OpenText-Startseite.
Technische Themen

Was ist Threat Intelligence?

Illustration von IT-Artikeln mit Schwerpunkt auf einem Laptop

Übersicht

Was sind Cyber-Bedrohungsdaten? Bedrohungsdaten werden auch als Cybersicherheitsdaten bezeichnet und sind evidenzbasierte Informationen über kriminelle Aktivitäten, die sich gegen die Netzwerke, Geräte, Anwendungen und Daten eines Unternehmens richten. Sie vermittelt Unternehmen ein besseres Verständnis für vergangene, aktuelle und zukünftige Cybergefahren. Er umfasst Mechanismen, Zusammenhänge, Auswirkungen, Indikatoren und handlungsorientierte Ratschläge zu neuen oder bestehenden Gefahren für Informationsbestände.

Anhand von Informationen über Bedrohungen können Unternehmen feststellen, welche ihrer Cyber-Ressourcen am stärksten von Angriffen bedroht sind und wo die Auswirkungen eines Angriffs am größten wären. Es vermittelt Unternehmen das Wissen, das sie benötigen, um zu wissen, welche Informationen zu schützen sind, wie sie am besten geschützt werden können und welche Hilfsmittel am besten geeignet sind, um sie zu schützen. Bedrohungsdaten liefern den Kontext, der für eine genaue, relevante, umsetzbare, zeitnahe und fundierte Entscheidungsfindung erforderlich ist.

Das Konzept der Bedrohungsanalyse ist einfach zu verstehen. Allerdings ist es wesentlich schwieriger, die benötigten Informationen zu sammeln und zu analysieren. Die große Anzahl von Bedrohungen, die die Informationstechnologie von Unternehmen gefährden oder lahmlegen können, kann überwältigend wirken.

Zu den von Threat Intelligence gesammelten Informationen gehört, welche Schwachstellen Sie haben, wer Sie angreift, welche Motivation er hat, welche Fähigkeiten er hat, welchen Schaden er an Ihren Daten anrichten könnte und auf welche Indikatoren für eine Gefährdung Sie achten sollten.

OpenText™ Core Behavioral Signals liefert Ihnen Informationen über die stärksten Bedrohungen für Ihre Infrastruktur, Ihre Finanzen und Ihren Ruf. Auf dieser Grundlage können Sie Abwehrmechanismen aufbauen und eine funktionierende Risikominderung einrichten.

Threat Intelligence

Warum Bedrohungsdaten wichtig sind

Threat Intelligence-Tools lesen Rohdaten über bestehende und neu auftretende Bedrohungen und Bedrohungsakteure aus verschiedenen Quellen. Die Daten werden analysiert und gefiltert, um Intelligence-Feeds und Berichte zu erstellen, die von automatisierten Sicherheitslösungen genutzt werden können. Warum ist das wichtig?

  • Gewinnung von Informationen, die das Unternehmen benötigt, um sich vor Bedrohungen und Angriffen zu schützen.
  • Immer auf dem Laufenden bleiben über die Risiken, die von bösartigen Akteuren, verschiedenen Schwachstellen, Angriffsmethoden, Zero-Day-Exploits und fortschrittlichen, dauerhaften Bedrohungen ausgehen.
  • Strukturierter Umgang mit den riesigen internen und externen Bedrohungsdaten, die von zahlreichen Akteuren und unverbundenen Systemen stammen.
  • Vermeiden von Fehlalarmen.
  • Minimierung von Datenschutzverletzungen und der damit verbundenen finanziellen, reputationsbezogenen und Compliance-Kosten.
  • Aneignung der Kenntnisse, die erforderlich sind, um die am ehesten wirksamen Sicherheitsinstrumente zu ermitteln.
  • Cyber-Sicherheitsteams und -Analysen können proaktiv auf künftige Bedrohungen reagieren und müssen sich nicht mit riesigen, unverarbeiteten und nicht nach Prioritäten geordneten Rohdaten herumschlagen.
  • Informieren Sie Führungskräfte, Benutzer und Stakeholder über die neuesten Bedrohungen und deren mögliche Auswirkungen auf das Unternehmen.
  • Rechtzeitige Bereitstellung von Zusammenhängen, die von Entscheidungsträgern verstanden werden können.

Bedrohungsdaten sind für alle Unternehmen, deren Netzwerk mit dem Internet verbunden ist, von entscheidender Bedeutung - und das sind heute praktisch alle Unternehmen. Firewalls und andere Sicherheitssysteme sind wichtig, aber sie ersetzen nicht die Notwendigkeit für das Unternehmen, sich über die Bedrohungen zu informieren, die seine Informationssysteme gefährden. Die Vielfalt, Komplexität und Skalierbarkeit von Cyberangriffen macht Bedrohungsdaten heute unverzichtbar.

Der Lebenszyklus von Bedrohungsdaten

Bedrohungsanalyse ist kein durchgängiger Prozess, der sich an einer Checkliste orientiert. Sie ist kontinuierlich, zyklisch und iterativ. Es wird nie einen Zeitpunkt geben, an dem eine Organisation alle potenziellen Bedrohungen identifiziert und neutralisiert hat.

Der Lebenszyklus von Bedrohungsdaten trägt der Tatsache Rechnung, dass sich das Bedrohungsumfeld ständig weiterentwickelt. Die Abwendung eines Anschlags oder einer Krise bedeutet nicht, dass die Arbeit getan ist. Sie müssen sofort an den nächsten Fall denken, ihn vorwegnehmen und sich darauf vorbereiten. Es werden immer wieder neue Lücken und Fragen auftauchen, die neue Informationsanforderungen erfordern.

Der Lebenszyklus von Bedrohungsdaten umfasst die folgenden Schritte.

  • Planung - Definieren Sie die Anforderungen für die Datenerfassung. Stellen Sie gezielte Fragen, die Sie in die richtige Richtung führen und darauf abzielen, verwertbare Informationen zu erhalten. Bestimmen Sie, wer der Endverbraucher der Bedrohungsdaten sein wird.
  • Sammlung - Sammeln von Rohdaten zu Bedrohungen aus glaubwürdigen Quellen. Zu den glaubwürdigen Quellen gehören Systemprüfungsprotokolle, frühere Vorfälle, interne Risikoberichte, externe technische Quellen und das Internet im Allgemeinen.
  • Verarbeitung - Organisieren Sie die Rohdaten, um sie für die Analyse vorzubereiten. Platzieren Sie Metadaten-Tags, die es einfacher machen, redundante Informationen, falsche Negative und falsche Positive zu eliminieren. Ein SIEM könnte diese Organisation erleichtern. Sie verwenden Korrelationsregeln, um die Daten für verschiedene Anwendungsfälle zu strukturieren.
  • Analyse - Die Analysephase unterscheidet die Bedrohungsaufklärung von der grundlegenden Informationserfassung und -verbreitung, da hier die Daten ausgewertet werden. Wenden Sie strukturierte Analyseverfahren auf die verarbeiteten Informationen an und quantifizieren Sie die Bedrohung. Daraus entstehen Bedrohungsdaten, die von Tools und Analysten gescannt werden, um Indikatoren für eine Gefährdung zu ermitteln. Zu den Indikatoren für eine Kompromittierung gehören verdächtige IP-Adressen, URLs, E-Mails, E-Mail-Anhänge, Registrierungsschlüssel und Hashes.
  • Verbreitung - Informationen über Bedrohungen funktionieren nur, wenn sie zur richtigen Zeit an die richtigen Personen weitergeleitet werden. Weitergabe der Analyse an die relevanten Interessengruppen über vordefinierte interne und externe Kommunikationskanäle. Verbreiten Sie die Informationen in einem Format, das die Zielgruppe leichter verstehen kann. Das kann von Bedrohungslisten bis hin zu von Fachleuten überprüften Berichten reichen. In großen Unternehmen sind die Erkennung und Eindämmung von Bedrohungen gemeinsame Aufgaben, an denen mehrere Teams beteiligt sind. Halten Sie alle Beteiligten auf dem Laufenden, um neue Erkenntnisse, Lösungen und Möglichkeiten zu erschließen.
  • Integration - Integrieren Sie verwertbare Bedrohungsdaten in Arbeitsabläufe, Programme zur Reaktion auf Vorfälle und Ticketingsysteme.
  • Lehren - Analysieren Sie die Erkenntnisse im Hinblick auf langfristige Lehren und breitere Auswirkungen. Nehmen Sie entsprechende Änderungen an Ihren Richtlinien, Verfahren, Prozessen, Infrastrukturen und Konfigurationen vor.
  • Feedback - Überprüfen Sie die Aktionen und bestätigen Sie, ob die Bedrohung blockiert oder eingedämmt wurde.

Arten von Cybersicherheitsbedrohungen und Bedrohungsdaten

Cybersicherheitsbedrohungen und Bedrohungsdaten können je nach Geschäftsanforderungen, Informationsquellen und Zielgruppe kategorisiert werden. In diesem Zusammenhang gibt es drei Arten von Cybersicherheitsbedrohungen und Bedrohungsinformationen.

Strategische Bedrohungsanalyse

Dabei handelt es sich um allgemeine oder langfristige Trends oder Themen. Die Überprüfung strategischer Bedrohungen ist oft hochrangigen, nicht-technischen Zielgruppen vorbehalten, wie z. B. den Führungskräften. Strategische Bedrohungsdaten bieten einen Überblick über die Fähigkeiten und Absichten von Bedrohungen aus der Vogelperspektive, was eine fundierte Entscheidungsfindung und rechtzeitige Warnungen ermöglicht.

Zu den Quellen für strategische Bedrohungsinformationen gehören die Nachrichtenmedien, Fachexperten, Grundsatzdokumente von Nichtregierungsorganisationen, Sicherheitsweißbücher und Forschungsberichte.

Taktische Bedrohungsanalyse

Die taktische Bedrohungsaufklärung strukturiert die Verfahren, Techniken und Taktiken der Bedrohungsakteure, indem sie die Indikatoren für eine Kompromittierung durch alltägliche Aufklärungsereignisse und Operationen angeht. Es handelt sich um Informationen, die für ein eher technisches Publikum gedacht sind, wie Sicherheitsexperten, Systemarchitekten und Netzwerkadministratoren.

Taktische Bedrohungsdaten geben Unternehmen ein tieferes Verständnis dafür, wie sie angegriffen werden könnten und wie sie sich am besten gegen diese Angriffe schützen können. Berichte von Sicherheitsanbietern und Beratern für Cybersicherheit in Unternehmen sind oft die Hauptquelle für taktische Bedrohungsinformationen.

Operative Bedrohungsanalyse

Operative Bedrohungsdaten werden auch als technische Bedrohungsdaten bezeichnet. Sie ist sehr spezialisiert und hochtechnisch. Sie befasst sich mit spezifischen Angriffen, Malware, Tools oder Kampagnen.

Operative Bedrohungsdaten können in Form von forensischen Bedrohungsdatenberichten, Bedrohungsdaten-Feeds oder abgefangener Kommunikation von Bedrohungsgruppen vorliegen. Es gibt den Reaktionsteams Einblicke in den Zeitpunkt, die Art und die Absicht bestimmter Angriffe.

Was ist Bedrohungserkennung?

Der Begriff "Bedrohungserkennung" wird manchmal gleichbedeutend mit "Bedrohungsanalyse" verwendet, aber die beiden Begriffe haben nicht dieselbe Bedeutung. Bedrohungserkennung ist die passive Überwachung von Daten, um potenzielle Sicherheitsprobleme zu erkennen.

Sie konzentriert sich auf die Entdeckung und Identifizierung von Bedrohungen vor, während oder nach einem Sicherheitsverstoß. Bei der Bedrohung kann es sich um eine Zeichenfolge in einem Malware-Muster, um Netzwerkverbindungen über ungewöhnliche Teile, um eine unerwartete Zunahme oder Abnahme des Netzwerkverkehrs oder um eine in einem temporären Verzeichnis gespeicherte ausführbare Datei handeln.

Tools zur Erkennung von Datenschutzverletzungen analysieren das Benutzer-, Daten-, Anwendungs- und Netzwerkverhalten auf anomale Aktivitäten. Ein Eindringlingserkennungssystem ist ein Beispiel für ein Instrument zur Erkennung von Bedrohungen.

Wie Threat Intelligence und Threat Detection zusammenarbeiten

Systeme zur Erkennung von Bedrohungen untersuchen den Netzwerkverkehr häufig anhand von Bedrohungsdaten, die aus einer Vielzahl von Communities wie dem H-ISAC stammen. Sie setzen benutzerdefinierte Warnmeldungen und Ereignisbenachrichtigungen ein. Tools zur Bedrohungserkennung ermöglichen die Überwachung von Protokollen aus verschiedenen Quellen und die Anpassung an unterschiedliche Umgebungen.

Wenn also eine Bedrohung erkannt wird, wird eine Warnung verschickt. Normalerweise würde ein Mensch eingreifen, die Bedrohung prüfen, feststellen, was vor sich geht, und entsprechende Maßnahmen ergreifen.

Die richtigen Tools für die richtige Bedrohungsanalyse

Die heutigen Unternehmen sind Angreifern ausgesetzt, die potenziell Millionen von Möglichkeiten haben, sich unbefugten Zugang zu verschaffen und Schaden anzurichten. Außerdem werden die Bedrohungen immer umfangreicher, komplexer und raffinierter. Das bedeutet, dass man davon ausgehen muss, dass ein Angreifer trotz aller Bemühungen Ihrerseits und Ihres Unternehmens eindringen wird. Die Einrichtung geeigneter physischer und logischer Kontrollen trägt wesentlich dazu bei, die Wahrscheinlichkeit eines erfolgreichen Angriffs zu verringern.

Bedrohungsdaten sind für die rechtzeitige und wirksame Erkennung von und Reaktion auf Bedrohungen unverzichtbar und ein notwendiges Element für das Verständnis und den Schutz vor potenziellen Bedrohungen der Cybersicherheit. Je besser Ihr Team und Ihre Organisation potenzielle Bedrohungen verstehen, desto besser sind Sie in der Lage, funktionale Reaktionen zu entwickeln und zu priorisieren und Bedrohungen schnell zu erkennen.

Die Aufklärung von Bedrohungen ist selbst für kleine Unternehmen eine mühsame und zeitaufwändige Aufgabe. Zum Glück gibt es auf dem Markt zahlreiche Bedrohungsanalyse-Tools, die dabei helfen können. Aber nicht alle sind gleich. OpenText ist als weltweiter Marktführer im Bereich der Cybersicherheit anerkannt und bietet die richtigen Tools, die Ihr Unternehmen benötigt, um schnell aussagekräftige, umsetzbare und dynamische Bedrohungsdaten zu generieren.

Verwandte Produkte

OpenText™ Core Behavioral Signals

Proaktive Erkennung von Insider-Risiken, neuartigen Angriffen und fortschrittlichen, anhaltenden Bedrohungen

OpenText™ Enterprise Security Manager

Beschleunigen Sie die Erkennung von Bedrohungen und die Reaktion darauf durch Echtzeit-Korrelation und natives SOAR

OpenText™ Cybersecurity Cloud

Verteidigen Sie sich präzise, sichern Sie sich zuverlässig

OpenText™ Security Log Analytics

Beschleunigen Sie die Erkennung von Bedrohungen mit aufschlussreichen, verwertbaren Sicherheitsinformationen

Alle verwandten Produkte anzeigen

Wie können wir behilflich sein?

Fußnoten