Plattform für Bedrohungsinformationen: IOC-Feeds, Dark-Web-Überwachung und APT-Verfolgung

Eine Plattform für Bedrohungsinformationen liefert Organisationen Informationen über Cyberbedrohungen, Angriffstechniken, Bedrohungsakteure und Kompromittierungsindikatoren (IOCs), die proaktive Bedrohungserkennung und -reaktion ermöglichen. Die Bedrohungsinformationsfunktionen von Cypher Sentinel umfassen die Integration mehrerer Bedrohungsfeeds, Dark-Web-Überwachung auf Bedrohungen für die Organisation, Verfolgung fortgeschrittener anhaltender Bedrohungen (APT) und Analyse von Malware-Informationen zur schnellen Erkennung und Reaktion auf neue Bedrohungen.

Organisationen stehen versierten Bedrohungsakteuren gegenüber, darunter Nationalstaaten, organisierte cyberkriminelle Gruppen und staatlich geförderte Hacktivisten. Diese Bedrohungen entwickeln sich rasant weiter; neue Angriffstechniken, Schwachstellen und Malware-Varianten treten ständig auf. Für eine wirksame Abwehr benötigen Organisationen umsetzbare Bedrohungsinformationen, die Kontext zu den speziell gegen sie gerichteten Bedrohungen liefern.

Bedrohungsinformationen verwandeln Rohdaten über Angriffe und Bedrohungsakteure in umsetzbare Erkenntnisse. Sie ermöglichen Organisationen, ihre Bedrohungslandschaft zu verstehen, Abwehrinvestitionen zu priorisieren, Angriffe frühzeitig zu erkennen und bei Sicherheitsverletzungen wirksam zu reagieren. Dies ist wesentlich, weil Organisationen sich unmöglich gegen Bedrohungen verteidigen können, die sie nicht verstehen.

Was sind Bedrohungsinformationen?

Bedrohungsinformationen sind Informationen über Cyberbedrohungen, Angriffstechniken, Bedrohungsakteure und Kompromittierungsindikatoren, die Organisationen ermöglichen, Bedrohungen zu verstehen und wirksame Abwehr umzusetzen. Sie umfassen taktische Informationen (konkrete Malware-Signaturen, IOCs, Angriffswerkzeuge), operative Informationen (Angriffskampagnen, von Gruppen verwendete TTPs) und strategische Informationen (Motive, Fähigkeiten und Ziele von Bedrohungsakteuren).

Wirksame Bedrohungsinformationen sind umsetzbar (ermöglichen Entscheidungen), relevant (auf Bedrohungen für die Organisation ausgerichtet), rechtzeitig (vor dem Eintreten von Bedrohungen verfügbar) und präzise (auf verlässlichen Quellen basierend). Sie ermöglichen Organisationen den Wechsel von einer reaktiven Haltung (Reaktion auf laufende Angriffe) zu einer proaktiven Haltung (Bedrohungen verstehen und Abwehrmaßnahmen vor Angriffen umsetzen).

• Taktische Informationen — Konkrete IOCs und Malware-Signaturen zur Erkennung bekannter Bedrohungen.
• Operative Informationen — Informationen über Angriffskampagnen, Taktiken und bestimmte Bedrohungsakteure.
• Strategische Informationen — Verständnis der Bedrohungslandschaft, der Fähigkeiten von Bedrohungsakteuren und geopolitischer Faktoren mit Einfluss auf Cyberbedrohungen.

Kompromittierungsindikatoren (IOCs) und Erkennung

Kompromittierungsindikatoren (IOCs) sind Artefakte, die darauf hinweisen, dass ein System kompromittiert wurde oder angegriffen wird. Dazu gehören von Angreifern verwendete IP-Adressen, bösartige Domainnamen, Datei-Hashes von Malware, in Phishing-Kampagnen verwendete E-Mail-Adressen und Verhaltensmuster, die auf Kompromittierung hinweisen.

Durch die Sammlung von IOCs aus verschiedenen Quellen (Sicherheitsforscher, Behörden, Anbieter von Bedrohungsinformationen) können Organisationen kompromittierte Systeme erkennen, indem sie prüfen, ob ihre Systeme bösartige IP-Adressen kontaktiert, schädliche Dateien heruntergeladen oder bösartige Domains besucht haben. IOC-Feeds werden bei Entdeckung neuer Indikatoren kontinuierlich aktualisiert und ermöglichen Bedrohungserkennung nahezu in Echtzeit.

Cypher Sentinel integriert mehrere IOC-Feeds und ermöglicht Organisationen, eigene IOCs auf Grundlage ihrer Bedrohungssuche und Vorfallsuntersuchungen hinzuzufügen. Wenn Systeme mit IOCs übereinstimmen, warnt Cypher Sentinel automatisch und ermöglicht schnelle Vorfallsreaktion.

Dark-Web-Überwachung und Erkennung von Datenschutzverletzungen

Das Dark Web beherbergt Marktplätze und Foren, in denen Bedrohungsakteure gestohlene Daten, Malware und Hacking-Dienste kaufen und verkaufen. Dark-Web-Überwachung umfasst die kontinuierliche Beobachtung dieser Märkte und Foren auf organisationsbezogene Bedrohungen, einschließlich gestohlener Zugangsdaten, sensibler Daten aus Sicherheitsverletzungen und Gesprächen über geplante Angriffe.

Dark-Web-Überwachung ermöglicht Organisationen, Datenschutzverletzungen frühzeitig zu erkennen, bevor gestohlene Daten umfassend ausgenutzt werden, kompromittierte Zugangsdaten zu identifizieren, bevor Angreifer sie zum Eindringen nutzen, von ausgenutzten Schwachstellen zu erfahren und Frühwarnungen vor geplanten Angriffen auf die Organisation zu erhalten.

Wenn beispielsweise Zugangsdaten von Mitarbeitern einer Organisation im Dark Web zum Verkauf angeboten werden, kann die Dark-Web-Überwachung die Organisation warnen, damit sie Passwortzurücksetzungen erzwingt, bevor Angreifer diese Zugangsdaten zur Kontoübernahme nutzen. Wenn sensible Organisationsdaten auf Dark-Web-Märkten erscheinen, kann die Überwachung dies ebenfalls erkennen und die Benachrichtigung betroffener Kunden gemäß regulatorischen Anforderungen ermöglichen.

Verfolgung und Zuordnung fortgeschrittener anhaltender Bedrohungen (APT)

Fortgeschrittene anhaltende Bedrohungen (APTs) sind versierte, gut ausgestattete Bedrohungsakteure (typischerweise Nationalstaaten), die langfristige Kampagnen gegen bestimmte Ziele durchführen. APTs nutzen fortgeschrittene Techniken wie Zero-Day-Exploits, maßgeschneiderte Malware und strategische Planung und bleiben über längere Zeit in Zielnetzwerken präsent, um langfristige Ziele zu erreichen.

APT-Verfolgung umfasst die Überwachung der Aktivitäten von Bedrohungsakteuren, die Zuordnung von Angriffen zu bestimmten APTs, die Analyse ihrer Taktiken und Techniken sowie die Identifizierung ihrer Ziele und Absichten. Durch das Verständnis der APT-Gruppen, die ihre Branche angreifen, können Organisationen Abwehrmaßnahmen gegen konkrete Angriffsmuster umsetzen und Ressourcen auf die Bedrohungen mit dem höchsten Risiko konzentrieren.

APT-Verfolgung umfasst die Pflege von Bedrohungsinformationen über bekannte APT-Gruppen, einschließlich ihrer Namen (APT29, Lazarus usw.), ihrer Herkunft, Ziele, verwendeten Werkzeuge sowie Taktiken und Techniken. Dies ermöglicht Organisationen zu erkennen, wenn sie von bekannten APTs angegriffen werden, und geeignete Reaktionsverfahren einzusetzen.

Integration von Bedrohungsfeeds und Automatisierung

Moderne Plattformen für Bedrohungsinformationen integrieren mehrere Bedrohungsfeeds aus unterschiedlichen Quellen, darunter kommerzielle Anbieter von Bedrohungsinformationen, Behörden, Sicherheitsforschungsorganisationen und vergleichbare Organisationen. Dies bietet umfassende Abdeckung von Bedrohungen im gesamten Internet.

Die Integration von Bedrohungsfeeds ermöglicht Automatisierung: IOCs aus Feeds werden automatisch mit Organisationssystemen abgeglichen, zum Bedrohungsprofil der Organisation passende Bedrohungen automatisch priorisiert und Erkennungen aus Bedrohungsfeeds lösen automatisierte Reaktionsabläufe aus. Diese Automatisierung beschleunigt Bedrohungserkennung und -reaktion gegenüber manuellen Prozessen drastisch.

Cypher Sentinel integriert mehrere kommerzielle und öffentliche Bedrohungsfeeds und ermöglicht Organisationen, eigene Feeds passend zu ihrer Bedrohungslandschaft hinzuzufügen. Bedrohungsfeeds werden bei Entdeckung neuer Bedrohungen kontinuierlich aktualisiert, und Cypher Sentinel wendet die neuesten Informationen auf laufende Überwachung und Analyse an.

Malware-Analyse und -Informationen

Malware-Analyse umfasst die detaillierte Untersuchung von Malware-Proben, um ihre Funktionsweise, Fähigkeiten und Absicht zu verstehen. Malware-Informationen ermöglichen die Erkennung neuer Varianten vor ihrer weiten Verbreitung, das Verständnis von Malware-Familien und ihrer Entwicklung sowie die Zuordnung zu bestimmten Bedrohungsakteuren.

Fortschrittliche Malware-Analyse umfasst statische Analyse (Untersuchung des Malware-Codes ohne Ausführung), dynamische Analyse (Ausführung in kontrollierten Umgebungen zur Verhaltensbeobachtung) und Verhaltensanalyse (Verständnis der Malware-Aktivität zur Laufzeit). Diese Analyse ermöglicht die Extraktion von IOCs und Verhaltenssignaturen zur Malware-Erkennung.

Cypher Sentinel integriert Malware-Analysedienste und pflegt Malware-Informationen über bekannte Familien, wodurch schnelle Malware-Identifizierung und Extraktion von Erkennungssignaturen ermöglicht werden.

Bedrohungsforschung und neue Bedrohungen

Proaktive Bedrohungsforschung umfasst die aktive Suche nach neuen Bedrohungen, die Analyse neuer Angriffstechniken und das Verständnis der Entwicklung von Bedrohungsakteuren. Sicherheitsforschungsorganisationen und Unternehmen für Bedrohungsinformationen forschen kontinuierlich, um neue Bedrohungen zu identifizieren, bevor sie Organisationen treffen.

Ergebnisse der Bedrohungsforschung werden in Bedrohungsberichten, Blogs und Forschungsarbeiten veröffentlicht, damit Organisationen sich über neue Bedrohungen informieren können. Organisationen mit Abonnements für Bedrohungsinformationsdienste erhalten kuratierte Informationen, die auf Bedrohungen für ihre Branche und Organisation ausgerichtet sind.

Cypher Sentinel bietet Zugang zu Bedrohungsforschung und Informationen über neue Bedrohungen, damit Sicherheitsteams über deren Entwicklung informiert bleiben und ihre Abwehr entsprechend anpassen können.