Threat Intelligence
Cyber Threat Intelligence
Cyber Threat Intelligence (CTI)
Auch bekannt als: CTI
Threat Intelligence ist aufbereitetes Wissen über Bedrohungen — über Angreifer, ihre Werkzeuge, Vorgehensweisen und Indikatoren —, das aus Rohdaten zu handlungsrelevanten Erkenntnissen verdichtet wird. Sie beantwortet nicht nur „Was ist passiert?“, sondern „Wer bedroht uns wie, und was tun wir dagegen?“. Gute Threat Intelligence verwandelt Daten in Entscheidungen.
Historie & Fakten. Üblich ist eine Unterscheidung in drei Ebenen: strategisch (Lagebild und Trends für die Leitung), operativ (Kampagnen, Akteure, deren Taktiken, Techniken und Prozeduren — siehe TTP) und taktisch (konkrete, maschinenverwertbare Indikatoren wie Internetprotokoll (IP)-Adressen, Hashes oder Domains). Quellen reichen von offenen Daten (OSINT) über kommerzielle Feeds und Austauschgemeinschaften bis zu eigenen Beobachtungen, etwa aus Honeypots. Standards und Plattformen wie Austauschformat für Bedrohungsinformationen (STIX)/TAXII und Offene Threat-Intelligence-Sharing-Plattform (MISP) ermöglichen den strukturierten Austausch. Entscheidend ist die Veredelung: Rohdaten werden erst durch Bewertung, Kontext und Bezug zur eigenen Umgebung zu „Intelligence“.
Ausblick & Empfehlung. Der häufigste Fehler ist, Feeds zu abonnieren, ohne sie zu nutzen — Indikatoren ohne Kontext erzeugen vor allem Rauschen. Wertvoll wird Threat Intelligence, wenn sie priorisiert (was ist für meine Branche und meine Systeme relevant?), automatisiert in Sicherheitsinformations- und Ereignis-Management (SIEM) und Erkennung einfließt und konkrete Maßnahmen auslöst. NEOSEC betreibt mit der Plattform intel.neosec.eu genau diesen Veredelungsprozess: Indikatoren werden gesammelt, dedupliziert, priorisiert und für die Erkennung in Erweitertes Sicherheitsvorfall- und Ereignis-Management (XIEM)® nutzbar gemacht. So entsteht aus der Flut der Bedrohungsdaten ein handhabbarer, relevanter Strom.