Cyber Threat Intelligence (CTI).

Cyber Threat Intelligence (CTI) ist die Disziplin, Informationen über Cyberbedrohungen zu sammeln, aufzubereiten, zu analysieren und zu verteilen, damit Verteidiger bessere Entscheidungen treffen können. Sie wandelt Rohsignale (Malware-Samples, geleakte Zugangsdaten, Darknet-Chatter, Telemetrie) in kuratierte Erkenntnisse darüber um, wer die Organisation angreift, was er will und wie er vorgeht.

CTI-Arbeit wird durch bekannte Modelle strukturiert. Der Intelligence Cycle (Direction → Collection → Processing → Analysis → Dissemination → Feedback) steuert den Ablauf, während analytische Frameworks wie Lockheed Martins Cyber Kill Chain, das Diamond Model of Intrusion Analysis und MITRE ATT&CK den Analysten ein gemeinsames Vokabular für Angreifer, Fähigkeit, Infrastruktur und Opfer geben. CTI wird typischerweise in strategische, operative und taktische Ebenen unterteilt, die jeweils unterschiedliche Zielgruppen ansprechen – vom Vorstand bis zum SOC-Analysten.

Indikatoren und Reports werden üblicherweise in STIX (strukturiertes Datenformat) über TAXII (Transportprotokoll) ausgetauscht, sodass ISACs und Anbieter maschinenlesbare Intelligence in großem Umfang teilen können. Reife Programme speisen CTI in SIEM, EDR, Schwachstellenmanagement und Incident Response ein – etwa durch Priorisierung von Patches für ein CVE, das ein bekannter Branchen-Akteur aktiv ausnutzt – und verkürzen so Erkennungs- und Reaktionszeiten und wandeln reaktive Verteidigung in Antizipation.

flowchart LR
  A[Direction] --> B[Collection]
  B --> C[Processing]
  C --> D[Analysis]
  D --> E[Dissemination]
  E --> F[Feedback]
  F --> A
  D --> G[Strategisch: Vorstand]
  D --> H[Operativ: IR / Hunting]
  D --> I[Taktisch: SOC / SIEM]