Threat Hunting Zukunftssichere Gestaltung des SOC und geschäftliche Expansion

Die Bedrohungserkennung geht von der Annahme aus, dass sich ein Angreifer bereits in der Umgebung befindet. In der Regel beginnt die Bedrohungserkennung mit einer Hypothese darüber, welche Bedrohungen in der Umgebung vorhanden sein könnten. Dann folgt eine Untersuchung der potenziellen Bedrohungen und, falls die Untersuchung die Annahme bestätigt, eine wirksame Reaktion auf die Bedrohung. Dabei werden die verursachten Änderungen oder Schäden behoben.

Ein technisches Fachwissen darüber, was in der Umgebung normal ist, ist notwendig, um abnormales Verhalten und Unregelmäßigkeiten aufzudecken, wie z. B.:

• Taktiken, Techniken und Verfahren (TTPs), die Angreifer verwenden.
• Die wahrscheinlichsten Angriffspunkte in Ihrer Umgebung.
• Zuverlässige Informationsströme für aktuelle und gängige Indikatoren für Kompromisse.

Im Folgenden finden Sie sechs schnelle Tipps für den Einstieg in die Bedrohungserkennung.

Die Voraussetzungen für die Bedrohungserkennung sind Transparenz über die Endpunkte, Bedrohungsdaten und Sicherheitskenntnisse. Während letzteres Fachwissen und Erfahrung erfordert, können die ersten beiden mit automatisierten Tools erworben werden.

Die heutigen Bedrohungserkenner verwenden Tools wie Endpoint Detection and Response (EDR), Extended Detection and Response (XDR), Security Information and Event Management (SIEM), Intrusion Detection/Prevention Systems (IDS/IPS) und/oder maßgeschneiderte Tools mit Skripten, PowerShell usw., sowie Sicherheitsanalysen mit Künstlicher Intelligenz (KI) und maschinellem Lernen (ML).

Diese Arten von Tools zur Bedrohungserkennung können dabei helfen, …

• Transparenz zu schaffen, und zwar durch Erfassung und Zentralisierung von Endpunkt-Telemetriedaten (z. B. eine breite Palette von Aktivitäten und Verhaltensweisen, die mehrere Betriebssysteme umfassen, einschließlich Netzwerkverkehrsmustern, Netzwerkaktivitäten, Benutzeraktivitäten, Datei-Hashes, Dateioperationen, System- und Ereignisprotokollen, verweigerten Verbindungen, Aktivitäten von Peripheriegeräten und mehr)
• Daten und verschiedene Ereignisse zu korrelieren, um den Kontext der potenziellen Bedrohung zu verstehen
• Überwachung, Analyse und Warnmeldung bei Sicherheitsereignissen in Echtzeit
• Angriffe von Anfang bis Ende zu verfolgen und entsprechend zu reagieren.

Bedrohungserkenner nutzen auch Bedrohungsdaten aus Open-Source-Feeds, von spezialisierten Bedrohungsdatenanbietern oder Feeds, die von ihren eigenen Sicherheitsanbietern bereitgestellt werden, um eine Vorstellung davon zu bekommen, nach welchen Bedrohungen sie suchen bzw. Hypothesen überprüfen können.

Die Bedrohungserkennung ergänzt diese Tools durch die Suche in der gesamten Umgebung nach Indikatoren für eine Gefährdung (IOC) sowie nach Verhaltensweisen und Taktiken, die Angreifer einsetzen.

MITRE ATT&CK® ist eine offene, globale Wissensdatenbank für Sicherheitsexperten in der Privatwirtschaft, in Behörden und in der Gemeinschaft der Cybersicherheitsprodukte und -dienste. Die Abkürzung steht für „Adversarial Tactics, Techniques, and Common Knowledge“ (Taktiken, Techniken und allgemeines Wissen von Angreifern). Das ATT&CK-Framework dient als gemeinsame Sprache zur Beschreibung des Verhaltens von Angreifern, aufgeschlüsselt nach Taktiken und Techniken, die auf Beobachtungen aus der Praxis beruhen.

Die MITRE ATT&CK-Matrix der TTPs hat sich zu einer wichtigen Informationsquelle und Orientierungshilfe für Bedrohungserkenner entwickelt. Sie bietet Einblicke in typische Verhaltensweisen und Motivationen von Angreifern, in die Taktiken und Techniken, aus denen ein Angriff besteht, in die Art der Bedrohung und in die Art und Weise, wie man am besten effektiv darauf reagieren kann.

N‑able EDR mit Threat Hunting, powered by SentinelOne®, ordnet Angriffe dem MITRE ATT&CK-Framework zu und liefert Analysten Angriffskontext und Sofortindikatoren. Analysten können nach MITRE ATT&CK-Taktiken und -Techniken sowie nach anderen Indikatoren für eine Kompromittierung suchen, um bösartiges oder verdächtiges Verhalten an Endpunkten innerhalb eines Netzwerks zu identifizieren, bevor ein Angriff ausgeführt oder das Ziel erreicht werden kann.

Proaktives Threat Hunting trägt zu schnelleren Reaktionszeiten bei Vorfällen bei, reduziert die Arbeitsbelastung für Sicherheitsteams und stärkt den Sicherheitsbetrieb durch einen besseren Einblick in aufkommende Bedrohungen. Unabhängig davon, ob Sie ein internes SOC betreiben oder andere bei ihrer Cybersicherheit unterstützen, ist diese Bedrohungserkennung eine wertvolle Funktion, um Ihre Sicherheitsinfrastruktur zu verbessern. 

Wenn Ihr Unternehmen ein SOC betreibt, kann Threat Hunting die Erkennung und Reaktionsfähigkeit verbessern. Wenn Sie Ihren Kunden Sicherheitsdienste anbieten, können Sie Ihr Angebot damit aufwerten und so zum Schutz vor komplexen Bedrohungen beitragen. 

Lösungen wie N‑able EDR mit Threat Hunting bieten die erforderlichen Funktionen zum Aufbau oder zur Erweiterung eines Programms zur Bedrohungserkennung, ganz gleich, ob Sie Teil eines internen IT-Teams, eines MSP oder eines MSSP sind. 

Mehr erfahren