Bedrohungsinformationen analysieren

Analysieren von Bedrohungsdatenquellen (Threat Intelligence Feeds)

Wann verwenden

Verwenden Sie diese Fähigkeit, wenn:

• Sie neue kommerzielle oder OSINT-Bedrohungsdatenquellen aufnehmen und deren Signal-Rausch-Verhältnis bewerten möchten
• Sie heterogene IOC-Formate (STIX 2.1, OpenIOC, YARA, Sigma) in ein einheitliches Schema normalisieren müssen
• Sie die Aktualität, Zuverlässigkeit und Relevanz von Datenquellen für das Bedrohungsprofil Ihrer Organisation bewerten
• Sie automatisierte Anreicherungspipelines aufbauen, die IOCs mit SIEM-Ereignissen korrelieren

Verwenden Sie diese Fähigkeit nicht für die Analyse von Rohdatenpaketen oder die Live-Vorfalluntersuchung, bevor nicht eine CTI-Basislinie erstellt wurde.

Voraussetzungen

• Zugang zu einer Threat Intelligence Platform (TIP) wie ThreatConnect, MISP oder OpenCTI
• API-Schlüssel für mindestens einen kommerziellen Feed (Recorded Future, Mandiant Advantage oder VirusTotal Enterprise)
• TAXII 2.1-Client-Bibliothek (taxii2-client Python-Paket oder gleichwertig)
• Rolle mit Lese-/Schreibberechtigungen für die Indikatorendatenbank des TIP

Arbeitsablauf

Schritt 1: Quellen auflisten und priorisieren

Listen Sie alle verfügbaren Datenquellen kategorisiert nach Typ (kommerziell, behördlich, ISAC, OSINT):

• Kommerziell: Recorded Future, Mandiant Advantage, CrowdStrike Falcon Intelligence
• Behördlich: CISA AIS (Automated Indicator Sharing), FBI InfraGard, MS-ISAC
• OSINT: AlienVault OTX, Abuse.ch, PhishTank, Emerging Threats

Bewerten Sie jeden Feed nach: Aktualisierungshäufigkeit, historischer Genauigkeitsrate, Abdeckung Ihres Sektors und Tiefe der Zuordnung. Verwenden Sie eine gewichtete Bewertungsmatrix mit Kriterien aus NIST SP 800-150 (Guide to Cyber Threat Information Sharing).

Schritt 2: Erfassen über TAXII 2.1 oder API

Für TAXII-fähige Feeds:

taxii2-client discover https://feed.example.com/taxii/
taxii2-client get-collection --collection-id <id> --since 2024-01-01

Für REST-API-Feeds (z. B. Recorded Future):

• Abfragen von /v2/indicator/search mit risk_score_min=65, um IOCs mit niedriger Vertrauenswürdigkeit zu filtern
• Ratenbegrenzung und exponentielles Backoff für API-Resilienz anwenden

Schritt 3: Auf STIX 2.1 normalisieren

Konvertieren Sie jedes IOC in STIX 2.1-Objekte unter Verwendung des OASIS-Standardschemas:

• IP-Adresse → indicator-Objekt mit pattern: "[ipv4-addr:value = '...']"
• Domain → indicator mit pattern: "[domain-name:value = '...']"
• Datei-Hash → indicator mit pattern: "[file:hashes.SHA-256 = '...']"

Fügen Sie relationship-Objekte hinzu, die Indikatoren mit threat-actor- oder malware-Objekten verknüpfen. Verwenden Sie das confidence-Feld (0–100) basierend auf der Zuverlässigkeitsbewertung der Quelle.

Schritt 4: Deduplizieren und anreichern

Führen Sie eine Deduplizierung gegen die bestehende TIP-Datenbank durch, wobei normalisierter Wert und Typ als zusammengesetzter Schlüssel dienen. Reichern Sie verbleibende IOCs an:

• VirusTotal: Erkennungsrate, Sandbox-Verhaltensberichte
• PassiveTotal (RiskIQ): WHOIS-Verlauf, passives DNS, SSL-Zertifikatsketten
• Shodan: Bannerdaten, offene Ports, geografische Lage

Schritt 5: An verarbeitende Systeme verteilen

Exportieren Sie angereicherte Indikatoren per TAXII 2.1-Push an SIEM (Splunk, Microsoft Sentinel), Firewalls (Palo Alto XSOAR-Playbooks) und EDR-Plattformen. Legen Sie TTL (Time-to-Live) pro Indikatortyp fest: IP-Adressen 30 Tage, Domains 90 Tage, Datei-Hashes 1 Jahr.

Wichtige Konzepte

Begriff	Definition
STIX 2.1	Structured Threat Information Expression – OASIS-Standard-JSON-Schema für CTI-Objekte einschließlich Indikatoren, Bedrohungsakteuren, Kampagnen und Beziehungen
TAXII 2.1	Trusted Automated eXchange of Intelligence Information – HTTPS-basiertes Protokoll zum Austausch von STIX-Inhalten zwischen Servern und Clients
IOC	Indicator of Compromise – beobachtbares Artefakt (IP, Domain, Hash, URL), das auf eine mögliche Kompromittierung eines Systems hinweist
TLP	Traffic Light Protocol – farbcodierte Klassifizierung (ROT/GELB/GRÜN/WEISS), die Weitergabebeschränkungen für CTI definiert
Confidence Score	Numerischer Wert (0–100 in STIX), der die Sicherheit des Erstellers hinsichtlich der böswilligen Zuordnung eines Indikators widerspiegelt
Feed Fidelity	Historische Genauigkeitsrate eines Feeds, gemessen an der True-Positive-Rate bei Produktionserkennungen

Werkzeuge und Systeme

• ThreatConnect TC Exchange: Aggregiert 100+ kommerzielle und OSINT-Feeds; bietet automatisierte Playbooks zur IOC-Anreicherung
• MISP (Malware Information Sharing Platform): Open-Source-TIP mit STIX/TAXII-Unterstützung; weit verbreitet bei ISACs und behördlichen CERTs
• OpenCTI: Open-Source-Plattform mit nativer MITRE ATT&CK-Integration und graphbasierter Beziehungsvisualisierung
• Recorded Future: Kommerzieller Feed mit KI-gestützter Risikobewertung und Echtzeit-Überwachung des Darknets
• taxii2-client: Python-Bibliothek für TAXII 2.0/2.1-Client-Operationen (pip install taxii2-client)
• PyMISP: Python-API für MISP-Feed-Verwaltung und IOC-Übermittlung

Häufige Fallstricke

• Veraltete IOCs: IP-Adressen und Domains wechseln häufig; die Verwendung ein Jahr alter IOCs erzeugt Fehlalarme. Setzen Sie TTL-Richtlinien durch.
• Fehlender Kontext: Das Blockieren eines IOCs ohne Verständnis der zugehörigen Kampagne oder des Gegners kann legitimen Geschäftsverkehr beeinträchtigen (z. B. CDN-IPs, die mit böswilligen Akteuren geteilt werden).
• Überlappung ohne Deduplizierung: Das Aufnehmen desselben IOCs aus fünf Quellen ohne Deduplizierung bläht die Indikatoranzahl und die SIEM-Regelkomplexität auf.
• TLP-Verstoß: Die Weitergabe von ROT-klassifizierten Informationen außerhalb der autorisierten Grenzen verletzt Sharing-Vereinbarungen und Vertrauensbeziehungen.
• Übermäßiges Blockieren bei niedriger Vertrauenswürdigkeit: Indikatoren mit einer Vertrauenswürdigkeit unter 50 sollten nur Erkennungsregeln auslösen, nicht blockieren, um Betriebsstörungen zu vermeiden.