Methodik der Threat Hunt und Hypothesengenerierung

Threat Hunting ist der proaktive, von Menschen gesteuerte Prozess, Netzwerke und Endpunkte nach Angreifern zu durchsuchen, die vorhandene Sicherheitskontrollen umgangen haben. Im Gegensatz zur reaktiven Sicherheit, bei der auf Alarme gewartet wird, suchen Threat Hunter mithilfe von durch Threat Intelligence gestützten Hypothesen aktiv nach Anzeichen einer Kompromittierung. Threat Hunting geht davon aus, dass sich einige Angreifer bereits in der Umgebung befinden, aber noch nicht von automatisierten Tools erkannt wurden.

Der klassische Sicherheitsbetrieb ist weitgehend reaktiv — Analysten reagieren auf von SIEMs, EDR-Tools und Firewalls erzeugte Alarme. Threat Hunting ist grundsätzlich proaktiv: Hunter suchen nach Bedrohungen, die möglicherweise keine Alarme auslösen, weil Angreifer legitime Tools verwenden oder Erkennungsregeln umgehen konnten. Beide Ansätze sind erforderlich; Threat Hunting schließt die Lücke bei fortgeschrittenen Bedrohungen, die sich in normale Aktivitäten einfügen.

Jede Untersuchung beginnt mit einer Hypothese — einer überprüfbaren Aussage über das Verhalten eines Angreifers in der Umgebung. Eine gute Hypothese ist spezifisch, durch Threat Intelligence gestützt und falsifizierbar. Beispiel: „Ein Angreifer mit Domänenanmeldedaten verwendet möglicherweise PowerShell-Remoting, um sich lateral zwischen Workstations im Vertriebs-Subnetz zu bewegen.“ Die Hypothese bestimmt, welche Daten erfasst, welche Abfragen ausgeführt und nach welchen Indikatoren gesucht werden sollen.

Das MITRE-ATT&CK-Framework ist die am weitesten verbreitete Quelle für Threat-Hunting-Hypothesen. Es katalogisiert Taktiken, Techniken und Prozeduren (TTPs), die von realen Bedrohungsakteuren verwendet werden, und ordnet sie nach Angriffsphase (Initial Access, Execution, Persistence, Lateral Movement usw.). Hunter verwenden ATT&CK, um zu ermitteln, welche Techniken angesichts der aktuellen Bedrohungslage und der exponierten Angriffsfläche ihrer spezifischen Umgebung am wahrscheinlichsten sind.

Threat-Intelligence-Feeds liefern den externen Kontext, der relevante Hunting-Hypothesen auslöst. Ein Intelligence-Bericht über eine Ransomware-Gruppe, die auf Ihre Branche abzielt, oder ein IoC-Feed mit neu identifizierten C2-Domänen kann direkt zu einer Untersuchung führen. Hunter prüfen, ob diese IoCs in Protokollen auftauchen, ob die beschriebenen Techniken in der Umgebung verwendet wurden und ob Systeme mit gemeldeter schädlicher Infrastruktur kommuniziert haben.

Eine zweite Quelle für Hunting-Hypothesen sind Abweichungen von der Umgebungsbaseline. Indem sie verstehen, was normal ist — welche Konten sich nachts anmelden, welche Server DNS-Anfragen stellen und welche Prozesse typischerweise auf Workstations ausgeführt werden — erkennen Hunter Anomalien, die untersucht werden sollten. Baseline Hunting setzt voraus, dass zuvor Daten erfasst und Baselines erstellt wurden, kann jedoch auch hochentwickelte Angreifer aufspüren, die bekannte schädliche Signaturen vermeiden, indem sie sich möglichst normal verhalten.

Effektives Threat Hunting folgt einem kontinuierlichen Zyklus. Planen: eine Hypothese formulieren. Suchen: Protokolle und Telemetriedaten abfragen, um die Hypothese zu überprüfen. Analysieren: die Ergebnisse untersuchen und feststellen, ob schädliche Aktivitäten vorliegen. Reagieren: bestätigte Bedrohungen an das IR-Team eskalieren. Verbessern: erfolgreiche Untersuchungen in automatisierte Erkennungsregeln umwandeln, damit dieselbe Technik künftig Alarme auslöst — so wird das SOC verbessert, ohne jedes Mal manuelle Untersuchungen zu erfordern.

Effektives Threat Hunting erfordert umfangreiche Telemetriedaten. Zu den wichtigsten Datenquellen gehören EDR-Telemetriedaten (Prozesserstellung, Dateischreibvorgänge und Netzwerkverbindungen von jedem Endpunkt), Authentifizierungsprotokolle (Active Directory, SAML, VPN), DNS-Abfrageprotokolle (zur Erkennung von DGA-Domänen und Tunneling), Netzwerkflussdaten (NetFlow, zeek-Protokolle) und Cloud-Audit-Protokolle (AWS CloudTrail, Azure Activity Log). Je umfangreicher die Telemetriedaten, desto besser die Sichtbarkeit für Threat Hunting.

Threat Hunter verwenden mehrere Kategorien von Tools. SIEM-Plattformen (Splunk, Microsoft Sentinel) bieten Protokollaggregation und Abfrageschnittstellen. EDR-Plattformen (CrowdStrike, SentinelOne) stellen Endpunkttelemetrie und Live-Abfragen bereit. Spezialisierte Hunting-Tools wie Velociraptor ermöglichen Live Response und die skalierte Erfassung von Artefakten auf entfernten Endpunkten. Jupyter Notebooks werden häufig für Ad-hoc-Datenanalysen bei komplexen Untersuchungen eingesetzt.

Jede Untersuchung — unabhängig davon, ob sie erfolgreich war oder nicht — sollte dokumentiert werden. Ein Hunting-Bericht erfasst die Hypothese, die abgefragten Datenquellen, die verwendeten Abfragen, die Ergebnisse und das Resultat. Negative Ergebnisse (die Hypothese wurde nicht bestätigt) sind wertvoll, weil sie die Abdeckung belegen und dabei helfen, künftige Hypothesen zu verfeinern. Positive Ergebnisse führen zur Erstellung von Incident-Tickets und idealerweise zu neuen Erkennungsregeln. Die Dokumentation baut institutionelles Wissen auf und zeigt der Leitung den Wert des Hunting-Programms.

Ein ausgereiftes Threat-Hunting-Programm entwickelt sich über mehrere Kompetenzstufen weiter. Stufe 0: vollständige Abhängigkeit von automatisierten Alarmen. Stufe 1: einfache manuelle Untersuchungen mit Ad-hoc-Abfragen. Stufe 2: strukturierte Hypothesen aus ATT&CK und Threat Intelligence. Stufe 3: Untersuchungen erzeugen automatisierte Erkennungen, Hunter-Teams spezialisieren sich und Bedrohungsmodelle werden kontinuierlich aktualisiert. Unternehmen sollten die Reduzierung der mittleren Verweildauer als wichtige Kennzahl für die Wirksamkeit ihres Hunting-Programms messen.

Testen Sie Ihr Verständnis der CompTIA-Security+-Konzepte (SY0-701) aus dieser Lektion.

In dieser Lektion haben Sie gelernt: Threat Hunting ist eine proaktive Untersuchung, die davon ausgeht, dass einige Angreifer die Erkennung bereits umgangen haben, Hypothesen werden aus MITRE ATT&CK, Threat Intelligence und Abweichungen von der Baseline abgeleitet, und erfolgreiche Untersuchungen erzeugen automatisierte Erkennungsregeln, die die Erkennungsfähigkeit des SOC kontinuierlich verbessern. Als Nächstes untersuchen wir die SIEM-Architektur — die Plattform, die die für Threat Hunting erforderliche Protokollaggregation und -korrelation bereitstellt.