Threat Intelligence und Threat Hunting

Eine Verbindung in einem Protokoll wird erst dann zu nützlicher Threat Intelligence, wenn jemand erklärt, warum sie für eine Entscheidung wichtig ist. Daten sind eine reine Beobachtung, Informationen ergänzen eine Bedeutung und Threat Intelligence ergänzt Analyse und Relevanz.

Beginne mit der Entscheidung

„203.0.113.45 hat sich über Port 443 verbunden“ sind Daten. „Unter dieser Adresse wurde letzte Woche eine Phishing-Seite gehostet“ ist eine Information. „Eine Gruppe, die unsere Branche angreift, nutzt sie für Command and Control; suche nach früheren Verbindungen und erwäge, sie zu blockieren“ ist Threat Intelligence. Die letzte Aussage verbindet Belege mit einer Bedrohung, einer Umgebung und einer Handlung.

Ein Informationsbedarf ist eine Frage, die mit einer Entscheidung und einem Verantwortlichen verknüpft ist. Ein prioritärer Informationsbedarf (PIR) bezeichnet, was die Leitung am dringendsten beantwortet haben muss. „Welche Ransomware-Gruppen greifen hier Krankenhäuser an und wie verschaffen sie sich Zugang?“ kann eine Finanzierungsentscheidung leiten. „Sammle mehr Ransomware-Daten“ gibt dem Analysten keinen klaren Endpunkt vor.

Verfolge den Zyklus

1. Planung und Ausrichtung: Einige dich mit den Beteiligten auf Informationsbedarf, Empfänger und Fristen.
2. Sammlung: Sammle die Berichte und internen Aufzeichnungen, die zur Beantwortung nötig sind.
3. Aufbereitung: Übersetze, normalisiere, dedupliziere und strukturiere die Daten.
4. Analyse: Verbinde Beobachtungen, bewerte Erklärungen und gib den Vertrauensgrad an.
5. Weitergabe: Sende ein nutzbares Produkt an die Person, die handeln muss.
6. Rückmeldung: Frage, ob es die Frage beantwortet hat und was sich ändern muss.

Manche Darstellungen des Zyklus fassen die Aufbereitung mit einem anderen Schritt zusammen und zeigen fünf Phasen. Die Arbeit führt weiterhin von einer Frage über Belege und Analyse zur Bereitstellung und Rückmeldung. Der Kauf eines Feeds dient der Sammlung; die übrige Arbeit bleibt bei der Organisation.

Bearbeite eine Finanzierungsfrage

Die Sicherheitsleitung eines Krankenhauses muss entscheiden, ob sie in diesem Quartal eine Multifaktor-Authentifizierung (MFA) für den Fernzugriff finanziert. Der Analyst sammelt einen Sicherheitshinweis einer nationalen Behörde, zwei Berichte aus dem Gesundheitssektor und die Protokolle des virtuellen privaten Netzwerks (VPN) des Krankenhauses. Bei der Aufbereitung werden die berichteten Techniken herausgezogen und die Protokollzeiten in ein einheitliches Format gebracht.

Die Analyse ergibt, dass drei von vier beschriebenen Gruppen über gestohlene VPN-Zugangsdaten eindrangen. Die Protokolle zeigen 1.200 fehlgeschlagene VPN-Anmeldungen aus unbekannten Ländern innerhalb von 30 Tagen. Die Berichte belegen das Zugangsrisiko; die fehlgeschlagenen Anmeldungen zeigen Zugangsversuche, keinen erfolgreichen Zugang. Ein einseitiger Kurzbericht empfiehlt zunächst MFA für das VPN, während das Security Operations Center (SOC) die Indikatoren erhält. Die Sicherheitsleitung fragt für den nächsten Kurzbericht nach Kosten: Diese Rückmeldung prägt den nächsten Informationsbedarf.

Trenne Beobachtungen von Einschätzungen

„Die Datei hat diesen Server kontaktiert“ ist eine Beobachtung. „Der Akteur bereitet Ransomware vor“ ist eine Einschätzung, die Belege und einen Vertrauensgrad braucht. Schreibe beides getrennt auf, damit Leser die Argumentation hinterfragen können, ohne die Fakten aus den Augen zu verlieren.

Der Bestätigungsfehler bevorzugt Belege, die zu einer frühen Theorie passen. Der Ankereffekt hält trotz neuer Belege an der ersten Schätzung fest. Das Spiegelbilddenken nimmt an, dass der Angreifer wie der Analyst denkt. Nutze die Analyse konkurrierender Hypothesen: Liste plausible Erklärungen auf, halte Annahmen fest und suche nach Belegen, die gegen jede Erklärung sprechen. Eine andere Person kann dann prüfen, wie die Einschätzung zustande kam.

Ein Bedrohungsbericht kann mehrere Entscheidungen unterstützen. Eine Führungskraft muss die Risiken für das Geschäft verstehen, während ein Entwickler von Erkennungsregeln das Verhalten kennen muss, das eine Regel erkennen soll. Die Arten von Threat Intelligence beschreiben diese unterschiedlichen Verwendungszwecke.

Vergleiche die vier Arten

Ein Security Information and Event Management (SIEM) durchsucht und korreliert Sicherheitsaufzeichnungen. Werkzeuge für Endpoint Detection and Response (EDR) erfassen Aktivitäten auf Endgeräten und reagieren darauf. Technische Threat Intelligence kann nach der Validierung direkt in diese Werkzeuge einfließen.

Technische Details bleiben oft Stunden bis Wochen aktuell, weil Angreifer sie kostengünstig ersetzen können. Eine strategische Einschätzung kann Entscheidungen über Monate bis Jahre leiten. Das sind nützliche Erwartungen an die Lebensdauer, keine Ablaufregeln für jeden Eintrag. Der Hashwert einer bekannten bösartigen Datei identifiziert auch nach dem Ende einer Kampagne dieselbe Datei.

Mache aus einem Bericht vier Produkte

Angenommen, ein Bericht beschreibt Ransomware gegen produzierende Unternehmen. Die Unternehmensleitung erhält einen strategischen Absatz über Produktionsausfälle und die Investitionen, die zur Verringerung dieses Risikos nötig sind. Sie sollte eine Entscheidung treffen können, ohne Befehlszeilen zu interpretieren.

Der Sicherheitsmanager erhält einen operativen Hinweis: Eine Partnergruppe nutzt diesen Monat eine bestimmte VPN-Schwachstelle in der Region aus. Der Hinweis nennt die wahrscheinlichen Ziele und die Dringlichkeit der aktuellen Kampagne.

Entwickler von Erkennungsregeln erhalten taktische Einzelheiten: Die Gruppe deaktiviert Datensicherungen und verwendet PowerShell zur Fernausführung. Diese Verhaltensweisen zeigen, welche Protokolle, Sicherheitsmaßnahmen und welche Erkennungslogik Aufmerksamkeit benötigen. SIEM und Firewall erhalten den technischen Anhang: drei SHA-256-Hashwerte, zwei Domänen und eine IP-Adresse mit Kontext und Hinweisen zum Umgang.

Die Produkte teilen sich die Belege, beantworten aber unterschiedliche Fragen. Den gesamten unbearbeiteten Anhang an die Unternehmensleitung zu senden, überträgt die Arbeit des Analysten auf Leser, die ihn nicht nutzen können. Einem Analysten nur einen langfristigen Trend zu geben, lässt die unmittelbare Erkennungsaufgabe unbeantwortet.

Gestalte einen Bericht als Handlungsgrundlage

Beginne einen internen Bericht mit den wichtigsten Einschätzungen. Lasse unterstützende Belege, Vertrauensgrad, empfohlene Maßnahmen und bei Bedarf einen Indikatoranhang folgen. Benenne, wer wann handeln sollte; eine morgen endende Kampagne braucht eine andere Frist als eine Budgetentscheidung im nächsten Quartal. Füge eine Kennzeichnung für die Weitergabe wie TLP:AMBER aus dem Traffic Light Protocol hinzu, damit Leser wissen, wie weit der Bericht weitergegeben werden darf.

Manche Organisationen verwenden drei Intelligence-Ebenen und ordnen technische Indikatoren der taktischen Threat Intelligence zu. Betrachte Zielgruppe und Inhalt, bevor du das Produkt einordnest. Eine andere Benennung ändert nicht, was eine Führungskraft oder ein Erkennungswerkzeug braucht.

Ein nützliches Bedrohungsprofil erklärt, welche Akteure für die Organisation wichtig sind und warum. Beginne mit der Absicht, also dem, was ein Akteur will; der Fähigkeit, den Ressourcen und Kenntnissen, die er einsetzen kann; und der Gelegenheit, dem Zugang oder der Schwachstelle, die ihm zur Verfügung stehen.

Vergleiche Motive und Zugang der Akteure

Eine Advanced Persistent Threat (APT) verfügt über ausgeprägte Fähigkeiten und Ressourcen, hält Zugang aufrecht und kehrt nach ihrer Entfernung zurück. Der Begriff beschreibt anhaltendes, organisiertes Verhalten. Staatliche Unterstützung ist häufig, aber auch fähige kriminelle Gruppen können auf diesem Niveau arbeiten. Betrachte Verhalten und Zugang des Akteurs als Belege, nicht die Eindruckswirkung seines Namens.

Kriminelle Operationen teilen die Arbeit oft auf. Vermittler von Erstzugängen verkaufen Zugangsmöglichkeiten zu kompromittierten Netzwerken. Bei Ransomware as a Service stellen Entwickler Partnern Ransomware bereit, die Angriffe ausführen und die Einnahmen teilen. Sich gegen die Zugangsmethode einer Partnergruppe zu verteidigen, kann daher wichtiger sein, als eine einzelne Malware-Marke zu erkennen.

Blicke über den Netzwerkrand hinaus

Ein Innentäter hat bereits Zugang, sodass eine Firewall am Netzwerkrand nicht das gesamte Risiko abdecken kann. Das Prinzip der geringsten Berechtigungen beschränkt, was über diesen Zugang erreichbar ist. Die Verhinderung von Datenverlust und die Analyse des Nutzerverhaltens können helfen, Missbrauch und Fehler zu erkennen, wobei die normale Arbeit der Person Kontext liefert.

Eine Lieferkettenbedrohung nutzt einen vertrauenswürdigen Dritten, um Kunden zu erreichen: ein Update, einen Managed Service Provider oder eine Bibliothek. Bei der Kompromittierung von SolarWinds Orion im Jahr 2020 fügten Angreifer eine Hintertür in signierte Softwareupdates ein. SolarWinds meldete zunächst, dass weniger als 18.000 Kunden betroffene Produkte installiert haben könnten. Die Installation eines betroffenen Produkts und eine bestätigte anschließende Ausnutzung sind unterschiedliche Aussagen.

Gehe vom Geschäft aus

Ein Onlinehändler mit 80 Beschäftigten hängt von seinem öffentlich erreichbaren Shop ab und verarbeitet Kundendaten. Finanziell motivierte Kriminelle sind wichtig, weil Zahlungsdiebstahl und Ausfälle die Einnahmen bedrohen. Opportunistische Angreifer sind wichtig, weil der Shop über das Internet erreichbar ist. Unbeabsichtigt handelnde Innentäter sind wichtig, weil Beschäftigte Kundendatensätze offenlegen können. Eine staatliche Gruppe, die sich auf Verteidigungsforschung konzentriert, ist für das aktuelle Profil dieses Händlers wenig relevant.

Halte Motiv, beobachtete Methoden und Gelegenheit jedes relevanten Akteurs fest. Nutze das Profil, um Berichte, ATT&CK-Verhaltensweisen und Themen für Hunts auszuwählen. Überprüfe es erneut, wenn das Unternehmen seine Dienste oder Technik ändert.

Attribution ordnet eine Aktivität einem Akteur zu. Gemeinsam genutzte Malware, gemietetes Hosting und absichtlich gelegte falsche Spuren erschweren diese Einschätzung. Anbieter verwenden auch unterschiedliche Namen: MITRE ATT&CK führt APT28 (G0007), auch Fancy Bear und Forest Blizzard genannt. Gib die Belege und den Vertrauensgrad hinter einer Attribution an; die Erkennungsarbeit kann weitergehen, während der Akteur unbekannt bleibt.

Eine Quelle kann bekannt und dennoch für die Entscheidung irrelevant sein. Eine andere kann hochrelevant, aber zu schwach belegt sein, um eine Blockierung zu rechtfertigen. Bewerte Zugang, Nutzen und Belege als getrennte Fragen.

Finde die richtigen Quellen

Open Source Intelligence (OSINT) stammt aus öffentlich erhältlichem Material: staatlichen Sicherheitshinweisen, Forschungsberichten, öffentlichem Code, Schwachstelleneinträgen und Beiträgen von Forschenden. Die öffentliche Verfügbarkeit ist entscheidend; ein öffentlich verkaufter Bericht kann weiterhin eine offene Quelle sein. Ein CERT oder CSIRT koordiniert Sicherheitsvorfälle und veröffentlicht oft Sicherheitshinweise.

Geschlossene Quellen beschränken den Empfängerkreis. Dazu gehören Austauschgruppen nur für Mitglieder, private Anbieterberichte und lizenzierte Feeds mit Beschränkungen der Weitergabe. Interne SIEM-, EDR-, Helpdesk- und Vorfallaufzeichnungen sind ebenfalls zugangsbeschränkte Quellen und beschreiben direkt die Aktivitäten der Organisation. Eine Threat-Intelligence-Plattform (TIP) wie MISP, OpenCTI oder Open Threat Exchange kann Threat Intelligence deduplizieren, anreichern, verknüpfen und verteilen. Sie braucht weiterhin Informationsbedarf und das Urteilsvermögen von Analysten.

Das Deep Web umfasst nicht indexierte Inhalte, darunter gewöhnliche private Portale. Das Dark Web benötigt spezielle Netzwerke wie Tor. Spezialisierte Überwachung kann veröffentlichte Zugangsdaten oder Erwähnungen von Opfern erkennen. Organisiere eine solche Sammlung über zugelassene Anbieter und mit rechtlicher Beratung; kaufe keine gestohlenen Daten und gehe keine Geschäfte mit Kriminellen ein.

Bewerte Nutzen und Beleglage

Prüfungsziele nennen diese Faktoren „Vertrauensgrade“. Sie helfen bei der Entscheidung, ob ein Eintrag als Handlungsgrundlage geeignet ist. Der analytische Vertrauensgrad beschreibt gesondert die Stärke der Belege und der Argumentation hinter einer Einschätzung. Relevanz misst den Nutzen; sie macht eine Aussage nicht wahrer.

Ein Bericht vom Morgen über Malware, die das ERP-System der Organisation angreift und von einem zweiten Anbieter bestätigt wird, ist aktuell und relevant. Die Behauptung eines Firewall-Exploits für ein Produkt, das die Organisation nicht besitzt, ist für unmittelbare Sicherheitsmaßnahmen irrelevant. Eine unerklärte IP-Liste aus dem Jahr 2023 muss validiert werden, bevor sie zu einer Sperrliste wird.

Halte zwei Arten der Bewertung auseinander

Das Admiralitätssystem bewertet die Zuverlässigkeit der Quelle von A bis E, mit F für unbekannte Zuverlässigkeit, und die Glaubwürdigkeit der Information von 1 bis 5, mit 6 für unbekannte Glaubwürdigkeit. A bedeutet vollständig zuverlässig; E bedeutet unzuverlässig. Eine Information mit der Bewertung 1 ist durch andere Quellen bestätigt; 5 bedeutet unwahrscheinlich. B2 bezeichnet eine normalerweise zuverlässige Quelle, die wahrscheinlich zutreffende Informationen meldet. Eine zuverlässige Quelle kann eine falsche Aussage wiederholen, deshalb bleiben die beiden Bewertungen getrennt.

Die Wahrscheinlichkeit betrifft die Frage, ob ein Ereignis eintreten wird. Der Vertrauensgrad betrifft die Beleglage für diese Schätzung. Die Wahrscheinlichkeitsskala der US-Nachrichtendienstrichtlinie (Intelligence Community Directive, ICD) 203 verwendet „unwahrscheinlich“ für 20–45 %, „wahrscheinlich“ für 55–80 % und „sehr wahrscheinlich“ für 80–95 %. „Das Zahlungsportal wird wahrscheinlich angegriffen. Unser Vertrauensgrad für diese Einschätzung ist mittel“ nennt die beiden Einschätzungen getrennt. Halte die verwendete Skala sowie die unabhängigen Belege, Annahmen und Lücken hinter dem Vertrauensgrad fest.

Ein Kompromittierungsindikator (IoC) ist ein beobachtbares Artefakt, das mit einem gewissen Vertrauensgrad auf einen Angriff hindeutet. Sein Nutzen ergibt sich aus seiner Rolle, den Belegen und seinem Alter sowie aus dem Wert selbst. Ein Angriffsindikator (IoA) betont das Verhalten bei einem laufenden Angriff, etwa wenn ein Prozess den Arbeitsspeicher eines Zugangsdaten-Speichers ausliest.

Erkenne Indikatorarten

Weitere nützliche Artefakte sind URLs, Betreffzeilen, Dateipfade, Registrierungsschlüssel, Mutex-Namen und User-Agent-Zeichenfolgen. Ein Datei-Hashwert identifiziert exakten Inhalt. Die SHA-256-Hashwerte von „invoice_4471“ und „invoice_4472“ beginnen mit 207b0dad und 60072dc4; die Änderung eines Zeichens verändert das Ergebnis. Für die Identifizierung wird SHA-256 bevorzugt, weil für MD5 und SHA-1 praktische Kollisionen nachgewiesen wurden.

Sammeln, analysieren, anwenden

Die Sammlung erfasst Artefakte aus Sicherheitsvorfällen, Sandboxes, Feeds und von Partnern. Halte fest, wo und wann jedes beobachtet wurde. Validiere während der Analyse das Format und reichere den Wert an: Nutze Domänenregistrierungsdaten, die Historie des passiven DNS, Reputation, Geolokalisierung, Scanner mit mehreren Erkennungsprogrammen und Sandbox-Ergebnisse. WHOIS kann Registrierungsinformationen liefern; passives DNS liefert früher beobachtete Auflösungen. Halte fest, ob die Ressource Phishing bereitstellte, eine Payload hostete oder Command and Control diente.

Die Anwendung setzt validierte Threat Intelligence ein. Ein DNS-Filter kann eine Domäne blockieren; EDR kann den Hashwert einer nachweislich bösartigen Datei blockieren; eine SIEM-Beobachtungsliste kann Treffer sichtbar machen. Durchsuche auch historische Aufzeichnungen, denn ein neuer Bericht kann bereits geschehene Aktivitäten erklären.

Untersuche eine gemeldete E-Mail

Ein Nutzer meldet „Rechnung 4471 überfällig“ mit invoice_4471.zip. Halte Absender, Betreff und Hashwert des Anhangs fest. Die Sandbox-Analyse findet ein Skript, das hxxps://update-portal[.]example/load kontaktiert. Die Anreicherung zeigt eine Registrierung drei Tage zuvor und die Auflösung zu 203.0.113.45, einer Adresse, die auch von zwei ähnlich aussehenden Domänen genutzt wird.

Der Analyst blockiert die Domäne am DNS-Resolver, ergänzt den Hashwert in EDR und durchsucht Proxy-Protokolle von 30 Tagen. Vier Arbeitsplatzrechner haben die Domäne kontaktiert. Diese Hosts werden zu Untersuchungsansätzen; die Untersuchung des Verbindungskontexts klärt, was auf jedem einzelnen geschah. Die Blockierung verhindert zukünftige Treffer durch diese Sicherheitsmaßnahme, frühere Aktivitäten müssen aber untersucht werden.

Beachte Darstellung und Alter

Berichte entschärfen Werte durch Defanging, um versehentliches Öffnen zu verhindern: Aus https wird hxxps, und Punkte werden zu [.]. Stelle die funktionsfähige Form durch Refanging wieder her, bevor du einen Indikator in ein Werkzeug lädst, das eine gewöhnliche Adresse erwartet.

Lege Prüf- oder Ablaufdaten nach Art und Beleglage fest. Eine IP-Adresse könnte nach 30 Tagen geprüft werden; Domänen und Datei-Hashwerte können länger nützlich bleiben. Bei gemeinsam genutztem Hosting und Content Delivery Networks ist Vorsicht nötig, weil das Blockieren einer IP viele legitime Dienste betreffen kann. Ein Treffer braucht Kontext, und eine Suche ohne Treffer bedeutet nur, dass die gesuchten Werte in den verfügbaren Aufzeichnungen nicht gefunden wurden.

Taktiken, Techniken und Vorgehensweisen (TTPs) beschreiben Verhalten auf drei Ebenen. Eine Taktik ist das Ziel, eine Technik die allgemeine Methode und eine Vorgehensweise die konkrete Umsetzung des Akteurs. Dieser Unterschied erklärt, warum manche Erkennungsregeln Änderungen an Malware und Servern überstehen.

Trenne Ziel, Methode und Umsetzung

Bei Persistenz ist das Ziel der Taktik, einen Zugang zu erhalten. Scheduled Task/Job: Scheduled Task (T1053.005) ist eine Technik, mit der sich das erreichen lässt. Eine Vorgehensweise umfasst den genauen Aufgabennamen, Dateipfad, Befehl und Auslöser.

In einer beobachteten Vorgehensweise richtet ein Akteur mit Administratorrechten eine Aufgabe namens „OneDriveSync“ ein. Sie führt C:\Users\Public\sync.exe bei jeder Anmeldung als SYSTEM aus. Der Aufgabenname kann sich ändern, während die Technik der geplanten Aufgabe gleich bleibt. Pfad und Aufgabenname beschreiben zu prüfende Belege; der wiederkehrende Auslöser erklärt den Zweck der Persistenz.

Lies die Pyramid of Pain

David Biancos Pyramid of Pain, 2013 veröffentlicht, ordnet ein, was der Angreifer ändern muss, nachdem ein Verteidiger es erkannt und seine Nutzung verhindert hat. Vom geringsten zum größten Aufwand:

1. Hashwerte: trivial; die Datei neu erstellen oder packen.
2. IP-Adressen: leicht; eine andere Serveradresse beschaffen.
3. Domänennamen: einfach; einen anderen Namen registrieren und konfigurieren.
4. Netzwerk- und Hostartefakte: lästig; auffällige Pfade, Namen oder Protokolldetails ändern.
5. Werkzeuge: anspruchsvoll; funktionierende Fähigkeiten ersetzen und testen.
6. TTPs: schwierig; eine andere Vorgehensweise lernen und umsetzen.

Die Pyramide misst den Anpassungsaufwand des Angreifers. Sie ordnet weder den Schweregrad eines Angriffs ein noch fordert sie Verteidiger auf, alle Indikatoren niedrigerer Ebenen zu verwerfen.

Vergleiche Erkennungsregeln bei einer Änderung der Kampagne

Ein Angriff erzeugt einen Hashwert des Ladeprogramms, die Command-and-Control-Adresse (C2) 198.51.100.77 und die Domäne update-portal.example. Er hinterlässt außerdem die Aufgabe „OneDriveSync“, nutzt ein Werkzeug zum Auslesen von Zugangsdaten und startet aus einer Office-Anwendung einen mit dem Internet verbundenen Skriptinterpreter.

Wenn der Akteur das Ladeprogramm neu erstellt und sowohl Serveradresse als auch Domäne ändert, liefern die drei Erkennungsregeln für exakte Werte keine Treffer mehr. Die Erkennung anhand des Aufgabennamens funktioniert, bis der Name geändert wird. Eine auf das Werkzeug ausgerichtete Erkennung kann bestehen bleiben, bis das Werkzeug geändert wird. Eine Regel für das Verhalten von Office über Skript bis Netzwerk kann all diese Ersetzungen überstehen, weil sie die Methode beobachtet.

Stelle die Daten für die Verhaltenserkennung bereit

Eine verhaltensbasierte Regel erzeugt eine Alarmmeldung, wenn winword.exe oder excel.exe powershell.exe, wscript.exe oder mshta.exe startet und der Kindprozess innerhalb von 60 Sekunden eine ausgehende Verbindung herstellt. Dafür braucht sie die Prozessabstammung, Zeitstempel und dem Prozess zugeordnete Netzwerkereignisse. Eine Liste von Domänen allein kann sie nicht unterstützen.

Verhaltensbasierte Erkennungsregeln brauchen Feinabstimmung, weil auch legitime Software und Administratoren Skripte und geplante Aufgaben nutzen. Untersuche normale Nutzungen, bevor du Ausnahmen festlegst. Alle Administratoren pauschal auszuschließen, würde die nützliche Sicht auf kompromittierte privilegierte Konten beseitigen.

Ein nachweislich bösartiger Hashwert liefert einen genauen Treffer für eine Datei und lässt sich schnell einsetzen. Infrastrukturwerte müssen auf gemeinsame Nutzung und Alter geprüft werden. Kombiniere schnelles Blockieren von Indikatoren und rückblickende Suchen mit getesteten verhaltensbasierten Erkennungsregeln für eine länger anhaltende Abdeckung.

MITRE ATT&CK steht für Adversarial Tactics, Techniques, and Common Knowledge. Es ist eine gemeinsame Wissensbasis, die aus beobachteten Angriffen aufgebaut wurde. MITRE begann 2013 damit und veröffentlichte sie 2015. Sie gibt Analysten einen Wortschatz für Verhalten und Belege dafür, wie dieses Verhalten aufgetreten ist.

Wähle Domäne und Version

ATT&CK hat die Domänen Enterprise, Mobile und ICS (industrielle Steuerungssysteme). Enterprise umfasst Systeme wie Windows, macOS, Linux, Clouddienste, Identitätsanbieter, Netzwerkgeräte, Container und ESXi. Mobile befasst sich mit Android und iOS; ICS mit industriellen Steuerungssystemen.

Enterprise v20, veröffentlicht im Oktober 2026, hat 15 Taktikspalten: Reconnaissance, Resource Development, Initial Access, Execution, Persistence, Privilege Escalation, Stealth, Defense Impairment, Credential Access, Discovery, Lateral Movement, Collection, Command and Control, Exfiltration und Impact.

Eine Taktik erklärt das Ziel eines Angreifers. Diese Spalten sind keine verpflichtende zeitliche Abfolge: Ein Eindringling kann die Erkundung nach dem Wechsel zu einem anderen System wiederholen, eine Taktik überspringen oder mit einer Handlung mehrere Ziele verfolgen.

In v19, veröffentlicht im April 2026, wurde die frühere Enterprise-Taktik Defense Evasion in Stealth (TA0005) und Defense Impairment (TA0112) aufgeteilt. Stealth verbirgt Aktivitäten; Defense Impairment beschädigt oder deaktiviert die Sichtbarkeit für die Verteidigung und Sicherheitsmaßnahmen. Ältere Enterprise-Ebenen mit 14 Spalten müssen daher unter Berücksichtigung der Version interpretiert werden. Taktikbezeichnungen in anderen Domänen können abweichen.

Lies die Kennungen

Der Punkt mit nachfolgenden Ziffern macht die ID einer Untertechnik genauer. LSASS ist der Windows Local Security Authority Subsystem Service. Das Auslesen seines Arbeitsspeichers stützt T1003.001; ein Bericht, der nur „Auslesen von Zugangsdaten“ nennt, stützt das allgemeinere T1003. Eine Technik kann mehreren Taktiken dienen: Scheduled Task (T1053.005) kann Ausführung, Persistenz oder Rechteausweitung unterstützen.

Mache aus einer Seite einen Abwehrplan

Lies zuerst die Beschreibung und die unterstützten Plattformen. Vorgehensbeispiele zeigen mit Quellenangaben, wie benannte Gruppen oder Software die Technik ausgeführt haben. Risikominderungsmaßnahmen schlagen Sicherheitsmaßnahmen vor. Seit v18 im Oktober 2025 verweisen Erkennungsstrategien auf plattformspezifische Analyseverfahren, die die benötigten Datenkomponenten nennen, etwa Ereignisse zur Prozess- oder Netzwerkverbindungserstellung.

So kann ein Entwickler fragen, ob die benötigten Protokolle vorhanden sind, bevor er eine Regel erstellt. Eine Gruppenseite listet außerdem beobachtete Techniken auf und unterstützt damit eine Bedrohungsebene für relevante Akteure.

Halte die ATT&CK-Version in Zuordnungen, Berichten und Heatmaps fest. Veröffentlichungen erscheinen gewöhnlich im April und Oktober. Techniken können sich ändern oder zurückgezogen werden: v19 zog Impair Defenses (T1562) zurück und verteilte Inhalte auf Techniken wie Disable or Modify Tools (T1685). Eine alte Kennung muss überprüft werden, auch wenn das beschriebene Verhalten weiterhin wichtig ist.

Eine ATT&CK-Zuordnung verbindet ein Verhalten anhand von Belegen mit einer benannten Technik. Ein Dateiname, eine Anbieterbezeichnung oder eine Malware-Familie kann die Recherche leiten, aber die Zuordnung beschreibt, was geschehen ist. Beginne mit einer allgemein verständlichen Beschreibung der Handlung.

Folge den Belegen in fünf Schritten

1. Finde das Verhalten. Entnimm der Aufzeichnung Handlung, Objekt und Ergebnis.
2. Recherchiere es. Verstehe, was die Handlung bewirkt und was die Belege dafür nachweisen können.
3. Bestimme die Taktik. Frag dich, welchem Zweck die Handlung hier dient.
4. Bestimme die Technik. Finde die passende allgemeine Methode.
5. Bestimme die Untertechnik. Nutze sie, wenn die Belege diese Einzelheit stützen.

Vergleiche den Entwurf mit der Interpretation eines anderen Analysten. Bewahre für jede Zeile die zugrunde liegende Protokoll- oder Berichtspassage auf, damit jemand anderes die Zuordnung prüfen kann.

Untersuche einen Angriff

Eine Beobachtung kann mehrere Zuordnungen stützen, weil sich Methode und Zweck überschneiden. Halte die Belege für jede Aussage ausdrücklich fest. Der Fund von Mimikatz identifiziert Software (S0002); er belegt nicht, dass LSASS ausgelesen wurde, solange Ausführungsbelege diese Handlung nicht stützen.

Wähle den Detaillierungsgrad

Wenn ein Bericht nur „Phishing“ sagt, ordne Phishing (T1566) zu. Anhang und Link sind unterschiedliche Untertechniken, und der Bericht entscheidet nicht zwischen ihnen. Halte eine Lücke fest, wenn Belege fehlen. Eine genauere Kennung ist nur nützlich, wenn sie begründet ist.

Derselbe Aufgabenmechanismus kann unterschiedlichen Zwecken dienen. Eine Aufgabe, die ein Programm einmal startet, stützt Execution. Eine für jede Anmeldung konfigurierte Aufgabe stützt Persistence. Halte mehrere Taktiken fest, wenn die Belege mehrere Ziele stützen.

Vermeide die schlüsselwortbasierte Zuordnung. Ein Satz über „Zugangsdaten“ kann die Nutzung eines gestohlenen Kontos beschreiben, nicht den Diebstahl von Zugangsdaten. Eine Common-Vulnerabilities-and-Exposures-Kennung (CVE) bezeichnet eine Schwachstelle; das Ausnutzen einer Schwachstelle in einem öffentlich erreichbaren Server ist Exploit Public-Facing Application (T1190). Behandle Schwachstelle und Verhalten als getrennte Felder.

Mache das Ergebnis überprüfbar

Nutze eine Tabelle mit Verhalten, Beleg, Taktik, Technik oder Untertechnik, ATT&CK-Version und Vertrauensgrad. Dieses Ergebnis kann in einen Vorfallbericht, eine Navigator-Ebene oder einen Hunting-Plan einfließen. Kennzeichne unsichere Zuordnungen sichtbar als unsicher, damit spätere Leser eine Schlussfolgerung des Analysten nicht mit einer aufgezeichneten Handlung verwechseln.

Eine ATT&CK-Heatmap macht eine Frage sichtbar: Welche relevanten Verhaltensweisen kann die Organisation erkennen und wo liegen ihre Lücken? Beginne mit den für das Geschäft wichtigen Bedrohungen und vergleiche sie dann mit der nachgewiesenen Abdeckung der Abwehr.

Erstelle zwei unterschiedliche Ebenen

ATT&CK Navigator versieht die Matrix in Ebenen mit Anmerkungen, die als JSON gespeichert werden. Eine Bedrohungsebene bewertet Techniken, die von Akteuren im Bedrohungsprofil genutzt werden. Eine Abdeckungsebene hält die Erkennungsregeln oder Sicherheitsmaßnahmen der Organisation fest. Gib jeder Ebene einen Namen, eine ATT&CK-Version und eine Legende, damit eine dunkle Zelle eine klare Bedeutung hat.

Für einen einfachen Bedrohungswert zähle, wie viele relevante Gruppen jede Technik genutzt haben. Ein Wert von vier bedeutet vier Gruppen in diesem Profil, nicht vier Angriffe oder eine vierfache Kompromittierungswahrscheinlichkeit. Die Abdeckung kann als nicht vorhanden, teilweise oder getestet festgehalten werden. Die Legende muss genau angeben, ob sie das Vorhandensein einer Regel, Testergebnisse oder die Verhinderung beschreibt.

Untersuche zehn relevante Techniken

Vier relevante Gruppen ergeben diese Bedrohungsebene:

Für vier von zehn Techniken gibt es getestete Erkennungsregeln: 40 % dieser Bedrohungsebene. Der Nenner sind die zehn ausgewählten Techniken. Es sind nicht 40 % von ganz ATT&CK, allen Vorgehensweisen oder allen möglichen Angriffen.

Unter den nicht abgedeckten Techniken hat PowerShell den höchsten Wert. Scheduled Task und RDP folgen. Das Team plant zuerst die PowerShell-Skriptblockprotokollierung und eine Regel für kodierte PowerShell-Befehle. Eine Lücke mit niedrigerem Wert kann trotzdem dringend sein, wenn sie ein kritisches Asset betrifft; halte diesen Geschäftskontext neben dem Wert sichtbar.

Schließe die Lücke von den Daten bis zum Test

Lies die Erkennungsstrategie und die Analyseverfahren der Technik, um die benötigten Protokolle zu bestimmen. Eine geplante Regel für kodierte Befehle kann nicht funktionieren, wenn der Befehlsinhalt fehlt. Aktiviere die Erfassung, bestätige, dass Aufzeichnungen mit nutzbaren Feldern und einer geeigneten Aufbewahrungsdauer ankommen, und erstelle und verfeinere dann die Regel.

Teste mit autorisierten, sicheren Simulationen und prüfe, ob die erwartete Alarmmeldung ausgelöst wird. Der Test weist die Abdeckung für die erprobte Vorgehensweise und die getesteten Bedingungen nach. Eine Technik kann viele Vorgehensweisen enthalten; halte deshalb fest, welche getestet wurde und was nur teilweise abgedeckt bleibt.

Risikominderungsmaßnahmen setzen an unterschiedlichen Teilen desselben Verhaltens an. Für LSASS Memory (T1003.001) können LSA-Schutz oder Credential Guard und strengere Debugberechtigungen neben der Erkennung die Angriffsfläche verringern. Eine farbige Zelle sollte angeben, welche Art der Abdeckung sie darstellt.

Halte die Karte über die Zeit nützlich

Vergleiche Ebenen über mehrere Quartale, um abgeschlossene Verbesserungen und offene Risiken zu zeigen. Überprüfe Bedrohungsprofil und Plattformumfang erneut, bevor du die Abdeckung erweiterst: Eine Organisation mit ausschließlich Windows-Systemen gewinnt wenig, wenn sie nicht relevante macOS-Zellen ausfüllt. Zellen mit hoher Bedrohung und schwacher Abdeckung liefern auch Themen für Hunts, während die Entwicklungsarbeit läuft.

Die Cyber Kill Chain beschreibt einen Angriff in sieben Phasen. Die Lockheed-Martin-Analysten Eric Hutchins, Michael Cloppert und Rohan Amin stellten sie 2011 vor, um Wissen über das Vorgehen eines Angreifers mit Abwehrmaßnahmen zu verbinden.

Verfolge die sieben Phasen

1. Aufklärung: Informationen über Personen und erreichbare Systeme sammeln.
2. Weaponization: Schadcode oder einen Exploit mit einem Übertragungsmittel vorbereiten.
3. Zustellung: Das Angriffsmittel per E-Mail, über das Web, per USB oder auf einem anderen Weg senden.
4. Ausnutzung: Code durch eine Schwachstelle oder eine Nutzerhandlung auslösen.
5. Installation: Malware oder einen anderen Mechanismus platzieren, der den Zugang aufrechterhält.
6. Command and Control (C2): Einen Kanal zur Steuerung des kompromittierten Systems einrichten.
7. Zielerreichung: Den Zweck verfolgen, etwa Diebstahl, Verschlüsselung oder weitere Bewegung.

Weaponization geschieht aufseiten des Angreifers. Verteidiger beobachten gewöhnlich wenig davon direkt. Andere Phasen können Belege in E-Mail-, Endgeräte-, Netzwerk- oder Identitätsaufzeichnungen hinterlassen.

Betrachte einen vollständigen Angriff

Ein Angreifer untersucht Stellenanzeigen und Mitarbeiterprofile, um Beschäftigte der Finanzabteilung zu finden: Aufklärung. Er erstellt eine Tabelle mit einem bösartigen Makro: Weaponization. Sie als Lieferantenrechnung zu versenden, ist Zustellung. Ein Nutzer aktiviert ihren Inhalt und das Makro wird ausgeführt: Ausnutzung.

Eine Hintertür, die bei der Anmeldung startet, bildet die Installation. Ihre HTTPS-Kontakte alle fünf Minuten bilden C2. Das Kopieren von Kundendatensätzen auf einen externen Server ist Zielerreichung. Jede Bezeichnung beschreibt die belegte Aktivität; wenn die Datenerfassung endet, bevor eine Phase beobachtet wird, halte die fehlenden Belege fest.

Der Abwehrgedanke der Kette besteht darin, die Operation zu unterbrechen, bevor sie ihr Ziel erreicht. Eine erfolgreiche Blockierung bei der Zustellung kann die späteren Phasen dieses Versuchs verhindern. Das ist im Allgemeinen weniger kostspielig als eine Reaktion nach einem Datendiebstahl, und der gescheiterte Versuch liefert weiterhin Threat Intelligence für den nächsten.

Wähle eine Handlungsoption

Das Modell von 2011 verbindet die Phasen mit erkennen, verhindern, unterbrechen, beeinträchtigen, täuschen und zerstören. „Erkennen“ identifiziert eine Handlung. „Verhindern“ hält sie auf. „Unterbrechen“ stoppt ihren Ablauf. „Beeinträchtigen“ verringert ihre Wirksamkeit. „Täuschen“ gibt dem Angreifer irreführende Informationen oder Antworten.

„Zerstören“ beschreibt eine offensive Maßnahme gegen Ressourcen des Angreifers. Eine Abwehranalyse berechtigt nicht zum Zugriff auf diese Ressourcen. Beschränke Maßnahmen auf die Befugnisse der Organisation und den genehmigten Reaktionsprozess.

Erkenne die Grenzen des Modells

Die ursprüngliche Kette passt besser zu von außen zugestellter Malware als zu einem Angriff durch Innentäter oder mit einem gestohlenen Cloud-Konto. Sie ordnet viele Aktivitäten nach der Kompromittierung der Zielerreichung zu und verbirgt damit Unterschiede wie Rechteausweitung und Sammlung. Die Unified Kill Chain von Paul Pols, 2017 veröffentlicht, erweitert die Darstellung auf 18 Phasen.

Reale Operationen können zu früheren Schritten zurückkehren: Ein Eindringling kann nach dem Zugang weitere Aufklärung betreiben. Vergleiche mehrere Angriffe Phase für Phase, um wiederkehrende Zustellmethoden und C2-Einrichtungen zu erkennen, und kombiniere diese Kampagnensicht dann mit detaillierteren Verhaltensbelegen. Eine frühe Blockierung ist ein nützliches Ergebnis, aber auch zusammenhängende Versuche und bereits exponierte Hosts verdienen eine Untersuchung.

Das Diamantmodell der Angriffsanalyse, 2013 von Sergio Caltagirone, Andrew Pendergast und Christopher Betz veröffentlicht, beschreibt ein einzelnes Angriffsereignis. Bei diesem Ereignis setzt ein Angreifer eine Fähigkeit über eine Infrastruktur gegen ein Opfer ein, um ein Ergebnis zu erzielen.

Ordne Belege dem richtigen Eckpunkt zu

Eine C2-IP-Adresse ist Infrastruktur. Der Code, der diese Adresse nutzt, ist eine Fähigkeit. Halte unter Opfer sowohl die Personen oder die Organisation als auch die betroffenen Systeme fest; „ein Laptop“ kann verbergen, warum dieses Asset ausgewählt wurde.

Infrastruktur vom Typ 1 gehört dem Angreifer oder wird vollständig von ihm kontrolliert, etwa ein gemieteter Server. Infrastruktur vom Typ 2 wird von einem Vermittler kontrolliert, etwa eine kompromittierte Website. Der Vermittler kann ein weiteres Opfer sein. Hostingunternehmen und Registrare sind Dienstanbieter, die bei der Untersuchung oder Abschaltung von Infrastruktur helfen können.

Ergänze die Umstände des Ereignisses

Die Metamerkmale des Modells beschreiben Zeitstempel, Phase, Ergebnis, Richtung, Methodik und Ressourcen. Der Zeitstempel nennt den Zeitpunkt; die Phase ordnet die Aktivität in eine größere Operation ein; das Ergebnis hält Erfolg, Fehlschlag oder unbekannt fest. Die Richtung kann eine Zustellung von der Infrastruktur zum Opfer oder C2 vom Opfer zur Infrastruktur zeigen. Die Methodik benennt die Aktivitätsklasse, während Ressourcen die benötigte Software, das Wissen oder Geld beschreiben.

Das erweiterte Modell ergänzt eine sozialpolitische Achse zwischen Angreifer und Opfer: das Motiv für die Auswahl dieses Ziels. Seine technische Achse verbindet Fähigkeit und Infrastruktur, etwa die DNS-Auflösung und HTTPS-Kommunikation, mit denen eine Hintertür ihren Steuerungsserver erreicht.

Verfolge jeweils eine Beziehung durch Pivoting

Eine EDR-Alarmmeldung auf einem Laptop der Finanzabteilung identifiziert eine Hintertür, die cdn-sync.example kontaktiert. Beginne mit dem Laptop als Opfer, der Hintertür als Fähigkeit und der Domäne als Infrastruktur. Lass den Angreifer unbekannt.

Passives DNS verbindet die Domäne mit 203.0.113.45 und zeigt update-portal.example unter dieser Adresse. Das liefert einen zweiten Infrastrukturansatz. Ein Malware-Repository verknüpft eine weitere Probe einer Hintertür mit dieser zweiten Domäne und ergänzt damit eine Fähigkeit. Ein Partner meldet die Domäne bei Sicherheitsvorfällen in zwei Logistikunternehmen und ergänzt damit Ansätze zu Opfern.

Jedes Pivoting ergibt eine zu überprüfende Beziehung. Gemeinsam genutztes Hosting allein ist ein schwacher Beleg für gemeinsame Kontrolle; halte deshalb Zeitpunkt und Bestätigung fest, bevor du nicht zusammengehörige Kunden zu einer Gruppe zusammenfasst. Das nützliche Ergebnis ist eine wachsende Spur von Belegen, kein schnell gefundener Akteursname.

Verbinde Ereignisse ohne überzogene Aussagen

Zeitlich geordnete Ereignisse für ein Opfer bilden einen Aktivitätsstrang. Zusammengehörige Stränge und Ereignisse bilden eine Aktivitätsgruppe, wenn sie aussagekräftige Merkmale wie Infrastruktur, Fähigkeit oder Zielauswahl teilen. Die Gruppe entspricht näherungsweise einem Angreifer oder einer Kampagne und bleibt eine analytische Gruppierung, bis stärkere Belege eine Attribution stützen.

Leere Eckpunkte zeigen dem Analysten, wo Belege fehlen. Lass sie unbekannt und nutze die bekannten Kanten, um die nächste Suche zu planen. Ein vollständig aussehender, mit Vermutungen gefüllter Diamant ist weniger nützlich als ein unvollständiger, dessen Beziehungen überprüft werden können.

Ein einzelner Sicherheitsvorfall kann einen Lagebericht zum Fortschritt, einen Erkennungsplan und eine Infrastrukturuntersuchung erfordern. Die Cyber Kill Chain, ATT&CK und das Diamantmodell ordnen dieselben Belege für diese unterschiedlichen Fragen.

Wähle zuerst die Frage

Analysiere einen Angriff auf drei Arten

Eine Phishing-E-Mail liefert eine Tabelle an ein Finanzteam. Ein Nutzer aktiviert ihr Makro. Das Makro installiert eine Hintertür, richtet eine geplante Aufgabe für die Anmeldung ein und kontaktiert cdn-sync.example über HTTPS. Das SOC isoliert den Laptop, bevor es weitere Aktivitäten beobachtet.

Die Darstellung in der Kill Chain identifiziert Zustellung, Ausnutzung, Installation und C2. Sie besagt, dass keine Zielerreichung beobachtet wurde. Die Isolierung ist eine Abwehrmaßnahme; dass spätere Beobachtungen fehlen, hängt weiterhin davon ab, welche Daten erfasst wurden.

ATT&CK trennt die Verhaltensweisen: Spearphishing Attachment (T1566.001) für den Anhang, User Execution: Malicious File (T1204.002) für dessen Aktivierung, Scheduled Task (T1053.005) für den wiederkehrenden Start und Web Protocols (T1071.001) für das HTTPS-C2. Jede Zuordnung verweist auf einen Fakt des Sicherheitsvorfalls.

Das Ereignis im Diamantmodell hält einen unbekannten Angreifer, das Makro und die Hintertür als Fähigkeit, die Absenderadresse und die kontaktierte Domäne als Infrastruktur sowie das Finanzteam und den betroffenen Laptop als Opfer fest. Es legt nahe, andere Nachrichten des Absenders und andere Hosts zu prüfen, die die Domäne kontaktieren.

Verbinde Phasen und Verhaltensweisen sorgfältig

Reconnaissance entspricht sich bei ATT&CK und der Kill Chain weitgehend. Resource Development überschneidet sich mit Weaponization. Initial Access und Execution können Zustellung und Ausnutzung beschreiben; Persistence überschneidet sich mit Installation; Command and Control überschneidet sich mit C2. Viele übrige ATT&CK-Taktiken passen zur Zielerreichung.

Die Entsprechung ist ungefähr. ATT&CK unterscheidet Aktivitäten nach der Kompromittierung detailliert, die die ursprüngliche Kette zusammenfasst. Wer jede ATT&CK-Taktik genau einer Kill-Chain-Phase zuordnet, kann den durch die Belege gezeigten Zweck oder Ablauf verdecken.

Unterscheide Angriffsbeschreibungen von Testplänen

Das Open Source Security Testing Methodology Manual (OSSTMM) von ISECOM und der OWASP Web Security Testing Guide organisieren autorisierte Tests: Planung, Durchführung von Prüfungen und Berichterstattung über Ergebnisse. Sie sind Testmethoden. Die drei Angriffsmodelle beschreiben Angreiferaktivitäten für die Analyse.

Ein Testplan kann ATT&CK-Verhalten nutzen, um eine autorisierte Simulation auszuwählen, und anschließend deren Ergebnisse zur Aktualisierung der Abdeckung verwenden. Der Plan und der Verhaltenswortschatz erfüllen unterschiedliche Aufgaben. Kein Modell stellt die Identität eines Akteurs allein fest; Attribution braucht weiterhin gesonderte Belege und einen Vertrauensgrad.

Threat Hunting ist eine proaktive, iterative und von Menschen geleitete Suche nach Angreiferaktivitäten, die automatisierte Erkennungsregeln übersehen haben. Ein Threat Hunter zieht in Betracht, dass bereits ein Einbruch vorliegen könnte, und sucht dann auf Endgeräten, in Netzwerken, Identitäten und Clouddiensten nach Belegen.

Unterscheide verwandte Tätigkeiten

Eine frühere Alarmmeldung kann einen Ansatz für einen Hunt liefern. Ein Hunt, der einen Sicherheitsvorfall findet, übergibt ihn an das zuständige Team. Diese Abgrenzungen beschreiben den Zweck der Arbeit; die Teams können währenddessen durchgehend Belege austauschen.

Angreifer können sich durch Living off the Land unauffällig verhalten, indem sie eingebaute Werkzeuge wie PowerShell oder Windows Management Instrumentation nutzen. Werkzeuge, die Administratoren täglich einsetzen, brauchen eine Analyse im Kontext. Die Verweildauer ist die Zeit, die ein Eindringling unentdeckt bleibt. Hunts sollen sie verkürzen; manche Angriffe bleiben Monate oder Jahre verborgen.

Stimme die Art des Hunts auf den Ausgangspunkt ab

Ein hypothesengetriebener Hunt prüft eine konkrete Aussage über Verhalten. Ein Intelligence-getriebener Hunt beginnt mit Indikatoren oder TTPs aus einem neuen Bericht und kann ältere Aufzeichnungen durchsuchen. Ein Baseline-Hunt bestimmt normale Aktivitäten und untersucht Abweichungen. Ein modellgestützter Hunt nutzt maschinelles Lernen, um ungewöhnliche Muster für die menschliche Untersuchung sichtbar zu machen.

Diese Arten können zusammenwirken. Ein Bericht über Persistenz durch geplante Aufgaben kann zu einer Hypothese, einem Häufigkeitsvergleich mit der Baseline und einer modellgestützten Gruppierung ungewöhnlicher Aufgabenaktionen führen. Der Threat Hunter interpretiert weiterhin die Belege.

Wähle bedeutsame Suchbereiche

Konfigurationen und Fehlkonfigurationen bieten Ansatzpunkte: neue Administratorkonten, deaktivierte Protokolle, Änderungen an Gruppenrichtlinien und neu erreichbare Dienste. Kritische Assets wie Domänencontroller, Zahlungssysteme, Sicherungsserver und das ERP-System verdienen Aufmerksamkeit, weil eine Kompromittierung hohe Kosten verursacht.

Segmentierte oder physisch getrennte Netzwerke können schlechter überwacht sein. Bevorzuge in industriellen Umgebungen die passive Datenerfassung, weil aktives Scannen empfindliche Anlagen stören kann. Wähle eine Methode, die sowohl zum Asset als auch zur Bedrohung passt.

Prüfe die Sichtbarkeit, bevor du eine Antwort versprichst

Ein Hunt braucht relevante Endgeräte-, Netzwerk-, Identitäts- oder Cloud-Aufzeichnungen, eine ausreichende Aufbewahrungsdauer und Werkzeuge für deren Abfrage. Die Aufbewahrung beträgt oft 90 Tage oder mehr, aber das nötige Zeitfenster richtet sich nach der Frage. Prüfe, welche Hosts und Felder tatsächlich vorhanden sind und wie normale Aktivitäten erkannt werden.

Das Hunting Maturity Model reicht von HM0 Initial, dem Vertrauen auf automatisierte Alarmmeldungen, über HM1 Minimal mit Indikatorsuchen, HM2 Procedural mit der Nutzung extern verfasster Verfahren und HM3 Innovative mit der Erstellung eigener Verfahren bis zu HM4 Leading mit der Automatisierung erfolgreicher Hunts zu Erkennungsregeln. Die Indikatorsuche ist nützlich, verliert aber Treffer, wenn sich Infrastruktur ändert.

Wenn keine stützenden Belege gefunden werden, berichte über das geprüfte Verhalten, Umfang, Methoden und Grenzen der Sichtbarkeit. Fehlende Protokolle werden zu einem Befund über eine Überwachungslücke. Ein dokumentierter harmloser Ausreißer verbessert die Baseline. Beides sind Ergebnisse, aus denen sich Maßnahmen ableiten lassen, auch wenn der Hunt keinen Sicherheitsvorfall ergibt.

Eine Hunting-Hypothese beschreibt ein konkretes Angreiferverhalten, das in einer festgelegten Umgebung vorkommen könnte. Sie gibt dem Threat Hunter eine Suchrichtung und einen Endpunkt. Eine Behauptung wie „Hier ist eine APT“ liefert keines von beidem.

Formuliere die vier Bestandteile

Eine nützliche Hypothese nennt Verhalten, Untersuchungsumfang, beobachtbare Belege und Datenquelle. Der Untersuchungsumfang umfasst Systeme und Zeit. Versuche es so: „Wenn dieses Verhalten auf diesen Systemen während dieses Zeitraums auftritt, sollten diese Aufzeichnungen diesen Beleg enthalten.“

Zu den Ausgangspunkten gehören Berichte über relevante Akteure, ATT&CK-Lücken mit hoher Bedrohung, frühere Sicherheitsvorfälle, neue Clouddienste, Fusionen, alltägliche Anomalien und Red-Team-Befunde. Beginne mit einem dieser Ansätze und beschreibe dann das Verhalten genau genug, um danach suchen zu können.

Grenze einen Hunt nach geplanten Aufgaben ein

„Angreifer nutzen PowerShell“ liefert zu viele legitime Aktivitäten. Eine engere Hypothese lautet: „Ein Angreifer hat in den letzten 30 Tagen auf Arbeitsplatzrechnern der Finanzabteilung geplante Aufgaben, Scheduled Task (T1053.005), erstellt, die Programme aus Ordnern ausführen, in die Nutzer schreiben können, etwa C:\Users\Public oder AppData.“

Der erwartete Beleg ist ein Datensatz zur Aufgabenerstellung, der dieses Ziel zeigt. Windows-Sicherheitsereignis 4698 zeichnet die Aufgabenerstellung auf, wenn die entsprechende Überwachung aktiviert ist. Prüfe die Richtlinie und die Erfassung vor dem Hunt. Lies Aufgabenaktion, Ersteller, Host und Zeitpunkt und untersuche Treffer unabhängig davon, welches Konto sie erstellt hat. Auch Administratorzugangsdaten können missbraucht werden.

Die Ordnerbedingung grenzt die Hypothese bewusst ein. Aufgaben, die aus geschützten Ordnern ausgeführt werden, liegen außerhalb dieser Suche; halte diese Einschränkung daher im Bericht fest.

Entscheide, was dagegen sprechen würde

Schreibe vor der Suche ein widerlegendes Ergebnis auf. Zum Beispiel könnte jede passende Aufgabe auf bekannte Software, genehmigte Bereitstellungsaufzeichnungen und erwartetes Prozessverhalten zurückzuführen sein. Dieser Befund spricht gegen die eingegrenzte Hypothese, wenn die benötigten Protokolle vollständig sind. Fehlende Treffer von Hosts, die nie Ereignis 4698 gesendet haben, lassen die Frage offen.

Suche ebenso aktiv nach Belegen für gewöhnliche wie für bösartige Erklärungen. Halte Änderungen an Hypothese und Umfang während der Arbeit fest; andernfalls könnte sich die abschließende Aussage auf eine Frage beziehen, die nie tatsächlich geprüft wurde.

Priorisiere die Arbeit und zeige Datenlücken auf

Eine einfache Priorisierung bewertet Wahrscheinlichkeit, Auswirkung und Datenverfügbarkeit von 1 bis 3 und multipliziert sie dann. In diesem Beispiel:

Nach dieser Methode kommt A zuerst. B betrifft wichtige Assets, aber es fehlen nutzbare Daten; deshalb besteht die erste Aufgabe darin, die Erfassung zu aktivieren. Der Wert priorisiert die Arbeit; er ist weder eine Wahrscheinlichkeit noch ein Ersatz für die dringende Behandlung eines Sicherheitsvorfalls.

Ein Hunt schafft Wert, wenn seine Belege die Reaktion, Baseline, Datenerfassung oder Erkennung verändern. PEAK, 2023 vom SURGe-Team von Splunk vorgestellt, organisiert die Arbeit in Vorbereiten, Durchführen und Handeln, wobei Wissen in jede Phase einfließt.

Führe den Prozess durch

Beim Vorbereiten recherchierst du das Verhalten, formulierst die Hypothese und legst Umfang, Daten und Plan fest. Beim Durchführen sammelst und analysierst du Aufzeichnungen, verfeinerst Suchen und eskalierst kritische Befunde sofort. Beim Handeln sicherst du die Arbeit, kommunizierst Befunde und setzt Verbesserungen um. Zum Wissen gehören Geschäftskontext, Threat Intelligence, Erfahrung und die Entdeckungen dieses Hunts.

Gezieltes Suchen findet bekannte Werte oder Muster. Stacking zählt Werte und untersucht seltene. Gruppierung und Clusteranalyse machen zusammengehörige Ereignisse sichtbar. Baselining vergleicht Aktivitäten im Zeitverlauf mit normalem Verhalten. Eine Zeitleiste kann anschließend Ausreißer mit anderen Handlungen auf dem Host verbinden.

Zähle Aufgabennamen und prüfe dann den Kontext

Ein Threat Hunter zählt Namen auf 2.000 Windows-Hosts:

„SysHealthCheck“ ist am seltensten und führt auf drei Hosts der Finanzabteilung die unsignierte Datei C:\Users\Public\svc.exe aus. Dieser Kontext macht die Aufgabe untersuchenswert. „BackupAgentDaily“ ist über die gesamte Systemlandschaft ebenfalls selten, gehört aber zu Software, die nur auf Servern installiert ist. Die Gruppierung nach Hostrolle erklärt ihre Häufigkeit.

Die Seltenheit bestimmt die Reihenfolge der Prüfung; die Klassifizierung braucht mehr Belege. Prüfe Prozessabstammung, Nutzer, Dateisignatur, Hashwert-Reputation, Netzwerkkontakte und Erstellungszeitpunkt. Klassifiziere ein Ergebnis als harmlos, verdächtig oder bösartig, je nachdem, was diese Prüfungen ergeben. Dokumentiere legitime Ausreißer in der Baseline.

Untersuche zeitliche Abstände als weiteren Ansatz

Ein Host kontaktiert 198.51.100.77 in Abständen von 300, 302, 298, 301, 299, 300, 303 und 297 Sekunden. Der Mittelwert beträgt 300 Sekunden und die Standardabweichung etwa 1,9 Sekunden: eine geringe Streuung. Menschliches Surfverhalten hat oft wesentlich unregelmäßigere Abstände.

Malware kann durch Beaconing Kontakt zu C2 aufnehmen und zufälligen Jitter hinzufügen, sodass die Abstände nahe einem typischen Intervall liegen, ohne identisch zu sein. Auch legitime Update- und Zeitdienste kontaktieren Ziele regelmäßig. Prüfe den auslösenden Prozess, die Historie des Ziels und die Verbreitung auf vergleichbaren Hosts, bevor du eine periodische Verbindung klassifizierst.

Handle und erhalte dabei die Beweismittel

Eskaliere bösartige Aktivitäten gemäß dem Prozess der Organisation an das Team zur Behandlung von Sicherheitsvorfällen. Stimme Maßnahmen mit den Einsatzkräften ab; vermeide das Löschen der Datei oder eine interaktive Anmeldung, wenn dadurch Beweismittel verändert oder Eindringlinge gewarnt werden.

Mache aus dem Hunt eine neue oder feinabgestimmte Regel, die Schließung einer Überwachungslücke, eine Konfigurationsänderung, Threat Intelligence zum Austausch oder eine verbesserte Baseline. Die PowerShell-Skriptblockprotokollierung zeichnet beispielsweise Ereignis 4104 auf und kann eine Lücke für spätere Analysen schließen.

Der Bericht hält Hypothese, Umfang, Quellen, Abfragen, Befunde, falsch positive Ergebnisse und zugewiesene Folgeaufgaben fest. Miss neben gefundenen Sicherheitsvorfällen auch erstellte Erkennungsregeln, geschlossene Lücken, untersuchte Techniken und die Zeit bis zum Ergebnis. Gespeicherte Abfragen und Notizen ermöglichen es dem nächsten Analysten, die nützliche Arbeit zu wiederholen oder zu automatisieren.

Aktive Verteidigung beschäftigt, verlangsamt oder untersucht einen Angreifer durch Abwehrmaßnahmen in der eigenen Umgebung der Organisation. Täuschung, dynamisches Blockieren und schnelle Eindämmung können sie unterstützen. Cyber Deception schafft Ressourcen, auf die legitime Nutzer aus geschäftlichen Gründen keinen Anlass haben zuzugreifen.

Wähle das Lockmittel nach dem Zweck

Ein Honeypot hat keinen produktiven Zweck. Ein Honeytoken kann sich in einer ansonsten realen Umgebung befinden: ein nie verwendetes Administratorkonto, ein gefälschter Cloud-Schlüssel, ein Köderdatensatz in einer Datenbank oder ein Kanariendokument, das Zugriffe meldet. Er braucht einen Alarmierungsweg, der festhält, worauf zugegriffen wurde und woher der Kontakt kam.

Leite die Schlussfolgerung aus der Platzierung ab

Ein gefälschter Dateiserver nahe den Assets der Finanzabteilung kann interne Erkundung oder laterale Bewegung aufdecken. Ein über das Internet erreichbarer Honeypot erhält überwiegend breit angelegte Scans und automatisierte Angriffe. Beide können nützliche Threat Intelligence sammeln, aber ein externer Scan allein liefert wenig Belege dafür, dass ein bestimmtes Unternehmen ausgewählt wurde.

Die erwartete Baseline ist entscheidend. Wenn echte Nutzer regelmäßig eine Köderdatei öffnen, vermischen ihre Alarmmeldungen gewöhnliche Aktivitäten mit dem interessierenden Verhalten. Gestalte Lockmittel für einen Eindringling plausibel und halte sie zugleich aus legitimen Arbeitsabläufen heraus. Berücksichtige bei der Prüfung von Kontakten bekannte Sicherheitsscanner.

Gehe von einem Kontakt zu einem Hunt über

Ein Unternehmen platziert FIN-BACKUP-02 im Netzwerk der Finanzabteilung. Der Server hat keine legitimen Nutzer und erwartet daher keine Verbindungen. Um 02:14 Uhr erhält er einen SMB-Verbindungsversuch von einem Arbeitsplatzrechner der Finanzabteilung.

Die Alarmmeldung liefert einen genauen Ansatzpunkt: Quellhost, Ziel, Dienst und Zeitpunkt. Der Threat Hunter untersucht die Aktivitäten dieses Arbeitsplatzrechners rund um den Kontakt und findet ein unbekanntes Programm in einer geplanten Aufgabe sowie Remote-Desktop-Anmeldungen mit einem Konto, das inaktiv sein sollte. Die kombinierten Belege treiben die Untersuchung voran; das Lockmittel hat einen verborgenen Pfad leichter erkennbar gemacht.

Ordne beobachtete Handlungen ATT&CK zu, sobald die Belege das zulassen. Halte den Kontakt selbst getrennt von Annahmen darüber, was vorher geschah oder welche Gruppe ihn verursachte. Der Honeypot kann zu einer internen Intelligence-Quelle werden, und der Hunt kann eine verhaltensbasierte Regel identifizieren, deren Automatisierung sich lohnt.

Begrenze das Risiko des Lockmittels

Isoliere Honeypots, beschränke ihren Zugriff auf Produktivsysteme und überwache sie eng, damit ein kompromittiertes Lockmittel nicht zum Ausgangspunkt eines Angriffs werden kann. High-Interaction-Systeme brauchen diese Sorgfalt besonders, weil sie echte Software ausführen. Veranlasse eine rechtliche und datenschutzrechtliche Prüfung der Erfassung, die Aktivitäten und Daten von Besuchern aufzeichnet. Beschränke den Umgang mit Angreifern auf autorisierte Systeme und Handlungen.

MITRE Engage hilft, Täuschung und die Beschäftigung von Angreifern anhand festgelegter Ziele zu planen. Täuschung ergänzt die Überwachung des SOC, die Threat Hunter und das Reaktionsteam. Ihr besonderer Wert ist eine Ressource mit einer Baseline legitimer Nutzung nahe null, keine vollständige Sicht auf jeden Angriffsweg.

Der Austausch lässt den Sicherheitsvorfall einer Organisation zur Frühwarnung einer anderen werden. Nützlicher Austausch umfasst neben Indikatoren auch Kontext, Vertrauensgrad und Regeln für den Umgang. Die NIST Special Publication 800-150 empfiehlt, Ziele, Umfang und Umgang für den Austausch zu vereinbaren, bevor der dringende Austausch beginnt.

Wähle Gemeinschaft und Plattform

Ein Information Sharing and Analysis Center (ISAC) dient einer Branche wie Finanzwesen, Gesundheitswesen oder Energie. Eine Information Sharing and Analysis Organization (ISAO) kann sich um ein anderes gemeinsames Interesse wie eine Region bilden. Nationale CERTs und CSIRTs koordinieren Sicherheitsvorfälle und veröffentlichen Warnungen. Beispiele sind CISA in den Vereinigten Staaten, das NCSC des Vereinigten Königreichs und CERT-EU für Institutionen der Europäischen Union.

Trage relevante Befunde bei, statt sie nur zu nutzen. MISP organisiert geteilte Ereignisse und Kennzeichnungen und kann die Server der Mitglieder synchronisieren. OpenCTI speichert verknüpfte Threat Intelligence in einem auf STIX aufgebauten Wissensgraphen. Open Threat Exchange (OTX) gruppiert zusammengehörige Indikatoren in „Pulses“ der Gemeinschaft. Die Plattform unterstützt den Austausch; die Regeln der Gemeinschaft bestimmen Inhalt und Empfängerkreis.

Trenne Inhalt und Transport

Structured Threat Information Expression (STIX) 2.1 ist die JSON-basierte Intelligence-Sprache von OASIS. Domänenobjekte beschreiben Indikatoren, Malware, Bedrohungsakteure, Angriffsgruppen, Angriffsmuster, Kampagnen, Schwachstellen und Handlungsoptionen. Beziehungsobjekte verbinden diese Konzepte; eine Sichtung hält fest, dass etwas beobachtet wurde.

Ein STIX-Indikator enthält ein Muster und ein Datum, ab dem er gültig ist. Beispielsweise beschreibt [domain-name:value = 'update-portal.example'] einen Domänentreffer. Das Muster identifiziert, wonach gesucht werden soll; das umgebende Objekt liefert Kontext und Gültigkeit.

Trusted Automated Exchange of Intelligence Information (TAXII) 2.1 transportiert STIX über HTTPS. Ein Server stellt Sammlungen bereit, die autorisierte Clients lesen und bei Erlaubnis ergänzen. STIX beschreibt die Threat Intelligence; TAXII transportiert sie. Keine der beiden Formatentscheidungen allein erteilt die Erlaubnis, einen Bericht weiterzugeben.

Wende TLP 2.0 an

Das Traffic Light Protocol (TLP) von FIRST teilt mit, welche Offenlegung erlaubt ist:

TLP 2.0, 2022 veröffentlicht, ersetzte TLP:WHITE durch TLP:CLEAR. TLP ist eine Weitergabekonvention, keine Verschlüsselung und kein Sicherheitsklassifizierungssystem.

Bei einem TLP:AMBER-Bericht eines ISAC darf der Empfänger sein SOC und Kunden informieren, die Schutz benötigen. Er darf den Bericht nicht öffentlich veröffentlichen oder an die gesamte Gemeinschaft weiterleiten. Eine breitere Offenlegung erfordert die Erlaubnis der Quelle.

Bereite den Bericht für seinen erlaubten Empfängerkreis vor

Entferne vor der Weitergabe unnötige personenbezogene Daten, interne Hostnamen und Einzelheiten, die Opfer identifizierbar machen. Prüfe geltende Datenschutzanforderungen, Verträge, Vertraulichkeitsvereinbarungen und Einwilligungen. Bewahre nützliche Indikatoren und Verhaltensbeschreibungen und vermeide nach Möglichkeit, die Identität des Opfers offenzulegen. Einen Bericht zu bereinigen und seine TLP-Kennzeichnung zu beachten sind getrennte Aufgaben: Das Entfernen eines Hostnamens erweitert die ursprüngliche Weitergabeerlaubnis nicht.

Intelligence-gestützte Verteidigung richtet den Aufwand auf Angreifer und Verhaltensweisen, die für die Organisation wichtig sind. Dieselben Belege können Reaktionsprioritäten, Patches, Geschäftsrisikoschätzungen, Architektur und Erkennung verändern.

Verbinde Threat Intelligence mit fünf Bereichen

Für die Sicherheitsentwicklung legen gestohlene VPN-Zugangsdaten phishingresistente MFA nahe. Das Auslesen des LSASS-Arbeitsspeichers legt Credential Guard und beschränkte Administrator- und Debugberechtigungen nahe. RDP-basierte Bewegung legt strengeren RDP-Zugriff und Segmentierung nahe. Die Sicherheitsmaßnahme richtet sich nach der beobachteten Methode und der Umgebung, die sie betreffen kann.

Unterscheide Schweregrad und Ausnutzung

Das Common Vulnerability Scoring System (CVSS) beschreibt den technischen Schweregrad auf einer Skala von 0–10. Der Known Exploited Vulnerabilities (KEV) Catalog der CISA identifiziert Schwachstellen mit zuverlässigen Belegen für ihre tatsächliche Ausnutzung. Das Exploit Prediction Scoring System (EPSS) von FIRST schätzt die Wahrscheinlichkeit von 0 bis 1 für eine Ausnutzung in den nächsten 30 Tagen. Keines davon beschreibt allein das gesamte Geschäftsrisiko des betroffenen Assets.

Vergleiche zwei Befunde. A hat CVSS 9,8, EPSS 0,03, keinen KEV-Eintrag und befindet sich auf einem internen Testserver. B hat CVSS 7,5, EPSS 0,92, einen KEV-Eintrag und betrifft das kritische, über das Internet erreichbare VPN-Gateway. B kommt zuerst, weil aktuelle Ausnutzung, Exposition und geschäftliche Bedeutung zusammenwirken. Eine Priorisierung allein nach CVSS würde diese Fakten übersehen. Dass ein Eintrag im KEV-Katalog fehlt, lässt weiterhin Unsicherheit über die Ausnutzung; es belegt keine Sicherheit.

Untersuche einen Entwurf mit STRIDE

Bedrohungsmodellierung untersucht einen Systementwurf vor einem Angriff. Microsofts STRIDE gruppiert Bedrohungen nach der gefährdeten Sicherheitseigenschaft:

Threat Intelligence ergänzt, welche Bedrohungen relevante Angreifer derzeit nutzen. Sie hilft, die Entwurfsprüfung zu priorisieren, ohne Bedrohungsmodellierung auf eine Liste aktueller Malware-Namen zu reduzieren.

Mache Entscheidungen zu messbaren Ergebnissen

Indikatoren können in SIEM-Beobachtungslisten, EDR-Sperrlisten und DNS-Filter einfließen. Sigma beschreibt häufig Regeln zur Protokollerkennung; YARA beschreibt Regeln für Dateimuster. Verhaltensbasierte Regeln brauchen weiterhin die richtigen Daten, Tests und Feinabstimmung.

Miss erstellte Erkennungsregeln, die Zeit vom Empfang bis zur Anwendung eines Indikators, mithilfe von Threat Intelligence gefundene Sicherheitsvorfälle und gedeckten Informationsbedarf. Frage die Empfänger, ob das Produkt eine Entscheidung verändert hat. Ihre Rückmeldung aktualisiert den Informationsbedarf, während Vorfall- und Hunting-Befunde die nächste Runde von Belegen ergänzen.