweise schon einen Einbrecher in unserem IT-Netz haben. Daraus folgt wiederum, dass wir uns auf die Jagd nach potentiellen Einbrechern innerhalb unserer Infrastruktur begeben müssen (Threat Hunting).

Die andere Konsequenz ist, dass wir davon ausgehen, dass der Einbrecher uns unsere Daten schon gestohlen hat und wir uns auf die Suche nach unseren Daten außerhalb unserer Infrastruktur machen müssen, um Schäden – wie Reputation, Unternehmenswert, Strafen durch Aufsichtsbehörden – zu minimieren.

Um IOC-Feeds also konsumieren und zielgerichtet, bezogen auf die eigene Organisation, anwenden zu können, ist es essentiell wichtig, die darin enthaltenen Informationen zu verstehen und eine Zuordnung auf unterschiedlichste Assets gewährleisten zu können. Der „schulbuchmäßige Ansatz“ sieht also vor, die Integration von IOC-Feeds frühzeitig zu berücksichtigen und das risikoorientiert und individuell bezogen.

Security Navigator 2026 von Orange Cyberdefense

Zahl der erfolgreichen Cyberangriffe hat sich seit 2020 verdreifacht

Über die Autoren:

Jörg Schauff, NSIDE ATTACK LOGIC, hat über 20 Jahre Erfahrung mit Threat Intelligence sowohl in der Spionageabwehr als auch im privaten Sektor.

Markus Thiel, Orange Cyberdefense, unterstützt Organisationen in der operativen Informationssicherheit - insbesondere bei der Operationalisierung regulativer Compliance.

Test with the Best

Was leisten Open-Source-Tools für Security-Testing?

(ID:50680580)