Das US-Institut NIST unterscheidet in seinem Leitfaden SP 800-150 und im zugehörigen Glossar zwischen Bedrohungsinformation und Threat Intelligence. Bedrohungsinformation ist jede Information, die hilft, Cyberbedrohungen zu erkennen, zu bewerten, zu überwachen und darauf zu reagieren. Zu Threat Intelligence wird sie, wenn sie zusammengeführt, analysiert und mit Kontext angereichert wurde, sodass sie Entscheidungen unterstützt. Eine Liste verdächtiger IP-Adressen ist also noch keine Intelligence; die Einschätzung, welche Gruppe gerade welche Branche mit welcher Methode angreift, schon.
Welche Arten von Bedrohungsinformationen gibt es?
NIST nennt fünf Hauptarten:
- Indikatoren (IoC): technische Spuren wie IP-Adressen, Domains, URLs, Datei-Prüfsummen oder Betreffzeilen von Phishing-Mails.
- Taktiken, Techniken und Prozeduren (TTP): wie Angreifende vorgehen, vom groben Ziel bis zur konkreten Umsetzung. Eine gemeinsame Sprache dafür bietet MITRE ATT&CK.
- Sicherheitswarnungen: kurze Hinweise zu aktuellen Lücken oder Kampagnen, etwa von CERTs.
- Lageberichte: ausführliche Analysen zu Angreifergruppen, Branchen oder Trends.
- Werkzeugkonfigurationen: Empfehlungen und Regeln für Firewalls, Filter oder Erkennungssysteme.
Standards und Werkzeuge
Damit Informationen automatisch ausgetauscht werden können, gibt es offene Standards. STIX 2.1 beschreibt Bedrohungsinformationen in einem einheitlichen Format, TAXII 2.1 regelt die Übertragung über HTTPS; beide sind seit Juni 2021 OASIS-Standard. Die Open-Source-Plattform MISP sammelt, speichert und teilt Indikatoren und wird von der EU mitfinanziert. Wie weit eine Information weitergegeben werden darf, regelt in vielen Austauschgruppen das Traffic Light Protocol (TLP) von FIRST.
Praxis für KMU und Gemeinden
Eine eigene Threat-Intelligence-Abteilung braucht kaum eine kleinere Organisation. Wirksam sind wenige, gut gewählte Quellen:
- CERT.at, das österreichische nationale CERT, veröffentlicht Warnungen zu schwerwiegenden Lücken und Tagesberichte.
- Herstellerhinweise zu den eigenen Produkten, idealerweise maschinenlesbar.
- Der KEV-Katalog der CISA zeigt, welche Lücken tatsächlich ausgenutzt werden.
- Leak-Monitoring meldet, ob Zugangsdaten der eigenen Domain in Datenlecks auftauchen.
Wichtig ist, dass jede Quelle eine Konsequenz hat: Wer liest die Warnung, wer entscheidet, wer handelt? Größere Umgebungen speisen Indikatoren in SIEM und XDR ein, damit sie automatisch gegen eigene Protokolle geprüft werden.
Risiken und typische Fehler
- Datenflut: Viele frei verfügbare Feeds liefern große Mengen Indikatoren ohne Bezug zum eigenen Betrieb.
- Veraltete Indikatoren: IP-Adressen und Domains wechseln schnell; alte Listen erzeugen Fehlalarme.
- Fehlender Kontext: Ohne Wissen über die eigenen Systeme lässt sich nicht beurteilen, ob eine Warnung relevant ist.
- Vertraulichkeit missachtet: Informationen mit TLP-Kennzeichnung dürfen nur im vereinbarten Kreis weitergegeben werden.
Bezug zu TOMORIS
GRID.darkwatch beobachtet vereinbarte Unternehmensmerkmale in bekannt gewordenen Datenlecks, bewertet relevante Treffer und gibt Hinweise zu betroffenen Zugängen. Die Bewertung und Reaktion bei Angriffen unterstützt EXPERTS Cyber Security.