Threat Hunting
Threat Hunting (proaktive Bedrohungssuche)
Threat Hunting
Threat Hunting ist die proaktive, hypothesengeleitete Suche nach Angreifern, die bereits im Netz sind, aber von automatischen Alarmen noch nicht erfasst wurden. Statt auf einen Alarm zu warten, geht der Hunter aktiv auf die Jagd nach verdächtigen Spuren. Es ist die Antwort auf die Erkenntnis, dass kein Erkennungssystem alles fängt.
Historie & Fakten. Threat Hunting setzt dort an, wo signatur- und regelbasierte Erkennung endet: bei neuartigen, getarnten oder besonders behutsam vorgehenden Angreifern (siehe Fortgeschrittene, andauernde Bedrohung (APT)). Der Hunter bildet Hypothesen — etwa „Wenn ein Angreifer diese Technik nutzt, müsste sich das so und so in unseren Daten zeigen“ — und prüft sie systematisch gegen Logs, Endpunkt- und Netzdaten. Als Orientierung dient häufig MITRE Wissensbasis gegnerischer Taktiken und Techniken (ATT&CK), das Taktiken und Techniken realer Angreifer katalogisiert. Voraussetzung ist gute Sichtbarkeit: ohne ausreichende, zentral verfügbare Telemetrie keine Jagd.
Ausblick & Empfehlung. Threat Hunting ist anspruchsvoll und lebt von erfahrenen Analysten, guten Daten und solider Cyber Threat Intelligence (Threat Intelligence), die Hypothesen speist. Es lässt sich teilweise durch Automatisierung und Künstliche Intelligenz (KI) unterstützen, ersetzt aber nicht das menschliche Urteil. Sinnvoll ist ein wiederkehrender, dokumentierter Prozess, dessen Funde in neue Erkennungsregeln zurückfließen. Im Rahmen von Sicherheits-Leitstand / Security Operations Center (SOC)- und Verwaltete Erkennung und Reaktion (MDR)-Diensten gehört das Hunting zum Leistungsbild von NEOSEC — gerade für Kunden, die davon ausgehen müssen, ein lohnendes Ziel zu sein.