Seminar CybelAngel – Cyber Threat Intelligence und Threat Hunting

Threat Intelligence ist kein Nachrichtenstrom, sondern ein gesteuerter Analyseprozess. Erst eine konkrete Fragestellung, belastbare Kontextualisierung und der Abgleich mit interner Telemetrie machen externe Informationen handlungsfähig.

Inhaltsübersicht

• Zielsetzung
• Zielgruppe
• Voraussetzungen
• Seminarinhalte
• Praxisübungen
• Methodik

Zielsetzung

• Intelligence Requirements formulieren
• IOC, TTP und Akteurskontext methodisch bewerten
• Hunting-Hypothesen aus externen Signalen ableiten
• Telemetrie und Detection Rules zielgerichtet anreichern
• Analytische Produkte für verschiedene Empfänger erstellen

Zielgruppe

Threat-Intelligence-Analysten, Threat Hunter, SOC-Analysten, Detection Engineers, Incident Responder, Security Architects und technische Lagebildteams.

Voraussetzungen

Erfahrung in SOC- oder Incident-Response-Prozessen, Grundkenntnisse zu Netzwerk-, Endpunkt-, Identitäts- und Cloud-Telemetrie sowie Verständnis von IOC, TTP und Angriffsphasen.

Seminarinhalte

1. Schritt 1: Intelligence Requirements formulieren

   Geschäftskritische Entscheidungen, Schutzgüter, Bedrohungsakteure, Regionen, Technologien und Zeitbezug werden in prüfbare Fragen übersetzt.

2. Schritt 2: Collection-Plan aufbauen

   CybelAngel-Module, interne Datenquellen, Beobachtungszeiträume, Suchbegriffe und Verantwortlichkeiten werden den Fragen zugeordnet.

3. Schritt 3: Quellen und Evidenz bewerten

   Zuverlässigkeit, Nähe zum Ereignis, Manipulationsrisiko, unabhängige Bestätigung und zeitliche Gültigkeit werden beurteilt.

4. Schritt 4: IOC-Kontext entwickeln

   Domains, IPs, URLs, Hashes, Konten und Infrastrukturbeziehungen werden bereinigt, dedupliziert, zeitlich bewertet und mit Confidence versehen.

5. Schritt 5: TTPs und Angriffsphasen ableiten

   Beobachtete Vorgehensweisen werden in wiederverwendbare Verhaltensmuster, mögliche Ziele und erwartbare Folgeaktivitäten überführt.

6. Schritt 6: Akteurs- und Kampagnenprofile erstellen

   Motivation, Fähigkeiten, Zielauswahl, Infrastruktur, Sprache, Zeitmuster und Überschneidungen werden mit Unsicherheiten dokumentiert.

7. Schritt 7: Hunting-Hypothesen formulieren

   Externe Hinweise werden als überprüfbare Annahmen mit erwarteten Spuren, Datenquellen und Ausschlusskriterien beschrieben.

8. Schritt 8: Hunting-Plan entwickeln

   Suchzeitraum, Telemetrie, Abfragen, Baseline, Schwellenwerte, Pivot-Punkte und Eskalationskriterien werden festgelegt.

9. Schritt 9: Interne Telemetrie korrelieren

   Netzwerk-, Endpunkt-, DNS-, Proxy-, E-Mail-, Identitäts- und Cloud-Daten werden mit externen Signalen abgeglichen.

10. Schritt 10: Detection Rules ableiten

    Robuste Verhaltens- und Indikatorregeln werden mit Testfällen, Gültigkeit, Ausnahmen und Wartungsverantwortung erstellt.

11. Schritt 11: Funde triagieren

    False Positives, erwartetes Verhalten, verdächtige Abweichungen und bestätigte Kompromittierung werden klar getrennt.

12. Schritt 12: Analytisches Produkt verfassen

    Kernaussage, Confidence, Evidenz, Auswirkung, Handlungsoption, Indikatoren und Informationslücken werden zielgruppengerecht dargestellt.

13. Schritt 13: Intelligence-Zyklus schließen

    Nutzwert, Fehlannahmen, neue Fragen, Regelgüte und Collection-Lücken werden in den nächsten Zyklus übernommen.

Praxisübungen

• Intelligence Requirements aus einem Bedrohungsszenario formulieren
• IOC-Set bereinigen und mit Confidence versehen
• Hunting-Hypothese mit Datenquellen entwickeln
• Detection Rule aus einer TTP ableiten
• Taktisches Intelligence Briefing erstellen

Methodik

Die Inhalte werden mit kurzen Fachvorträgen, Demonstrationen und einer durchgängigen Fallbearbeitung vermittelt. Jeder Arbeitsschritt endet mit einem dokumentierten Prüfkriterium zu Datenqualität, Risiko, Zuständigkeit und nächster Maßnahme.