Threat Intelligence sind Informationen über Bedrohungen, die Sicherheitskräften helfen, bessere Entscheidungen zu treffen. Sie stammen aus vielen Quellen. Open-Source-Feeds sammeln Indikatoren aus öffentlichen Berichten. Kommerzielle Anbieter verkaufen aufbereitete Informationen mit Kontext. Branchenverbände tauschen Informationen unter ihren Mitgliedern aus. Regierungsbehörden veröffentlichen Warnungen. Die Rohdaten umfassen IP-Adressen, Domainnamen, Dateihashes und Angreifertaktiken. Der Wert liegt in der Analyse. Eine IP-Adresse allein liefert keine Information. Entscheidend ist hingegen das Wissen, dass die IP-Adresse zu einer Ransomware-Gruppe gehört, die es auf Gesundheitsdienstleister abgesehen hat.

Geheimdienstinformationen lassen sich auf verschiedenen Ebenen gewinnen. Strategische Informationen informieren Führungskräfte über die Bedrohungslandschaft. Operative Informationen unterstützen Sicherheitsmanager bei der Planung von Abwehrmaßnahmen. Taktische Informationen liefern Analysten spezifische Indikatoren für Blockierungsmaßnahmen. Technische Informationen stellen die Rohdaten für Tools bereit. Jede Ebene dient einem anderen Publikum. Die Herausforderung liegt im Datenvolumen. Es gibt zu viele Bedrohungsdaten und zu wenig Kontext. Werden alle Indikatoren in eine Firewall eingespeist, entstehen Fehlalarme und legitimer Datenverkehr wird blockiert. Effektive Geheimdienstprogramme konzentrieren sich auf die Relevanz. Welche Bedrohungen sind für dieses Unternehmen relevant? Welche Sektoren sind betroffen? Welche Techniken werden eingesetzt? Die Antworten bestimmen, welche Daten erfasst und welche ignoriert werden. Bei Geheimdienstinformationen geht es nicht darum, alles zu wissen, sondern darum, das Wesentliche zu erkennen.

Arten der Bedrohungsanalyse

• Strategische – übergeordnete Trends für Entscheidungsträger
• Operativ – Kampagnendetails für Sicherheitsmanager
• Taktisch – Indikatoren zur Erkennung und Blockierung
• Technische Daten – Rohdaten für Werkzeuge und Automatisierung

Bedrohungsanalysen sind nur dann nützlich, wenn sie zu einer Entscheidungsänderung führen. Daten, die in einem Feed verbleiben und nie zu Maßnahmen führen, sind lediglich Rauschen.