Threat Intelligence
Was ist Threat Intelligence?
Threat IntelligenceEvidenzbasiertes Wissen über Bedrohungen und Akteure — inklusive Indikatoren, TTPs und Kontext — zur Steuerung von Sicherheitsentscheidungen und Detection.
Threat Intelligence ist die strukturierte Erhebung, Aufbereitung, Analyse und Verbreitung von Informationen über Angreifer, ihre Motivation, Fähigkeiten und Infrastrukturen. Rohdaten (Malware-Samples, IPs, Domains, geleakte Zugangsdaten, Darknet-Chatter, Vulnerability-Reports) werden durch Kontext, Konfidenzbewertung und eine relevante Zielgruppe in handlungsleitende Intelligence verwandelt. Die meisten Programme durchlaufen eine Form des Intelligence-Zyklus — Steuerung, Erhebung, Aufbereitung, Analyse, Verbreitung und Feedback —, damit das Ergebnis an konkrete Entscheidungen gebunden ist und nicht an rohe Feeds.
Ein nützliches Priorisierungsmodell ist David Biancos Pyramid of Pain (Schmerz-Pyramide, 2013): Indikatoren werden danach geordnet, wie schmerzhaft es für einen Angreifer ist, sie zu ändern. Hash-Werte und IP-Adressen liegen unten (trivial rotierbar), darüber Domainnamen, Host- und Netzwerk-Artefakte, Tools und schließlich an der Spitze die TTPs — Verhaltensweisen, die ein Akteur nicht ohne Weiteres aufgeben kann. Detection auf TTP-Ebene (abgebildet auf MITRE ATT&CK) verursacht weit höhere Kosten als das Blockieren einer Wegwerf-IP. Organisationen tauschen Intelligence über strukturierte Formate und Feeds aus — STIX/TAXII, MISP, Hersteller-Reports und Branchen-ISACs —, um SIEM- und EDR-Detection anzureichern, Patching zu steuern (etwa durch Korrelation von CISA-KEV-Einträgen mit exponierten Assets) und Risikoentscheidungen auf Führungsebene zu unterstützen. Intelligence wird üblicherweise nach Zielgruppe und Zeithorizont in strategische, operative und taktische Ebenen klassifiziert; der Wert der Disziplin hängt von Relevanz, Aktualität und Genauigkeit ab, nicht von der Menge der Indikatoren.
flowchart LR A[Steuerung<br/>Intelligence-Anforderungen] --> B[Erhebung<br/>Feeds, OSINT, Darknet] B --> C[Aufbereitung<br/>normalisieren, deduplizieren] C --> D[Analyse<br/>Kontext, Attribution, ATT&CK] D --> E[Verbreitung<br/>STIX/TAXII, TIP, Reports] E --> F[Konsumenten<br/>SIEM, EDR, IR, Führung] F --> A
● Beispiele
- 01
Ein ISAC teilt IoCs zu einem neuen Ransomware-Affiliate Stunden vor dessen Angriffen auf Mitglieder.
- 02
Eine TIP reichert SIEM-Events mit Akteurszuschreibung, MITRE-ATT&CK-Techniken und Konfidenzwerten an.
● Häufige Fragen
Was ist Threat Intelligence?
Evidenzbasiertes Wissen über Bedrohungen und Akteure — inklusive Indikatoren, TTPs und Kontext — zur Steuerung von Sicherheitsentscheidungen und Detection. Es gehört zur Kategorie Verteidigung und Betrieb der Cybersicherheit.
Was bedeutet Threat Intelligence?
Evidenzbasiertes Wissen über Bedrohungen und Akteure — inklusive Indikatoren, TTPs und Kontext — zur Steuerung von Sicherheitsentscheidungen und Detection.
Wie schützt man sich gegen Threat Intelligence?
Schutzmaßnahmen gegen Threat Intelligence kombinieren typischerweise technische Kontrollen und operative Praktiken, wie in der Definition oben beschrieben.
Welche anderen Bezeichnungen gibt es für Threat Intelligence?
Übliche alternative Bezeichnungen: TI.