Seminar EclecticIQ Intelligence Center – Threat Hunting, Threat Actor Tracking und IOC-Management

Threat Hunting verbindet Hypothesen, technische Observables und kontextreiche Intelligence. Das Seminar entwickelt einen nachvollziehbaren Hunting- und Tracking-Prozess, der Threat Actors, Kampagnen, TTPs, Infrastruktur und IOC-Lebenszyklen verbindet und Ergebnisse in Detection, Response und neue Intelligence Requirements zurückführt.

Inhaltsübersicht

• Zielsetzung
• Zielgruppe
• Voraussetzungen
• Seminarinhalte
• Praxisübungen
• Didaktik und Arbeitsweise

Zielsetzung

• Hunting-Hypothesen und Datenanforderungen präzise formulieren
• Threat Actors, Kampagnen, TTPs und Infrastruktur fortlaufend verfolgen
• IOCs über Bewertung, Gültigkeit, Sichtungen und Revocation steuern
• Suche, Enrichment, Graph, ATT&CK und Workspaces methodisch kombinieren
• Ergebnisse in Detection, Incident Response und Intelligence-Produkte übergeben

Zielgruppe

Threat Hunter, CTI-Analysten, SOC-Analysten, Detection Engineering, Incident Response und Malware-Analyse.

Voraussetzungen

Grundkenntnisse in CTI, Indicators of Compromise, MITRE ATT&CK und SOC-Telemetrie. Sichere Bedienung von Suche und Entities ist hilfreich.

Seminarinhalte

1. Schritt 1: Hunting-Ziel und Hypothese formulieren

   Ein geschäftsrelevanter Bedrohungsfall wird in Annahme, erwartete Beobachtungen, Datenquellen, Zeitraum und Widerlegungskriterium zerlegt. Reine IOC-Suche ohne Fragestellung gilt nicht als vollständige Hypothese.

2. Schritt 2: Intelligence Requirements und Priorität verknüpfen

   Das Hunt wird einer bestehenden Anforderung oder einem dokumentierten Ad-hoc-Bedarf zugeordnet. Asset-Kritikalität, Region, Technologie und Gegnerprofil bestimmen die Bearbeitungspriorität.

3. Schritt 3: Ausgangsintelligence kuratieren

   Reports, Actor-Profile, Kampagnen, Malware, Vulnerabilities und bekannte Infrastruktur werden auf Aktualität, Confidence und Quellenlage geprüft. Veraltete Behauptungen werden nicht ungeprüft in die Suche übernommen.

4. Schritt 4: Threat-Actor-Profil strukturieren

   Namen, Aliase, Motivation, Ziele, Regionen, Fähigkeiten, TTPs, Werkzeuge, Infrastruktur und historische Aktivität werden getrennt gepflegt. Unsichere Attribution und konkurrierende Benennungen bleiben sichtbar.

5. Schritt 5: Kampagne und Zeitlinie aufbauen

   Ereignisse, Infrastrukturwechsel, Malware-Versionen, Ziele und Veröffentlichungen werden chronologisch verbunden. Zeitliche Lücken und widersprüchliche Angaben werden als Untersuchungsbedarf markiert.

6. Schritt 6: IOC-Lebenszyklus festlegen

   Erfassung, Normalisierung, Maliciousness, Confidence, Gültigkeit, Sichtungen, False Positive, Ablauf und Revocation werden als Zustände definiert. Ein technischer Wert wird nicht dauerhaft als bösartig behandelt, wenn Kontext und Zeitbezug fehlen.

7. Schritt 7: Suchstrategie entwickeln

   Exakte Werte, Muster, Aliase, TTPs, zeitliche Merkmale und relationale Abfragen werden kombiniert. Breite Suchen werden mit erwarteten Positiv- und Negativbeispielen kalibriert.

8. Schritt 8: Enrichment und externe Kontextgewinnung einsetzen

   Domains, IP-Adressen, Hashes und Dateien werden mit passenden Quellen angereichert. Ergebnisse werden auf Zeitpunkt, Providerwechsel, gemeinsame Infrastruktur und widersprüchliche Bewertungen geprüft.

9. Schritt 9: Graph zur Pivot-Analyse nutzen

   Von einem belastbaren Startobjekt wird kontrolliert zu Zertifikaten, Hosting, Malware, Kampagnen und Actors pivotiert. Jeder neue Pfad muss eine Hypothese stärken, schwächen oder eine neue Frage erzeugen.

10. Schritt 10: ATT&CK- und Detection-Bezug herstellen

    Beobachtete Verhaltensweisen werden mit Techniken klassifiziert und vorhandenen Datenquellen sowie Detektionen gegenübergestellt. Fehlende Telemetrie wird als Coverage-Lücke dokumentiert.

11. Schritt 11: Sichtungen und interne Treffer verarbeiten

    Treffer aus SIEM, EDR oder Incident Response werden mit Zeitpunkt, System, Confidence und Ergebnis zurückgeführt. Mehrere Sichtungen erhöhen nicht automatisch Attribution, liefern aber Evidenz für Aktivität.

12. Schritt 12: Threat Scout oder strukturierte Web-Erfassung nutzen

    Unstrukturierte Inhalte werden kontrolliert extrahiert, gegen den Originaltext geprüft und als Report beziehungsweise ausgewählte Objekte übernommen. Automatische Extraktion ersetzt weder TLP-Prüfung noch fachliche Bewertung.

13. Schritt 13: Workspace und Entscheidungslog führen

    Hypothese, Suchschritte, verworfene Pfade, Evidenz, Aufgaben und Zwischenentscheidungen werden zentral dokumentiert. Dadurch bleibt auch ein negatives Hunt-Ergebnis nachvollziehbar.

14. Schritt 14: Ergebnis an Detection und Response übergeben

    Relevante IOCs, Gültigkeit, TTPs, empfohlene Telemetrie, Suchlogik und Einschränkungen werden in ein standardisiertes Paket überführt. Empfänger bestätigen Verwendbarkeit und liefern Rückmeldung.

15. Schritt 15: Actor-Tracking und Hunt wiederholen

    Profile, Keyword Lists, Discovery-Regeln und Intelligence Requirements werden aktualisiert. Wiederholungsintervall und Änderungsindikatoren sorgen für kontinuierliches Tracking statt einmaliger Analyse.

Praxisübungen

1. Übung 1: Hunting-Hypothese entwickeln

   Aus einem aktuellen Bedrohungsszenario werden erwartete Spuren, Datenquellen, Suchschritte und Widerlegungskriterien abgeleitet.

2. Übung 2: Threat-Actor-Profil erstellen

   Aliase, TTPs, Ziele, Malware, Infrastruktur und Confidence werden aus mehreren Reports konsolidiert.

3. Übung 3: IOC-Lebenszyklus bearbeiten

   Ein Satz aus Domain, IP und Hash wird bewertet, angereichert, mit Gültigkeit versehen und für False-Positive- sowie Revocation-Fälle geprüft.

4. Übung 4: Graph-Pivot durchführen

   Von einem Indicator wird kontrolliert zu Infrastruktur, Kampagne und Actor pivotiert; jeder Schritt erhält eine Evidenzbegründung.

5. Übung 5: Detection-Paket erstellen

   TTPs, Suchlogik, IOCs, Gültigkeit, Datenquellen und Einschränkungen werden für Detection Engineering aufbereitet.

6. Übung 6: Negatives Hunt dokumentieren

   Ein Fall ohne bestätigten Treffer wird mit Suchumfang, Datenlücken, Confidence und nächster Wiederholung abgeschlossen.

Didaktik und Arbeitsweise

Kurze Fachimpulse werden unmittelbar durch Demonstrationen, strukturierte Arbeitsschritte, Praxisübungen und kontrollierte Fehlerfälle vertieft. Jede Übung verwendet definierte Ausgangswerte, Prüfpunkte und Dokumentationsanforderungen. Die erarbeiteten Verfahren bleiben dadurch im späteren Betrieb wiederholbar und auditierbar.