Mindset bei der Threat-Suche

Threat Hunting ist die proaktive Suche nach Angreifern, die automatisierte Abwehrmaßnahmen umgangen haben. Statt auf eine Warnmeldung zu warten, suchen Sie als Threat Hunter aktiv nach ihnen.

Dabei wird angenommen, dass möglicherweise bereits ein Sicherheitsvorfall vorliegt, und es wird versucht, dies zu belegen oder zu widerlegen.

Herkömmliche Sicherheit ist reaktiv: Tools lösen Warnmeldungen aus, auf die Analysten reagieren. Threat Hunting ist proaktiv: Menschen suchen nach Bedrohungen, die keine Warnmeldung ausgelöst hat.

• Reaktiv: Eine Warnmeldung geht ein, dann beginnt die Untersuchung.
• Proaktiv: Die Untersuchung beginnt, und dabei wird möglicherweise eine Bedrohung gefunden.

Der entscheidende mentale Wandel besteht darin, von einer Kompromittierung auszugehen. Statt zu fragen: „Sind wir sicher?“, fragt der Threat Hunter: „Wo versteckt sich der Angreifer gerade?“

Diese Denkweise treibt Sie dazu, dort genauer hinzusehen, wo die Abwehr am schwächsten ist.

Automatisierte Erkennung findet bekannte Muster. Erfahrene Angreifer verwenden neuartige Techniken, Living-off-the-Land-Tools und langsame, unauffällige Aktionen, die von keiner Signatur erkannt werden.

Menschen finden, wonach Maschinen nie angewiesen wurden zu suchen.

Threat Hunter suchen nach Indicators of Compromise (IOCs): Artefakten, die auf einen Eindringversuch hindeuten.

• Ungewöhnliche ausgehende Verbindungen.
• Neue geplante Tasks oder Dienste.
• Verdächtige Eltern-Kind-Prozessketten.
• Unerwartete Kontoerstellungen.

IOCs (ein schädlicher Hash, eine bekanntermaßen schädliche IP-Adresse) lassen sich leicht umgehen, indem man sie ändert. Verhaltensweisen (TTPs) kann ein Angreifer schwerer ändern.

Ausgereiftes Threat Hunting konzentriert sich auf das Verhalten, nicht nur auf austauschbare Indikatoren.

Die Pyramide des Schmerzes ordnet Indikatoren danach, wie stark es einen Angreifer beeinträchtigt, wenn Sie sie erkennen.

Hashes lassen sich trivial ändern; TTPs sind für Angreifer schmerzhaft. Zielen Sie auf die Spitze der Pyramide.

Gute Threat Hunter sind neugierig und skeptisch. Sie fragen, warum sich ein Prozess ungewöhnlich verhält, und akzeptieren nicht ohne Prüfung, dass es „wahrscheinlich nichts“ ist.

Dieses beharrliche Hinterfragen bringt heimliche Eindringversuche ans Licht.

Sie können nichts untersuchen, was Sie nicht verstehen. Erfassen Sie zunächst Ihre Assets, normale Prozesse und erwartete Netzwerkflüsse.

Eine Baseline des Normalzustands lässt Sie Abweichungen sofort erkennen – genau wie bei der Datenverkehrsanalyse.

Threat Hunting ist iterativ: Sie formulieren eine Idee, sammeln Daten, analysieren sie und lassen die gewonnenen Erkenntnisse in Ihre Detektionen einfließen.

Auch ein Hunt, bei dem nichts gefunden wird, verbessert Ihre Sichtbarkeit und führt zu neuen automatisierten Regeln.

Ein erfolgreicher Hunt setzt nicht voraus, dass Sie einen Angreifer finden. Gültige Ergebnisse sind ein bestätigter Eindringversuch, eine neue Erkennungsregel oder eine bessere Sichtbarkeit in einem blinden Fleck.

Auch ein unauffälliger Hunt schafft Mehrwert.

Sie haben die Denkweise beim Threat Hunting kennengelernt.

• Threat Hunting ist proaktiv; es geht von einem erfolgreichen Eindringversuch aus und sucht gezielt danach.
• Automatisierung übersieht neuartige und heimliche Techniken.
• Konzentrieren Sie sich auf Verhalten und TTPs, nicht nur auf austauschbare IOCs.
• Die Pyramide des Schmerzes: Zielen Sie hoch, um den Angreifer zu beeinträchtigen.
• Kennen Sie Ihre Umgebung; auch ein unauffälliger Hunt schafft Mehrwert.

Als Nächstes lernen Sie hypothesenbasiertes Threat Hunting kennen.