Threat Intelligence einfach erklärt

Threat Intelligence bezeichnet aufbereitete Informationen über aktuelle und mögliche Cyberbedrohungen. Dafür werden Daten aus internen und externen Quellen gesammelt, analysiert, bewertet und mit Kontext angereichert.

Ziel ist es, relevante Bedrohungen frühzeitig zu erkennen, Sicherheitsmaßnahmen gezielt anzupassen und fundierte Entscheidungen bei der Prävention und Behandlung von Cyberangriffen zu treffen.

Was ist Threat Intelligence?

Nicht jede Liste verdächtiger IP-Adressen oder Schadsoftware-Hashes ist bereits Threat Intelligence. Erst durch Bewertung und Kontext entstehen verwertbare Bedrohungsinformationen.

Threat Intelligence beantwortet beispielsweise folgende Fragen:

• Welche Angreifer sind für das Unternehmen relevant?
• Welche Systeme und Branchen werden aktuell angegriffen?
• Welche Methoden und Werkzeuge kommen dabei zum Einsatz?
• Welche Schwachstellen werden aktiv ausgenutzt?
• Woran lässt sich ein Angriff erkennen?
• Welche Schutzmaßnahmen sollten priorisiert werden?

Die Ergebnisse können technische Sicherheitsteams, ein Security Operations Center, die Incident Response und das Management unterstützen.

Welche Quellen werden verwendet?

Threat Intelligence kann aus internen und externen Datenquellen stammen.

Interne Quellen

Interne Informationen zeigen, welche Aktivitäten in der eigenen IT-Umgebung auftreten.

Dazu gehören:

• SIEM-Ereignisse
• EDR- und XDR-Daten
• Firewall- und Proxy-Protokolle
• E-Mail-Sicherheitsmeldungen
• Ergebnisse aus Sicherheitsvorfällen
• Schwachstellenscans
• Erkenntnisse aus forensischen Untersuchungen
• Meldungen von Mitarbeitenden

Externe Quellen

Externe Quellen liefern Informationen zu Bedrohungen außerhalb des eigenen Unternehmens.

Mögliche Quellen sind:

• CERTs und Behörden
• Hersteller von Sicherheitslösungen
• Open-Source-Intelligence
• kommerzielle Threat-Intelligence-Anbieter
• Informationsaustausch innerhalb einer Branche
• Schwachstellendatenbanken
• Malware-Analysen
• veröffentlichte Sicherheitsberichte

Die Qualität der Informationen kann stark variieren. Quellen müssen deshalb hinsichtlich Aktualität, Zuverlässigkeit und Relevanz bewertet werden.

Welche Arten von Threat Intelligence gibt es?

Strategische Threat Intelligence

Strategische Informationen richten sich vor allem an Management, Informationssicherheitsverantwortliche und Risikomanagement.

Sie behandeln beispielsweise:

• langfristige Bedrohungstrends
• besonders gefährdete Branchen
• geopolitische Entwicklungen
• Motive und Ziele von Angreifern
• Risiken für Geschäftsmodelle und Lieferketten

Strategische Threat Intelligence hilft bei Investitionsentscheidungen und der langfristigen Sicherheitsplanung.

Taktische Threat Intelligence

Taktische Informationen beschreiben, wie Angreifer vorgehen. Im Mittelpunkt stehen ihre Taktiken, Techniken und Verfahren, kurz TTPs.

Dazu gehören beispielsweise:

• eingesetzte Phishing-Methoden
• Umgehung von Sicherheitskontrollen
• Erlangung höherer Berechtigungen
• Lateral Movement
• Datendiebstahl
• Persistenz in kompromittierten Systemen

Diese Erkenntnisse helfen Blue Teams und SOC-Analysten, Erkennungsregeln und Schutzmaßnahmen an realistische Angriffsmethoden anzupassen.

Operative Threat Intelligence

Operative Threat Intelligence bezieht sich auf konkrete oder bevorstehende Angriffskampagnen.

Sie kann Informationen enthalten über:

• betroffene Organisationen oder Branchen
• Ziele einer Kampagne
• verwendete Infrastruktur
• zeitliche Abläufe
• eingesetzte Schadsoftware
• vermutete Angreifergruppen

Solche Informationen können besonders wertvoll sein, sind jedoch häufig nur begrenzt verfügbar und schnell veraltet.

Technische Threat Intelligence

Technische Informationen bestehen aus konkreten Merkmalen, die zur Erkennung beitragen können.

Typische Indicators of Compromise, kurz IoCs, sind:

• IP-Adressen
• Domains
• URLs
• Datei-Hashes
• E-Mail-Adressen
• Dateinamen
• Zertifikate
• bestimmte Registry-Einträge

IoCs lassen sich automatisiert in SIEM-, EDR-, Firewall- oder E-Mail-Sicherheitslösungen einbinden. Sie haben jedoch häufig nur eine kurze Gültigkeit, weil Angreifer ihre Infrastruktur schnell verändern können.

Was sind Indicators of Compromise?

Indicators of Compromise sind technische Hinweise darauf, dass ein System möglicherweise angegriffen oder bereits kompromittiert wurde.

Ein Treffer bedeutet nicht automatisch, dass tatsächlich ein Sicherheitsvorfall vorliegt. Eine IP-Adresse kann beispielsweise gemeinsam von zahlreichen legitimen und schädlichen Diensten genutzt werden.

IoCs müssen deshalb mit weiteren Informationen kombiniert werden, etwa:

• Zeitpunkt des Ereignisses
• betroffener Benutzer
• ausgeführter Prozess
• Zielsystem
• Umfang der Kommunikation
• vorherige und nachfolgende Aktivitäten

Der Kontext entscheidet darüber, wie relevant ein technischer Indikator ist.

Wie wird Threat Intelligence eingesetzt?

Threat Intelligence kann verschiedene Sicherheitsprozesse unterstützen:

• Anreicherung von SIEM-Alarmen
• Priorisierung von Schwachstellen
• Erkennung verdächtiger Verbindungen
• Blockierung bekannter schädlicher Infrastruktur
• Entwicklung neuer Erkennungsregeln
• Unterstützung bei Threat Hunting
• Vorbereitung auf aktuelle Angriffskampagnen
• Analyse von Sicherheitsvorfällen
• Bewertung von Lieferantenrisiken
• Information des Managements

Ein Unternehmen könnte beispielsweise eine Schwachstelle bevorzugt schließen, wenn bekannt wird, dass sie aktiv gegen vergleichbare Organisationen ausgenutzt wird.

Threat Intelligence und klassische Bedrohungserkennung

Klassische Sicherheitslösungen erkennen verdächtige Dateien, Prozesse oder Netzwerkaktivitäten anhand lokaler Regeln und Verhaltensanalysen.

Threat Intelligence ergänzt diese Erkennung um externes und internes Bedrohungswissen. Dadurch lässt sich ein Ereignis besser einordnen.

Ein unbekannter Verbindungsversuch kann durch zusätzliche Informationen beispielsweise als Teil einer aktuellen Angriffskampagne erkannt werden.

Threat Intelligence ersetzt jedoch keine Firewall, kein EDR und kein SIEM. Sie verbessert deren Erkennungs- und Bewertungsmöglichkeiten.

Welche Herausforderungen gibt es?

Eine große Menge an Bedrohungsdaten führt nicht automatisch zu besserer Sicherheit.

Typische Herausforderungen sind:

• veraltete oder falsche IoCs
• zu viele Daten ohne ausreichenden Kontext
• geringe Relevanz für das eigene Unternehmen
• doppelte Informationen aus mehreren Quellen
• Fehlalarme durch ungenaue Indikatoren
• fehlende Prozesse zur Nutzung der Erkenntnisse
• hoher Aufwand für Bewertung und Pflege
• rechtliche Vorgaben beim Informationsaustausch

Threat Intelligence sollte deshalb auf das eigene Risikoprofil, die eingesetzten Technologien und die tatsächlich relevanten Bedrohungen ausgerichtet werden.

Fazit

Threat Intelligence verwandelt technische Daten und Bedrohungsinformationen in verwertbares Wissen. Sie liefert Kontext zu Angreifern, Kampagnen, Angriffsmethoden, Schwachstellen und technischen Indikatoren.

Richtig eingesetzt unterstützt sie Sicherheitsüberwachung, Incident Response, Threat Hunting und Risikomanagement. Entscheidend sind jedoch nicht möglichst viele Daten, sondern aktuelle, zuverlässige und für das Unternehmen relevante Erkenntnisse.