Mehr Wissen über Cyber-Bedrohungen Das sind die verschiedenen Arten der Threat-Intelligence

Anbieter zum Thema

Bitdefender GmbH

WatchGuard Technologies GmbH

Threat Intelligence (TI) liefert Daten aus verschiedenen Quellen und in verschiedenen Formaten, um Cyberrisiken zu analysieren und zu beurteilen. Es ist auch unverzichtbar, Informationen zur Reputation etwa von Webseiten, Hinweise auf potenziell gefährliche Abläufe oder Analysen von regionalen Risikolagen zu verwerten. Denn diese erhöhen die Cybersicherheit, helfen Alarme angemessen zu bewerten und schneller einschlägige Abwehrmaßnahmen zu starten. Die Frage ist nicht, ob Sicherheitsanbieter Threat Intelligence benötigen, sondern vielmehr, welche Art von Informationen aus welchen Quellen sie heranziehen.

Was Threat Intelligence en detail letztlich meint, ist aber in der Branche in der Diskussion. So haben verschiedene Anbieter beispielsweise ein unterschiedliches Verständnis von operationaler Threat Intelligence. Um etwas Licht ins Dunkel zu bringen, behandelt dieser Artikel die gängigsten Threat-Intelligence-Typen: Ihre Bezeichnungen, beobachtete Kompromittierungsindikatoren (Indicators of Compromise – IOC), Datenformate und Anwendungsfälle.

Bildergalerie

Nicht immer ist klar, welchen Zusatznutzen TI konkret bietet. Ein guter Indikator, um den potenziellen Mehrwert von TI einzuschätzen ist das Maß, wie stark Daten angereichert sind oder der Umfang der manuellen Analyse, die an den Rohdaten erfolgte. Im Folgenden werden zunächst die drei wichtigsten Arten von TI-Daten vorgestellt:

Reputations-TI

Reputation Threat Intelligence, von einigen Anbietern auch als Tactical TI bezeichnet, bietet in leicht verständlicher Art Informationen zur Reputation von IP-Adressen, URLs, Domänen, Datei-Hashes, Zertifikaten und anderen Artefakten. Ihre Informationen beziehen sich in der Regel auf IoCs, die aus Live-Systemen extrahiert sind. Hier sind für gewöhnlich die Daten so wenig wie möglich angereichert, um das Übermitteln in Echtzeit zu erleichtern und den Sicherheitsteams zu helfen, durch eine schnelle Aktion mit den Angreifern Schritt zu halten. Ohne erläuternden Kontext schnell verständlich, beziehen die IT-Sicherheitsverantwortlichen wichtige Informationen zum Leumund etwa einer IP-Adresse.

Reputations-TI ist besonders nützlich in Machine-Readable-Threat-Intelligence (MRTI)-Szenarien. Eine solche TI, deren Informationen im Gegensatz zu Human Readable Threat Intelligence Maschinen verarbeiten und verwerten können, ist in automatisierten Erkennungssystemen integriert, wie etwa Firewalls oder Cloud Access Security Broker (CASB). Eine MRTI integriert zum Beispiel IP-Black-Listen. Diese schwarzen Listen zu blockender IP-Adressen speisen sich aus den Informationen von Endpoint-Detection-and-Response (EDR)-Produkten, Endpoint-Protection-Plattformen (EPP) sowie aus den Backends, Next Generation Firewalls oder anderen ähnlichen Quellen.

Der Hauptvorteil der in ihrer Information klaren Reputations-TI ist der automatisierte Echtzeitschutz. Die Daten erfordern keine Anreicherung oder ein weiteres Eingreifen von IT-Administratoren. Sie können deshalb in großer Zahl geliefert und bearbeitet werden.

Operative TI

Operative Threat Intelligence betrifft spezifische Risiken und liefert angereicherte und korrelierte Daten über eine Gruppe von Indikatoren, Bedrohungsakteuren, Malware-Familien, CVE-Schwachstellen, Viktimologie, Exploits oder andere Artefakte, die bei komplexen kooperativen Attacken kooperieren. Solche Informationen sind vor allem für Analysten in einem Security Operation Center (SOC) oder für IT-Sicherheitsforscher relevant. Diese benötigen sie für Ermittlungen, Incident Response, eine digitale Forensik oder für ähnliche Aufgaben, die nicht nur auf internen Host-Daten aufbauen können.

Um diese Informationen zu erstellen und zu validieren, bedarf es anspruchsvollerer Tools. IoCs sind kriminellen Akteuren zuzuordnen. Operative TI verarbeitet zudem Artefakte in einer Laborumgebung. Nur zum Teil lassen sich die für den Informationsgewinn notwendigen Aufgaben insbesondere mit Hilfe von Deep-Learning-Modellen automatisieren. Unverzichtbar ist, dass Menschen die Rohdaten bewerten und analysieren.

Strategische TIK

Strategische Threat Intelligence liefert in der Regel hochwertige PDF-Berichte mit manuell oder halbmanuell erstellten Eingaben von Datenwissenschaftlern. Die Berichte analysieren Trends in der Cybersicherheit und fokussieren einzelne Branchen, Regionen oder Ereignisse. Ihre Informationen sollen helfen, IT-Sicherheitsbudgets nach den notwendigen Gefahrenschwerpunkten zu priorisieren. Managed Security Service Provider (MSSPs), Anbieter von Sicherheitsdiensten, Rüstungsunternehmen, Staaten oder Unternehmen, die wichtige personenrelevante Daten verarbeiten, benötigen Informationen auf diesem Level, um ihre Abwehr an der konkreten Bedrohungslandschaft auszurichten.

Strategische TI kann wiederkehrende Analysen umfassen, wie das Verhalten von cyberkriminellen Akteuren oder den Einsatz von Malware-Familien im Laufe der Zeit. Andererseits lassen sich Ereignisse oder neue Trends untersuchen. Große Unternehmen oder Staaten geben einzelne Berichte zu ihrer Sicherheitslage in Auftrag – oft mit sehr hohem Aufwand und entsprechenden Kosten. Verlässliche Daten zur strategischen Threat Intelligence basieren auf reputationsbezogener und operativer TI.

Quellen der Threat Intelligence

Bezugsquellen für TI-Daten sind entweder Cybersicherheitsanbieter, Threat-Intelligence-Plattformen von Drittanbietern oder eine SOAR/SIEM-Plattform. Bei einem Bezug der Daten von einem einzelnen Cybersicherheitsanbieter hängt die Art der bereitgestellten Informationen von der Lizenzvereinbarung mit dem Anbieter und von dessen Produktpalette ab.

Eine Threat-Intelligence-Plattform basiert für gewöhnlich auf einem großen Marktplatz, auf dem reputationsbezogene, operative und strategische Daten von mehreren Anbietern im Angebot sind. Sie leitet diese Informationen über ein einheitliches Datenmodell automatisiert oder manuell an die Kunden weiter. Dies erfolgt in regelmäßigen Abständen, in der Regel alle sechs Stunden, zumindest aber einmal pro Tag.

Unternehmen können Feeds und Abfragen direkt von ihrer Security-Orchestration-Automation-and-Response(SOAR)- oder Security-Infrastructure-Event-Management (SIEM)-Plattform lizenzieren. Die meisten SOARs können Daten zur Bedrohungsaufklärung aus internen Quellen sammeln und orchestrieren. Für mehr Sicherheit dank besserer Informationsgrundlage integrieren viele SOAR- und SIEM-Anbieter externe TI-Feeds in ihr Angebot.

Verschiedene Threat Intelligence-Formate und Protokolle

TI ist ein neues und schnell wachsendes Angebot. Daher fehlen einheitliche Standards, um die Informationen zu verarbeiten. Die Anbieter nutzen viele verschiedene Formate für Feeds und API-Antworten, vor allem STIX und MISP:

STIX (Structured Threat Information Expression) ist eine Sprache und ein Format zum seriellen Austausch von TI-Daten. Weit verbreitet, beschreibt sie mehrere Standards zur Struktur von Informationen über Gefahren, Akteure oder TTPs.

MISP (Malware Information Sharing Platform) ist ein Open-Source-Projekt und betreibt eine Plattform für den standardisierten Austausch von TI-Daten. Die einfache JSON-Struktur erleichtert den Austausch von Cyber-Threat-(CTI) Intelligenz auf der MISP-Plattform oder mit anderen Orten.

Beide Formate haben aber ihre Grenzen, und der Grad ihrer Anwendbarkeit kann sich je nach TI unterscheiden. Deshalb entwickeln viele Sicherheitsanbieter ihr proprieätes Datenformat für den Austausch von Informationen.

TI-Feeds oder TI-APIs

Alle Arten von Daten - Reputationsdaten, operative Daten, strategische Daten - stehen entweder im Feed- oder im API-Format bereit.

TI-Feeds sind Datenströme mit Gefahreninformationen, die normalerweise für MRTI-Szenarien bereitgestellt werden. Sie liefern Informationen zu bösartigen IPs, C&C-Servern, URLs oder Domänen, welche die Angreifer verwenden.

Die Integration von Threat Intelligence-Feeds führt zu einer erheblichen Verbesserung der Abwehrmechanismen. Next Generation Firewalls und Intrusion Prevention Systeme profitieren von erweiterten Funktionen, die durch hochwertige Threat Intelligence-Feeds bereitgestellt werden. Diese zeichnen sich durch einen hohen Datendurchsatz und zuverlässige Informationen aus.

TI-APIs sind Dienste, mit denen Partner große Datensätze als Teil einer Vorfallanalyse oder einer anderen Art von IT-Sicherheitsforschung abfragen können. TI-API-Daten nutzen vor allem Anwender, die Informationen manuell analysieren wollen.

Pflichtlektüre für IT-Sicherheitsverantwortliche

Letztlich sammelt also Threat Ingelligence verschiedene Daten und verarbeitet sie je nach Aufgabenstellung. Solche Informationen sind unerlässlich für eine Cyberabwehr auf der Höhe der Zeit, die immer neue Angriffe durch Mensch oder Maschine über oft bekannte Kanäle oder mit verwandten Angriffsmustern erkennen und vor ihnen warnen kann.

Über den Autor: Theodor Porutiu ist Technical Architect bei Bitdefender.

(ID:50112605)