Was ist eine Threat Intelligence Platform?

Eine Threat Intelligence Platform, kurz TIP, führt Bedrohungsinformationen aus internen Beobachtungen, kommerziellen Feeds, offenen Quellen und vertrauenswürdigen Gemeinschaften zusammen. Sie normalisiert Indikatoren, ergänzt Kontext, entfernt Duplikate und verteilt relevante Informationen an Werkzeuge und Analysten.

Eine lange Liste von IP-Adressen ist noch keine nützliche Intelligence. Indikatoren altern schnell und können zu legitimen gemeinsamen Diensten gehören. Wertvoll wird eine TIP, wenn sie technische Daten mit Akteuren, Kampagnen, Vertrauensniveau, Zeit und den eigenen Assets verbindet.

Wobei unterstützt eine TIP?

• - SOC-Alarme mit Reputation, Kampagnen- und Attributionskontext anreichern.
• - Beobachtungen, Vertrauen, Quelle und Ablaufdatum von Indikatoren verwalten.
• - Strukturierte Daten über Standards wie STIX und TAXII austauschen.
• - Informationen priorisieren, die für Technologie und Exposition des Unternehmens relevant sind.

Was ersetzt eine TIP nicht?

Sie ersetzt weder Analyse noch Asset-Wissen oder ein SIEM. Automatisches Blockieren schwacher oder veralteter Indikatoren kann legitimen Traffic stören. Kontext und Lebenszyklus bleiben deshalb entscheidend.

Wie sieht der Arbeitsablauf einer TIP aus?

1. Sammeln: Interne Beobachtungen und externe Quellen mit Herkunft und Nutzungsbedingungen übernehmen.
2. Normalisieren: Formate, Zeitangaben, Entitäten und Beziehungen vereinheitlichen.
3. Anreichern: Indikatoren mit Kampagne, Malware, Infrastruktur, eigenen Assets und früheren Beobachtungen verbinden.
4. Bewerten: Vertrauen, Aktualität, Relevanz und mögliche Fehlalarme dokumentieren.
5. Verteilen: Nur passende Daten an SIEM, EDR, Firewalls, Case Management oder Analysten geben.
6. Überprüfen: Ablaufdaten, Trefferqualität und Rückmeldungen aus Einsätzen in die Bewertung zurückführen.

Welche Qualitätsmerkmale sind wichtig?

Jede Information braucht eine nachvollziehbare Quelle, Beobachtungszeit, Vertrauensbewertung und ein Ablaufdatum. Ein einzelner Hash ist meist präzise, aber kurzlebig; eine Beschreibung von Verhalten oder Angriffstechnik bleibt länger nutzbar, verlangt jedoch Analyse. Erfolg wird nicht an importierten Indikatoren gemessen, sondern an relevanten Funden, verkürzter Analysezeit und vermiedenen Fehlentscheidungen. Freigaberegeln müssen außerdem bestimmen, welche Informationen mit Partnern geteilt werden dürfen.