Seminar GLIMPS Malware: MISP-, STIX- und CTI-Integration

Inhaltsübersicht

1. Seminarprofil
2. Lernziele
3. Schrittweise Seminarinhalte
   • 1. CTI-Datenmodell und Qualitätskriterien
   • 2. Befunde aus Expert aufbereiten
   • 3. MISP-Integration
   • 4. STIX- und JSON-Verarbeitung
   • 5. Governance und Nutzung
4. Praxisübungen
5. Zielgruppe und Voraussetzungen
6. Methodik

Seminarprofil

Das Seminar überführt Analysebefunde aus GLIMPS Malware Expert in nutzbare Cyber-Threat-Intelligence-Strukturen. Indikatoren, Kontext, Vertrauensniveau, Zeitbezug und Lebenszyklus werden für MISP, STIX und JSON modelliert, qualitätsgesichert, dedupliziert und in kontrollierte Austausch- und Anreicherungsprozesse eingebunden.

Lernziele

• Technische Befunde in CTI-Objekte und Indikatoren überführen
• MISP-, STIX- und JSON-Exporte fachlich prüfen und anpassen
• Vertrauen, Gültigkeit, Herkunft und TLP-orientierte Freigabe verwalten
• Dubletten, widersprüchliche Daten und veraltete Indikatoren behandeln
• CTI-Austausch mit SIEM, SOAR und Hunting-Prozessen verbinden

Schrittweise Seminarinhalte

1. CTI-Datenmodell und Qualitätskriterien

1. Schritt 1: Indikator, Beobachtung, Malware, Verhalten, Kampagne und Beziehung voneinander abgrenzen.
2. Schritt 2: Hashwerte, Domains, Adressen, URLs, Pfade und Verhaltensmerkmale nach Zweck klassifizieren.
3. Schritt 3: Herkunft, Vertrauensniveau, Erst- und Letztbeobachtung sowie Ablaufdatum verpflichtend festlegen.
4. Schritt 4: Mindestqualität für automatisierte Weitergabe und manuelle Prüfung definieren.

2. Befunde aus Expert aufbereiten

1. Schritt 1: Relevante IOCs, Funktionen, ATT&CK-Kontext und Analysehinweise auswählen.
2. Schritt 2: Technische Artefakte von bloßen Umgebungs- oder Infrastrukturspuren trennen.
3. Schritt 3: Unsichere oder leicht wechselbare Indikatoren kenntlich machen.
4. Schritt 4: Befunde mit Incident-, Probe- und Analysekennung korrelierbar halten.

3. MISP-Integration

1. Schritt 1: Eventstruktur, Attribute, Objekte, Tags und Verteilungskonzept festlegen.
2. Schritt 2: Exportierte Daten in Testumgebung importieren und semantisch prüfen.
3. Schritt 3: Dubletten, Korrelationen und bestehende Informationen kontrolliert zusammenführen.
4. Schritt 4: Änderung, Ablauf, Widerruf und Nachpflege als Lebenszyklusprozess definieren.

4. STIX- und JSON-Verarbeitung

1. Schritt 1: STIX-Objekte und Beziehungen passend zur Analyse modellieren.
2. Schritt 2: Bundle auf Pflichtfelder, Referenzen, Zeitstempel und konsistente IDs prüfen.
3. Schritt 3: JSON-Berichte für interne Datenpipelines und SIEM-Anreicherung abbilden.
4. Schritt 4: Schemaänderungen durch Versionierung, Validierung und Kompatibilitätstests absichern.

5. Governance und Nutzung

1. Schritt 1: Freigabestufe, Empfängerkreis, Datenschutz und Geheimhaltung vor Austausch prüfen.
2. Schritt 2: Indikatoren mit Ablauf, Review und Eigentümer versehen.
3. Schritt 3: SIEM-Suchen, SOAR-Playbooks und Hunting-Hypothesen aus CTI ableiten.
4. Schritt 4: Qualitätskennzahlen für Vollständigkeit, Aktualität, Dubletten und Fehlalarme definieren.

Praxisübungen

1. Transformation eines Expert-Befunds in ein MISP-Ereignis
2. Erstellung und Validierung eines STIX-Bundles
3. Dubletten- und Konfliktbehandlung bei zwei widersprüchlichen Quellen
4. Entwurf eines IOC-Lebenszyklus mit Ablauf, Widerruf und Review

Zielgruppe und Voraussetzungen

Zielgruppe: Cyber Threat Intelligence, SOC, Threat Hunting, Incident Response, SIEM- und SOAR-Engineering

Voraussetzungen: Grundkenntnisse in IOCs, MISP oder STIX, JSON, MITRE ATT&CK und CTI-Governance

Methodik

Fachliche Einordnung, technische Demonstration und praktische Umsetzung wechseln sich ab. Jeder Themenblock folgt derselben belastbaren Reihenfolge: Ziel und Risiko bestimmen, Konfiguration oder Analyse durchführen, Sollzustand prüfen, Fehlerfall testen und den wiederholbaren Betriebsablauf dokumentieren.