Definition TIP Was ist eine Threat Intelligence Platform?

Eine Threat Intelligence Platform ist eine Plattform oder eine Lösung, die Informationen über Bedrohungen aggregiert, analysiert und in struktu­rierter Form bereitstellt. Mithilfe einer TIP ist es möglich, sich über Bedrohungen zu informieren, sie näher zu analysieren und sie wirksam zu bekämpfen.

Das Akronym für Threat Intelligence Platform ist TIP. Die deutsche Übersetzung lautet Bedrohungsinformationsplattform. Bei einer Threat Intelligence Platform handelt es sich um eine Plattform, Softwarelösung oder ein System, das Bedrohungsdaten aus verschiedenen Quellen sammelt, aggregiert, analysiert, strukturiert aufbereitet und sie für die Bedrohungsabwehr bereitstellt. Die von einer solchen Plattform zur Verfügung gestellten Informationen liefern wertvolle Details, um angemessen, intelligent und proaktiv auf die verschiedenen Arten von Bedrohungen zu reagieren und sie zu bekämpfen beziehungsweise die eigenen Systeme wirksam vor ihnen zu schützen. Threat-Intelligence-Plattformen informieren über die von Bedrohungsakteuren angewandten Techniken, Verfahren und Taktiken und bieten Einblicke in die Motivationen der Angreifer. Die Informationen und Erkenntnisse können in aufbereiteter, leicht verständlicher Form den für die Sicherheit zuständigen Akteuren präsentiert werden oder lassen sich zu einer automatisierten Bedrohungsabwehr in maschinenlesbarer Form über Schnittstellen in andere Sicherheitssysteme integrieren. Der Anwendungsbereich einer Threat Intelligence Platform im Sicherheitsbereich ist weit gefasst und beinhaltet die Sicherheitsüberwachung, Sicherheitsplanung, Bedrohungserkennung, Bedrohungsanalyse, Incident Response und einiges mehr.

Neues eBook „Threat Intelligence“

Bedrohungsintelligenz ist ein Herzstück der Cybersicherheit

Motivation für die Entstehung von Threat-Intelligence-Plattformen

Die Bedrohungslandschaft entwickelt sich rasant. Unternehmen und andere Organisationen sind einer Vielzahl verschiedener Cybergefahren ausgesetzt. Ständig werden neue Verfahren und Techniken entwickelt und angewandt, um existierende Sicherheitsvorkehrungen zu überwinden, in fremde Systeme einzudringen, sie zu manipulieren oder zu übernehmen, Daten auszuspionieren oder zu stehlen und Abläufe zu stören oder andere Schäden anzurichten. Die Spanne möglicher Sicherheitsbedrohungen ist riesig und umfasst Malware- oder Ransomware-Infektionen, Betriebsspionage, Datenschutzverletzungen und vieles mehr. Für Unternehmen und ihre Sicherheitsteams ist es essenziell, sich bezüglich der möglichen Bedrohungen und geeigneter Abwehrmaßnahmen mit anderen auszutauschen und auf dem aktuellen Stand zu halten. Teilweise war es üblich und gängige Praxis, dass Sicherheitsteams dafür verschiedene Tools und Prozesse nutzten. Bedrohungsinformationen wurden teils händisch aufbereitet, selbst in Tabellen oder Datenbanken in unterschiedlichen Formaten gepflegt und über Anwendungen wie E-Mails oder Onlineportale und Dokumente mit anderen geteilt. Aufgrund der Vielfalt möglicher Bedrohungen und der sich ständig verändernden Bedrohungslandschaft (täglich werden neue Bedrohungsindikatoren gemeldet) ist dieser Ansatz nicht mehr zielführend. Die riesigen Mengen an Bedrohungsinformationen lassen sich über manuelle Prozesse nicht mehr bewältigen und eine rechtzeitige Reaktion auf neue Bedrohungen ist dadurch kaum möglich. Aus diesem Grund ist das Konzept der Threat-Intelligence-Plattform entstanden. Sie automatisiert die Erfassung von Bedrohungsinformationen aus vielen verschiedenen internen oder externen Quellen und ermöglicht deren automatisierte Analyse und Verbreitung.

Mehr Wissen über Cyber-Bedrohungen

Das sind die verschiedenen Arten der Threat-Intelligence

Die grundlegenden Funktionen und Merkmale einer Threat Intelligence Platform

Eine Threat Intelligence Platform kann unterschiedlich realisiert und implementiert sein. Sie kann als Software auf On-Premises-Systemen oder auf cloudbasierten Systemen installiert oder als Service in einer privaten oder öffentlichen Cloud-Umgebung realisiert sein. Es existieren zahlreiche verschiedene Lösungen und Produkte für Threat-Intelligence-Plattformen. Die grundlegenden Funktionen und Merkmale einer Threat Intelligence Platform sind ähnlich und haben einen informationsbasierten Sicherheits- und Bedrohungsabwehransatz zum Ziel. Grundlegende Funktionen einer TIP sind:

• Sammeln und Aggregieren von Bedrohungsinformationen: Daten werden aus unterschiedlichen internen und externen Quellen in verschiedenen Formaten erfasst und aggregiert. Es werden beispielsweise öffentlich verfügbare Informationen über Indicators of Compromise (IOCs), aber auch Daten aus kommerziellen oder internen Quellen gesammelt.

• Aufbereiten und Anreichern der Bedrohungsinformationen: Die erfassten Daten werden normalisiert, in geeignete Formate gebracht und gegebenenfalls mit weiteren Kontextinformationen und Metadaten angereichert.

• Bedrohungsanalyse: Die Daten werden nach verschiedenen Kriterien analysiert, um Sicherheitsteams gezielt über potenzielle Bedrohungen zu informieren. Aus den gesammelten Informationen werden relevante, aktuelle und nutzbare Bedrohungsinformationen beispielsweise über Taktiken, Techniken und Verfahren (Tactics, Techniques and Procedures - TTPs) der Angreifer extrahiert und bereitgestellt.

• Darstellung der Analyseergebnisse: Die aus den Analysen gewonnenen Erkenntnisse werden aufbereitet und in eine für Menschen oder für Maschinen lesbare und verständliche Form gebracht.

• Integration der Bedrohungsinformationen in andere Sicherheitssysteme: Die maschinenlesbaren Informationen der TIP-Analysen lassen sich nutzen, um sie für eine automatisierte Bedrohungsabwehr in andere Sicherheitssysteme wie Firewalls, Intrusion Detection und Intrusion Prevention Systeme (IDS und IPS) und andere zu integrieren.

Security mit Open Source – Teil 1

Die besten OSINT-Tools

Die Malware Information Sharing Platform (MISP) - ein Beispiel für eine offene Threat Intelligence Platform

Ein bekanntes Beispiel für eine Threat Intelligence Platform ist die Malware Information Sharing Platform, abgekürzt MISP. Bei der Malware Information Sharing Platform handelte es sich um eine Open-Source-basierte Lösung für eine Threat Intelligence Platform. MISP-Software zur Implementierung einer Threat Intelligence Platform steht über das Internet und GitHub frei zur Verfügung. Die Software verwendet Programmiersprachen und Open-Source-Technologien wie Python, PHP und MySQL oder MariaDB und lässt sich beispielsweise auf Rechnern mit Linux-Betriebssystem installieren. Eine Malware Information Sharing Platform kann sowohl von kleineren Unternehmen als auch großen Organisationen eingesetzt und betrieben werden. Die Plattform ist im Verbund oder als isolierte Lösung nutzbar. Es gibt zahlreiche Organisationen, die frei zugängliche oder geschlossene MISP-Instanzen betreiben. Ziel der Malware Information Sharing Platform ist es, eine frühzeitige informationsgestützte Bedrohungserkennung und das rechtzeitige Ergreifen wirksamer Gegenmaßnahmen zu ermöglichen. Mithilfe einer MISP lassen sich Bedrohungsinformationen in Form von Indicators of Compromise (IoC) sammeln, strukturieren, aufbereiten, analysieren, bereitstellen und mit anderen teilen. Die Plattform bietet darüber hinaus zahlreiche Import- und Exportfunktionen in unterschiedlichen Formaten für verschiedene Datenquellen und Sicherheitslösungen.

Umfrage von Kaspersky

Threat Intelligence zwischen Effektivität und Kosten

Vorteile durch die Implementierung und Nutzung einer Threat Intelligence Platform

Die Implementierung und Nutzung einer Threat-Intelligence-Plattform bieten zahlreiche Vorteile. Sicherheitsteams erhalten wertvolle Informationen über aktuelle und neue Bedrohungen der Informationssicherheit wie Malware und andere. Die Plattform liefert Informationen über Taktiken, Techniken und Verfahren (TTPs) sowie über weitere Hintergründe und Details der Bedrohungen und Sicherheitsrisiken.

Mithilfe der Informationen lassen sich Bedrohungen tiefer analysieren und leichter identifizieren. Gleichzeitig ist der Aufwand für das Erfassen und Verwalten von Bedrohungsinformationen deutlich reduziert, da die Prozesse automatisiert sind. Threat-Intelligence-Daten lassen sich über die Plattform einfach bereitstellen und mit anderen Teams oder Organisationen teilen. Über Schnittstellen können aktuelle Threat-Intelligence-Daten in andere Sicherheitssysteme und -lösungen integriert werden. Dort ermöglichen sie eine automatisierte, zeitnahe und wirksame Reaktion und Abwehr erkannter Bedrohungen. Durch die frühzeitige Information über potenzielle Sicherheitsbedrohungen und -risiken kann ein Wandel von einer reaktiven zu einer proaktiven Sicherheitsstrategie vollzogen werden. Potenzielle Sicherheitsbedrohungen können identifiziert und bekämpft werden, noch bevor sie Schaden anrichten können. Weiter Vorteile einer Threat Intelligence Plattform sind:

• Entlastung der Sicherheitsteams von aufwendigen manuellen Tätigkeiten der Datensammlung und -analyse und Verbesserung ihrer Effizienz und Leistung

• Sicherheitsteams bleiben leichter auf dem aktuellen Stand der Bedrohungslandschaft

• für die eigene Umgebung relevante Bedrohungen lassen sich schneller identifizieren

• schnellere und effektivere Reaktion auf neue Bedrohungsszenarien

• Informationen externer oder öffentlicher Quellen über Sicherheitsbedrohungen sind einfach zu integrieren

• Unterstützung bei der Erfüllung regulatorischer Anforderungen

• Verbesserung der Effizienz der Sicherheitssysteme

• Reduzierung der Sicherheitsrisiken und Verbesserung des allgemeinen Sicherheitsniveaus

(ID:50367526)