Threat Intelligence: Bedrohungen erkennen, bevor sie zuschlagen

Woher weiß ein Unternehmen eigentlich, wer es auf seine Branche abgesehen hat? Die meisten Sicherheitsmaßnahmen befassen sich nicht vorher mit dieser Frage, sondern reagieren auf das, was bereits geschieht. Threat Intelligence dreht diese Reihenfolge um, indem sie Informationen über Angreifer, ihre Werkzeuge und ihr Vorgehen sammelt, bevor der erste Angriff auf das eigene Netz trifft. Dieser Beitrag erklärt, was hinter dem Begriff Threat Intelligence steckt, welche Arten es gibt, wie die Informationen entstehen und wo der Ansatz an seine Grenzen stößt.

Inhaltsverzeichnis

Was ist Threat Intelligence? Definition und Abgrenzung zur Bedrohungsanalyse

Threat Intelligence oder Cyber Threat Intelligence, kurz CTI, bezeichnet gesammeltes, geprüftes und eingeordnetes Wissen über Cyberbedrohungen. Dazu gehören die Angreifergruppen selbst, ihre Motive, die von ihnen genutzten Werkzeuge sowie die technischen Merkmale, an denen sich ihre Aktivität erkennen lässt. Im Deutschen findet sich dafür die Bezeichnung Bedrohungsanalyse, die den Kern gut trifft, denn es geht um Analyse und nicht um bloßes Sammeln. In der Fachsprache hält sich nach wie vor eher der englische Begriff.

Warum aus Daten erst durch Kontext Cyber Threat Intelligence wird

Eine Liste verdächtiger IP-Adressen ist noch keine Threat Intelligence, sondern nur ein Datensatz. Der Unterschied liegt in der Einordnung: Wer steht hinter dieser Adresse, welche Branche greift diese Gruppe bevorzugt an, mit welchem Ziel, und welche Bedeutung hat das für das eigene Unternehmen? Erst wenn diese Fragen beantwortet sind, entsteht daraus eine Grundlage für Entscheidungen.

Diese Unterscheidung ist praktisch bedeutsam, weil sich hinter dem Begriff Verschiedenes verbergen kann, von reinen Datenlieferungen bis zur eingeordneten Analyse. Ohne den Bezug zur eigenen Umgebung entstehen vor allem zusätzliche Meldungen, die niemand abarbeitet.

Die Arten von Threat Intelligence: strategisch, operativ, taktisch, technisch

Für die Einteilung haben sich zwei Konventionen etabliert, die beide nach Empfängerkreis und Zeithorizont ordnen. Verbreitet ist eine Dreiteilung in strategisch, operativ und taktisch. Daneben steht eine Vierteilung, die die maschinell verwertbaren Einzelmerkmale als eigene technische Ebene ausweist. Der Unterschied ist lediglich eine Frage der Darstellung.

Strategisch: Langfristige Entwicklungen, Motive von Angreifergruppen und die Bedrohungslage ganzer Branchen. Diese Ebene richtet sich an die Geschäftsführung und dient der Risikoplanung, nicht der technischen Abwehr.
Operativ: Wissen über konkrete, absehbare Kampagnen und über die Frage, wer gerade wen angreift. Diese Ebene hilft, die eigene Betroffenheit einzuschätzen.
Taktisch: Das typische Vorgehen der Angreifer, also ihre Taktiken, Techniken und Abläufe. Diese Ebene richtet sich an die Verantwortlichen für Systemarchitektur und Erkennungsregeln und hilft, Angriffsmuster wiederzuerkennen.
Technisch: Konkrete Merkmale eines Angriffs, sogenannte Indicators of Compromise, kurz IoC. Dazu zählen etwa Prüfsummen von Schaddateien, Domainnamen oder Serveradressen. Sie lassen sich automatisiert in Schutzsysteme einspeisen, sind dafür aber besonders kurzlebig.

Für den Mittelstand sind vor allem die technische und die taktische Ebene unmittelbar verwertbar, weil sie sich direkt in Erkennungsregeln übersetzen lassen. Die strategische Ebene entfaltet ihren Wert eher in der Budgetplanung als im Tagesbetrieb.

Woher die Daten stammen: Quellen und Threat Intelligence Feeds

Die Informationen speisen sich aus mehreren Richtungen. Öffentlich zugängliche Quellen liefern Meldungen von Behörden, Herstellern und Forschungseinrichtungen. Geschlossene Kreise wie etwa Branchenverbünde tauschen Erkenntnisse untereinander aus. Beobachtungen aus dem Darknet zeigen, ob Zugangsdaten oder interne Dokumente eines Unternehmens bereits gehandelt werden. Hinzu kommen die eigenen Protokolldaten, deren Wert leicht übersehen wird, obwohl sie die einzige Quelle sind, die etwas über das eigene Unternehmen aussagen kann.

Ein Threat Intelligence Feed ist dabei nichts anderes als ein fortlaufend aktualisierter Datenstrom, meist mit taktischen Merkmalen, den Sicherheitssysteme automatisiert einlesen. Entscheidend ist weniger die Menge solcher Feeds als ihre Passgenauigkeit. Ein Datenstrom über Angriffe auf Industriesteuerungen nützt beispielsweise einer Anwaltskanzlei wenig. Vor dem Einkauf von Threat Intelligence muss deshalb erst festgelegt werden, welche Branche, welche Systeme und welche Angreifergruppen überhaupt relevant sind.

Vom Rohdatensatz zur Entscheidung: der Kreislauf der Threat Intelligence

Die Arbeit mit Threat Intelligence folgt einem wiederkehrenden Ablauf, der in der Fachwelt als Kreislauf beschrieben wird.

Bedarf festlegen. Welche Fragen sollen beantwortet werden und für wen? Ohne diesen Schritt wird gesammelt, was verfügbar ist, statt was gebraucht wird.
Daten erfassen. Aus den genannten Quellen werden Rohdaten zusammengetragen.
Aufbereiten. Formate werden vereinheitlicht, Dubletten entfernt, offensichtliches Rauschen aussortiert.
Analysieren. Die Daten werden bewertet und in Bezug zur eigenen Umgebung gesetzt. Hier entsteht der eigentliche Mehrwert.
Verteilen. Die Erkenntnisse gehen an die Stellen, die daraus etwas machen können, technisch an die Schutzsysteme, inhaltlich an die Verantwortlichen.
Rückmeldung einholen. War die Information nützlich? Die Antwort steuert, was künftig gesammelt wird.

Der letzte Schritt entscheidet darüber, ob aus dem Aufwand ein dauerhafter Nutzen wird oder ein Archiv, das niemand liest.

Threat Intelligence und Threat Hunting: der Unterschied

Beide Begriffe werden häufig vermischt, meinen aber verschiedene Tätigkeiten. Threat Intelligence beschafft Wissen über Bedrohungen, die außerhalb des eigenen Unternehmens existieren. Threat Hunting sucht aktiv im eigenen Netz nach Angreifern, die den vorhandenen Schutzmechanismen bereits entgangen sind.

Das eine liefert die Hypothese, das andere prüft sie. Wenn bekannt wird, dass eine Gruppe eine bestimmte Technik einsetzt, um sich dauerhaft festzusetzen, entsteht daraus eine gezielte Suche in den eigenen Systemen. Ohne solche Vorinformation ist die Suche deutlich aufwendiger, weil sie ohne Anhaltspunkt beginnt. Möglich bleibt sie trotzdem, etwa als Suche nach Abweichungen vom normalen Verhalten der eigenen Systeme oder als gezielte Prüfung besonders kritischer Konten. Am wirksamsten sind beide Disziplinen zusammen, denn Threat Intelligence ohne die Fähigkeit zur Suche bleibt folgenlos, und die Suche gewinnt durch gute Vorinformation erheblich an Treffsicherheit.

Was Threat Intelligence nach einem Sicherheitsvorfall leistet

Der Nutzen endet nicht mit der Prävention. Ist ein Angriff bereits erfolgt, hilft das Wissen der Threat Intelligence bei der Aufklärung des Vorfalls.

Aus unserer Praxis heraus hilft Threat Intelligence dabei in drei Punkten. Erstens die Einordnung: Passen die gefundenen Spuren zu einer bekannten Vorgehensweise? Das verkürzt die Untersuchung erheblich, weil sich daraus ableiten lässt, wo weitere Spuren zu erwarten sind. Zweitens die Vollständigkeit: Wer weiß, welche Werkzeuge eine Gruppe üblicherweise kombiniert, sucht gezielt nach den übrigen Bestandteilen, statt sich auf den zuerst gefundenen zu beschränken. Drittens die Bewertung des Schadens: Ist bekannt, worauf es einer Gruppe gewöhnlich ankommt, lässt sich besser einschätzen, welche Daten im Fokus standen.

Damit wird aus einem Präventionswerkzeug ein Beschleuniger für die forensische Aufarbeitung. Voraussetzung ist allerdings, dass verwertbare Spuren überhaupt vorliegen, weshalb Threat Intelligence und eine vorbereitete Protokollierung Hand in Hand gehen.

Threat Intelligence nutzen, ohne eigenes SOC

Die meisten Darstellungen setzen ein eigenes Sicherheitsteam voraus, das rund um die Uhr Meldungen auswertet. Für viele mittelständische Unternehmen ist das unrealistisch. Trotzdem gibt es sinnvolle Einstiege.

Eine Threat Intelligence Platform ist eine Software, die Daten aus verschiedenen Quellen zusammenführt, bewertet und an Schutzsysteme weitergibt. Sie ist sinnvoll, sobald mehrere Quellen zusammenlaufen, setzt aber fachkundiges Personal voraus, das mit den Ergebnissen arbeitet. Ohne dieses Personal verlagert eine Plattform das Problem nur.

Pragmatischer beginnt der Einstieg an anderer Stelle. Hilfreich ist es, die Warnmeldungen der zuständigen Behörden und Branchenverbünde zum eigenen Sektor zu verfolgen. Ebenso lohnt eine Prüfung, ob Zugangsdaten des Unternehmens bereits im Darknet gehandelt werden, was ein konkretes und sofort verwertbares Signal darstellt. Die eigenen Protokolldaten gehören zentral gesammelt, damit externe Erkenntnisse überhaupt mit der eigenen Umgebung abgeglichen werden können. Und schließlich lässt sich prüfen, ob die laufende Auswertung an einen spezialisierten Dienstleister vergeben werden kann, wenn eine dauerhafte Beobachtung im eigenen Haus nicht darstellbar ist.

Wo Threat Intelligence an Grenzen stößt

Threat Intelligence zeigt das Bekannte. Ein Angriff über eine bislang unbekannte Schwachstelle ist in aller Regel in keiner Quelle beschrieben, bevor er zum ersten Mal beobachtet wurde. Die Methode ersetzt deshalb kein Patch-Management und keine Härtung der eigenen Systeme.

Hinzu kommt die Aktualität. Technische Merkmale wie Serveradressen sind oft nur Tage gültig, weil Angreifer ihre Infrastruktur wechseln. Wer sich allein darauf verlässt, verteidigt gegen die Vergangenheit. Und schließlich gilt auch: Ein Teil der Erkenntnisse lässt sich automatisiert in Schutzsysteme einspeisen, für den Rest braucht es die Fähigkeit, die eigene Umgebung gezielt zu durchsuchen. Wissen über eine Bedrohung nützt nur, wenn sich prüfen lässt, ob das eigene Unternehmen betroffen ist.

Threat Intelligence wirkt erst, wenn sie zur eigenen Umgebung passt

Der Wert liegt nicht in der Menge der Informationen, sondern in ihrer Anschlussfähigkeit. Eine einzige Erkenntnis, die zu einem echten Risiko des eigenen Unternehmens passt und in eine Erkennungsregel übersetzt wird, wiegt mehr als ein Dutzend abonnierter Datenströme, die niemand liest.

Der sinnvolle Weg zu nutzbarer Threat Intelligence beginnt deshalb nicht beim Zukauf von Daten, sondern bei zwei Fragen: Was ist im eigenen Unternehmen wirklich schützenswert, und ist überhaupt die Möglichkeit vorhanden, ein Warnsignal in den eigenen Systemen zu überprüfen? Wer diese beiden Fragen beantwortet hat, weiß auch, welche Informationen er braucht.

Ob es um die Frage geht, welche Unternehmensdaten bereits im Umlauf sind, um eine belastbare Grundlage für die eigene Überwachung oder um die forensische Aufarbeitung eines Vorfalls: Im Ernstfall ist unser Team rund um die Uhr erreichbar. Eine direkte Kontaktaufnahme ist jederzeit möglich.

Häufig gestellte Fragen zu Threat Intelligence

Was versteht man unter Threat Intelligence?

Threat Intelligence ist gesammeltes, geprüftes und eingeordnetes Wissen über Cyberbedrohungen. Dazu gehören Angreifergruppen, ihre Motive und Werkzeuge sowie technische Merkmale, an denen sich ein Angriff erkennen lässt. Im Deutschen spricht man von Bedrohungsanalyse.

Was ist der Unterschied zwischen Threat Intelligence und Threat Hunting?

Threat Intelligence beschafft Wissen über Bedrohungen außerhalb des eigenen Unternehmens. Threat Hunting sucht aktiv im eigenen Netz nach Angreifern, die bestehende Schutzmechanismen umgangen haben. Das eine liefert die Hypothese, das andere prüft sie im eigenen System.

Was sind Indicators of Compromise?

Indicators of Compromise, kurz IoC, sind konkrete technische Merkmale eines Angriffs, etwa Prüfsummen von Schaddateien, auffällige Domainnamen oder Serveradressen. Sie lassen sich automatisiert in Schutzsysteme einspeisen. Ihre Aussagekraft ist allerdings begrenzt haltbar, besonders bei Serveradressen und Domainnamen, die Angreifer schnell wechseln.

Welche Arten von Threat Intelligence gibt es?

Verbreitet ist eine Dreiteilung in strategisch, operativ und taktisch. Daneben ist eine Vierteilung gebräuchlich, die zusätzlich eine technische Ebene ausweist. Die Ebenen unterscheiden sich nach Empfängerkreis und Zeithorizont, von langfristigen Branchentrends für die Geschäftsführung bis zu kurzlebigen Einzelmerkmalen für die Abwehrsysteme.

Was leistet eine Threat Intelligence Platform?

Eine solche Plattform führt Daten aus verschiedenen Quellen zusammen, bewertet sie und gibt sie an Schutzsysteme weiter. Sie ist sinnvoll, sobald mehrere Quellen zusammenlaufen, ersetzt aber nicht die Fachleute, die mit den Ergebnissen arbeiten.