Hypothesengeleitete Threat-Suche

Hypothesenbasiertes Threat Hunting beginnt mit einer konkreten, überprüfbaren Theorie darüber, wie ein Angreifer in Ihrer Umgebung vorgehen könnte.

Eine klare Hypothese macht aus einer offenen Suche eine gezielte Untersuchung.

Eine gute Hypothese ist spezifisch, überprüfbar und fundiert in Daten, die Sie tatsächlich erfassen können.

• Schlecht: Angreifer könnten sich in unserem Netzwerk befinden.
• Gut: Ein Angreifer verwendet geplante Tasks zur Persistenz auf Workstations.

Hypothesen entstehen durch Threat Intelligence, aktuelle Vorfälle, das MITRE ATT&CK Framework oder Kenntnisse über Ihre eigenen Schwachstellen.

Über eine Kampagne zu lesen, die Ihre Branche angreift, ist ein idealer Anlass für einen Hunt.

Formulieren Sie die Hypothese in eine Frage um, die Ihre Daten beantworten können.

Jede Frage entspricht einer Abfrage in Logs oder Telemetriedaten.

Listen Sie vor der Abfrage die Datenquellen auf, die die Hypothese bestätigen oder widerlegen könnten.

Für geplante Tasks benötigen Sie Protokolle zur Prozesserstellung und die relevanten Systemereignis-IDs.

Führen Sie gezielte Abfragen aus, um die relevanten Ereignisse abzurufen. Begrenzen Sie den Umfang, damit Sie nicht in einer Datenflut untergehen.

Eine SIEM-Abfrage bringt die Hunting-Frage in eine durchsuchbare Form.

Untersuchen Sie die Ergebnisse. Trennen Sie das Erwartete (Wartungsarbeiten durch Administratoren) vom Verdächtigen (Tasks, die kodiertes PowerShell starten).

Filtern Sie bekannte legitime Aktivitäten heraus, damit eine kurze Liste von Ansatzpunkten übrig bleibt.

Jeder Ansatzpunkt bestätigt die Hypothese, widerlegt sie oder erfordert weitere Daten. Seien Sie ehrlich. Eine widerlegte Hypothese ist ein gültiges und nützliches Ergebnis.

Wenn die Hypothese bestätigt wird, eskalieren Sie den Fall mit Ihren Belegen an die Incident Response.

Wenn etwas verdächtig aussieht, führen Sie einen Pivot durch und verfolgen Sie die Spur weiter. Untersuchen Sie bei einem verdächtigen Task den Prozessbaum, Netzwerkverbindungen und das betreffende Konto.

Oft reicht eine Spur aus, um den gesamten Eindringversuch aufzudecken.

Dokumentieren Sie die Hypothese, die Abfragen, die untersuchten Daten und das Ergebnis. Dokumentation macht Hunts wiederholbar und erleichtert ihre Vermittlung.

Außerdem lassen sich bestätigte Techniken dadurch in neue automatisierte Detektionen umwandeln.

Verfeinern Sie die Hypothese auf Grundlage Ihrer Ergebnisse und führen Sie erneut einen Hunt durch. Threat Hunting ist ein kontinuierlicher Prozess und keine einmalige Aufgabe.

Jede Iteration schärft Ihre Fragen und erweitert Ihre Abdeckung.

Testen Sie Ihr Verständnis des hypothesenbasierten Threat Huntings.

Sie haben hypothesenbasiertes Threat Hunting kennengelernt.

• Beginnen Sie mit einer konkreten, überprüfbaren und datenbasierten Theorie.
• Hypothesen entstehen aus Threat Intelligence, Vorfällen und ATT&CK.
• Formulieren Sie eine Frage, ermitteln Sie die Daten, führen Sie Abfragen aus und analysieren Sie die Ergebnisse.
• Bestätigen oder widerlegen Sie die Hypothese ehrlich und verfolgen Sie verdächtige Ansatzpunkte weiter.
• Dokumentieren Sie alles und iterieren Sie.

Als Nächstes untersuchen Sie Logs und Telemetriequellen.