Seminar Wazuh Threat Intelligence, MITRE ATT&CK und IOC-Korrelation

Beschreibung

Indikatoren werden nur mit geklärtem Vertrauensniveau, Ablauf und Reaktionsweg übernommen. Die technische Listenverarbeitung wird deshalb mit Qualität, Governance und Bearbeitungsaufwand verbunden.

Ein IOC-Treffer wird nicht isoliert bewertet. Prozess-, Benutzer-, Asset-, Zeit- und Cloudkontext bestimmen, ob ein Treffer historisch, benign, verdächtig oder bestätigt ist.

Zielgruppe

Threat Intelligence, SOC, Threat Hunting, Detection Engineering, Incident Response und Wazuh-Administration

Voraussetzungen

Wazuh-Regelgrundlagen, Verständnis von IP-, Domain- und Hash-Indikatoren sowie Erfahrung in Alarmtriage

Lernziele

• Intelligence-Anwendungsfälle und Qualitätskriterien definieren
• Indikatoren normalisieren und versioniert bereitstellen
• CDB-Listen sicher aktualisieren und testen
• Treffer mit ATT&CK-, Endpoint- und Cloudkontext korrelieren
• Erkenntnisse in Hunting, Regeln und Governance zurückführen

Inhaltsübersicht

1. Threat-Intelligence-Anwendungsfälle definieren
2. Indikatoren normalisieren und qualitätssichern
3. IOC-Listen in CDB-Listen überführen
4. MITRE-ATT&CK-Kontext für Analyse und Priorisierung nutzen
5. IOC-Treffer mit Endpoint- und Cloudkontext korrelieren
6. Threat-Intelligence-Ergebnisse in Hunting und Regeln überführen
7. Lebenszyklus und Governance für Intelligence-Daten betreiben

Seminarinhalte

1. Threat-Intelligence-Anwendungsfälle definieren

Indikatoren und Kontext nur dort einsetzen, wo Aktualität, Qualität und Reaktionsweg geklärt sind.

1. Priorisierte Bedrohungen, Assets und benötigte Indikatortypen festlegen.
2. Herkunft, Vertrauensniveau, Aktualisierungsrhythmus und Nutzungsbeschränkung intern dokumentieren.
3. Trefferverhalten für beobachtend, untersuchungspflichtig und blockierend definieren.
4. Ablauf und Löschung veralteter Indikatoren vorsehen.
5. Messgrößen für Trefferqualität und Bearbeitungsaufwand festlegen.

2. Indikatoren normalisieren und qualitätssichern

IP-Adressen, Domains, Hashwerte und weitere Werte in konsistente, prüfbare Listen überführen.

1. Datentyp, Zeichensatz, Groß-/Kleinschreibung und erlaubte Formate definieren.
2. Ungültige Werte, Kommentare, Dubletten und private Bereiche erkennen.
3. Vertrauen, Erst- und Letztbeobachtung sowie Ablaufdatum zuordnen.
4. Stichprobe gegen Rohquelle und interne Freigabe prüfen.
5. Versionierten, maschinenlesbaren Ausgabestand erzeugen.

3. IOC-Listen in CDB-Listen überführen

Freigegebene Indikatoren effizient für lokale Regelprüfungen bereitstellen.

1. Schlüssel- und Wertformat je Indikatortyp festlegen.
2. Normalisierte Daten in getrennte Listen mit kontrollierten Dateirechten schreiben.
3. Konfiguration und Listenindex aktualisieren.
4. Treffer, Nichttreffer und abgelaufenen Wert mit Testereignissen prüfen.
5. Aktualisierung atomar gestalten und auf den letzten gültigen Stand zurückfallen können.

4. MITRE-ATT&CK-Kontext für Analyse und Priorisierung nutzen

Erkennungen und Beobachtungen entlang von Taktiken und Techniken strukturieren.

1. Alarmregel und tatsächlich beobachtetes Verhalten fachlich vergleichen.
2. Taktik, Technik und gegebenenfalls Untertechnik begründet zuordnen.
3. Mehrere Alarme entlang einer möglichen Angriffskette zeitlich ordnen.
4. Abdeckung nach Datenquelle und Plattform in einer Matrix darstellen.
5. Lücken als konkrete Daten- oder Detection-Engineering-Aufgabe formulieren.

5. IOC-Treffer mit Endpoint- und Cloudkontext korrelieren

Einzelne Listenübereinstimmungen durch Prozess-, Benutzer-, Asset- und Zeitbezug bewertbar machen.

1. Ausgangswert und betroffene Quelle eindeutig identifizieren.
2. Vor- und Nachlaufereignisse auf demselben Asset oder derselben Identität suchen.
3. DNS-, Prozess-, Netzwerk-, Datei- und Cloudereignisse zusammenführen.
4. Treffer als Fehlalarm, historisch, verdächtig oder bestätigt klassifizieren.
5. Priorität und Reaktion anhand von Kontext und Vertrauensniveau festlegen.

6. Threat-Intelligence-Ergebnisse in Hunting und Regeln überführen

Aus bestätigten Treffern wiederverwendbare Hypothesen und Erkennungen entwickeln.

1. Gemeinsame Verhaltensmerkmale jenseits des einzelnen Indikators identifizieren.
2. Suchhypothese und erforderliche Datenfelder formulieren.
3. Historische Suche über passenden Zeitraum ausführen.
4. Dauerhafte Regel nur bei stabiler Evidenz und kontrollierbarer Fehlalarmrate erstellen.
5. Testfall und Ablaufdatum für indikatorabhängige Logik ergänzen.

7. Lebenszyklus und Governance für Intelligence-Daten betreiben

Qualität, Aktualität, Berechtigung und Wirkung von Indikatorbeständen dauerhaft kontrollieren.

1. Eigentümer, Freigabeweg und zulässige Nutzung je Datenklasse festlegen.
2. Aktualisierung, Ablauf, Widerruf und Notfallentfernung automatisieren.
3. Trefferquote, Fehlalarmquote und Alter des Bestands auswerten.
4. Unbenutzte oder dauerhaft unzuverlässige Quellen ausmustern.
5. Regelmäßigen Review mit SOC, Detection Engineering und Datenschutz durchführen.

Praxislabor

1. Einen gemischten Indikatorbestand validieren, normalisieren und mit Ablaufdaten versehen.
2. Getrennte CDB-Listen erzeugen und atomar bereitstellen.
3. Treffer und Nichttreffer mit kontrollierten Ereignissen prüfen.
4. Einen IOC-Treffer mit Prozess-, Benutzer- und Cloudkontext triagieren.
5. Aus bestätigtem Verhalten eine Hunting-Hypothese und einen Regressionstest ableiten.

Betriebliche Qualitätssicherung

• Keine Übernahme ohne Eigentümer, Vertrauen und Ablaufdatum
• Atomare Listenaktualisierung mit Rückfallstand
• Kontextbasierte Bewertung vor automatischer Reaktion
• Kennzahlen für Bestand, Alter, Treffer- und Fehlalarmquote