Die Bedrohungen im Bereich der Cybersicherheit entwickeln sich ständig weiter. CISO- und IT-Leiter müssen sich neuen Gefahren stellen, die eine angepasste Strategie erfordern, um den Verteidigern die nötigen Mittel für eine echte Resilienz an die Hand zu geben.
So sind die Dienste der CTI (oder Cyber Threat Intelligence) entstanden und haben begonnen, in Unternehmen eine zentrale Rolle zu spielen, mit dem Ziel, „alle Informationen im Zusammenhang mit Bedrohungen aus dem Cyberspace zu sammeln und zu organisieren“[1]
Dennoch bleibt das Konzept der CTI für manche Unternehmen ein vager Begriff. CTI wird oft mit Herausforderungen und Visionen verknüpft, die nicht immer zutreffend sind. Wir haben bereits einen Artikel darüber veröffentlicht, warum Teamarbeit für mehr Sicherheit sorgt , schauen wir uns nun die 4 wichtigsten Herausforderungen der CTI an.
- CTI: Ein Gewinn
- CTI: Teamarbeit ist gefragt
- Intelligence ist ein kollektiver Prozess
- Gute CTI erfordert ein vielfältiges Team
CTI: Ein Gewinn
Eine Studie von Forrester Consulting[2] wies auf eine „erhebliche Lücke zwischen der Geschwindigkeit, mit der Unternehmen Ransomware erkennen, und der Geschwindigkeit eines Angriffs“ hin. Die Auswirkungen solcher Angriffe auf ein Unternehmen (Umsatzeinbußen, Datenverlust, Reputationsschäden usw.) sind hinlänglich bekannt. Diese Studie unterstreicht die enorme Bedeutung des Bereichs Intelligence innerhalb eines Cybersicherheitsteams.
Indem sie Unternehmen in Echtzeit verwertbare Informationen über Bedrohungen liefert, helfen CTI-Teams dabei, deren Vermögenswerte zu schützen. Die Algorithmen unserer KI: CYBERIA überwachen und identifizieren Bedrohungen sowie die dahinterstehenden Akteure und ermöglichen es den Teams, gezielte Cyberangriffe auf Unternehmen schnell zu erkennen.
TEHTRIS CYBERIA ist eine umfassende und kollektive Künstliche Intelligenz. Sie basiert auf einer Kombination modernster Techniken aus den Bereichen Machine Learning, Deep Learning, Active Learning und Reinforcement Learning.
Dank ihrer weitreichenden Überwachung aller Komponenten der TEHTRIS XDR Platform wird sie zu einem Verbündeten, der Ihre Systeme kontinuierlich im Blick behält und mit der Cyber Threat Intelligence von TEHTRIS vernetzt ist.
CTI ist ein Instrument zur Unterstützung strategischer Entscheidungen.
Sie ergänzt das bestehende Sicherheitsarsenal um einen wichtigen Baustein. Auf diese Weise bietet sie:
- Zeitersparnis (dies ermöglicht die Optimierung relevanter Informationen für den Analysten.)
- Entscheidungshilfe (schnellere und fundiertere Entscheidungsfindung)
- Unterstützung in der Kundenkommunikation
- Unterstützung bei der Risikobewertung
- Beitrag zum Krisenmanagement
- Unterstützung bei der Senkung der durchschnittlichen Kosten einer Sicherheitsverletzung.
Threat Intelligence liefert wertvolle Informationen, die dazu beitragen, Risiken zu vermeiden oder zu verringern. Kontextualisierte Informationen werden zu verwertbarem Wissen.
Ohne Kontext verlieren Informationen an Nutzen und kosten Analysten, die in der Datenflut ertrinken, wertvolle Zeit. CTI-Teams, unterstützt durch künstlicher Intelligenz können verschiedene Informationsquellen zusammenführen und interpretieren. TEHTRIS automatisiert sowohl die Erfassung als auch die Verarbeitung der Daten und verknüpft die Informationen, um strukturierte Daten bereitzustellen.
SOC-Teams können so verstehen, wer ihre Gegner sind: Was motiviert einen Cyberkriminellen und welche Angriffstechniken nutzt er? Die Integration proaktiver Threat Intelligence erhöht die Kapazitäten zur Reaktion auf Vorfälle. Sobald die technischen Teams über diese Informationen verfügen, wissen sie, nach welchen Indikatoren für eine Kompromittierung sie suchen müssen, und können so die richtigen Entscheidungen treffen, ohne Zeit zu verlieren.
Die gewonnenen Erkenntnisse müssen daher zugänglich, an die operative Umgebung angepasst (eine ständige Anpassung an sich ändernde Umgebungen ist erforderlich) und natürlich umsetzbar sein. Daher muss die SIEM in die CTI integriert werden.
Das SOC kann somit Informationen abrufen über:
- Kataloge von Phishing-URLs
- Angriffsszenarien, die es ermöglichen, Schwachstellen zu beheben
- Domains und IP-Adressen mit schlechtem Ruf.
- Informationen über Schadsoftware
- Informationen über Command-and-Control-Server (C&C)
Threat Intelligence ermöglicht es:
- neue Erkennungsregeln und Korrelationen zu entwickeln.
- Datenlecks aufzudecken.
Das SOC (Security Operations Center) profitiert also davon – und es ist nicht das einzige!
CTI: Teamarbeit ist gefragt
Die ursprüngliche Vision von CTI (Cyber Threat Intelligence) beschränkt sich oft auf die Zusammenarbeit mit dem SOC (Security Operations Center) und die Unterstützung der Teams, die für Sicherheitsoperationen und die Reaktion auf Vorfälle zuständig sind. Eine gute CTI muss heute jedoch mit den verschiedenen Abteilungen des Unternehmens interagieren und den gesamten Cyber-Mikrokosmos sowie die gesamte Organisation einbeziehen – von den Threat-Analysten im SOC bis hin zum Executive Committee (COMEX).
Das gesamte Ökosystem des Unternehmens muss mit den Intelligence-Teams vernetzt sein. Die Zusammenarbeit zwischen den verschiedenen Teams ermöglicht einen einheitlichen Ansatz bei der Bearbeitung und Reaktion auf Vorfälle, und Informationen über Bedrohungen müssen mit der Überwachungsinfrastruktur kombiniert werden.
Das CTI-Team muss daher vernetzt sein und Informationen mit anderen Stakeholdern teilen, wie zum Beispiel:
- den Teams des VOC (Vulnerability Operations Center) für Partner
CTI ermöglicht die Nachverfolgung, Qualifizierung und Priorisierung von Schwachstellen im jeweiligen Kontext. Ohne eine Risikobewertung können die Verteidiger keine fundierten Entscheidungen treffen.
- den technischen Teamsvon Architekten bis hin zu den Verantwortlichen für die Reaktion auf Vorfälle.
Diese Teams sind dadurch besser gerüstet, um Angriffe zu neutralisieren. Die Kontextualisierung ermöglicht bessere Analysen und die Antizipation von Bedrohungen basierend auf Branchen, aktuellen Ereignissen oder neuen Technologien...
Alle kontextualisierten Informationen steigern die Effektivität neuer Technologien wie Anti-Spam, Anti-Malware, EPP, EDR usw. Analysten benötigen Informationen in Echtzeit, die auf eine hyperautomatisierte Weise bereitgestellt werden. Genau das bietet die TEHTRIS XDR Platform. CTI ist ein Gewinn für Ihre Antizipation.
- die Geschäftsführung: CISO, CIO, Finanzvorstand, Verwaltungsrat
Die bereitgestellten Informationen helfen dabei, strategische und operative Fragen zu beantworten.
Strategische Aufklärung verfolgt ein langfristiges Ziel. Diese Daten ermöglichen es der Geschäftsführung, Bedrohungsszenarien für das eigene Unternehmen zu modellieren. Unternehmen oder Behörden können Trends durch Analysen von Kampagnen, Bedrohungsgruppen und Schwachstellen kartieren und bewerten. Diese Ergebnisse bilden die Grundlage für einen soliden Schutzplan, um Szenarien zu durchdenken und sich darauf vorzubereiten.
Führungsteams können so langfristige Risiken reduzieren.
Intelligence ist ein kollektiver Prozess
Das Handeln als „Gemeinschaft“ für eine kollaborative Cybersicherheit ist eine der größten Herausforderungen der Cyber Threat Intelligence: Der Wissensaustausch ermöglicht es jedem, dazuzulernen, Angriffe besser zu verstehen und sich somit effektiver zu schützen.
Solche Gemeinschaften existieren bereits, wie etwa die Cyber Threat Alliance (CTA), der TEHTRIS angehört, oder das INTERCERT.
https://tehtris.com/fr/blog/cyber-threat-intelligence-faire-equipe-pour-une-meilleure-cybersecurite
Das Ziel dieser Cyber Threat Alliance ist es, jedem Mitglied Zugang zu hochwertigen Cyber-Informationen über eine gemeinsam genutzte und vom Konsortium gewartete Plattform zu bieten. Diese Initiative trägt dazu bei, die Qualität der nutzbaren Cyber-Informationen zu harmonisieren, deren Anwendung auf eine breitere Basis zu stellen und somit die Kapazitäten zur Bekämpfung der Cyberkriminalität zu stärken.
Dieser Austausch sollte nicht auf das eigene Unternehmen beschränkt bleiben. Es ist wichtig, diese Informationen (anonymisiert und unter Wahrung der Kundeninteressen) auch innerhalb der Cyber-Intelligence-Community zu teilen.
Der Austausch dieser Informationen ist notwendig, um das gesamte Sicherheitsökosystem besser zu informieren (Regierungen und Behörden, Organisationen des Privatsektors sowie deren Zulieferer). Unternehmen können sich so der drohenden Gefahren bewusst werden und entsprechende Vorkehrungen treffen.
Der nächste Schritt: XTI (Extended Threat Intelligence), das eine Bestandsaufnahme der externen Angriffsfläche ermöglicht und kontextbezogene Daten teilt. Dieser neue Ansatz bietet Sichtbarkeit ohne blinde Flecken.
Dank dieser Koordination sind wir stärker.
Gute CTI erfordert ein vielfältiges Team
Um sich wirksam vor Cyberangriffen zu schützen, muss man die Techniken und Methoden der Cyberkriminellen kennen. Dafür sind technische Teams erforderlich, aber nicht nur diese.
Der politische, wirtschaftliche und kulturelle Kontext erfordert sehr unterschiedliche Profile, die man bisher nicht unbedingt in Cybersicherheitsteams vermutet hätte. So haben beispielsweise Linguisten, Wirtschaftswissenschaftler, Politikwissenschaftler, Psychologen usw. dort mittlerweile ihren festen Platz!
Diese Einordnung in andere Disziplinen ist entscheidend, um die Herausforderungen und Motivationen hinter bestimmten Bedrohungen zu verstehen. Die Komplementarität der Profile wird essenziell. Das Konzept der Multidisziplinarität muss in Ihre Cyber-Strategie integriert werden. Der Austausch von komplementärem Wissen der Analysten, gepaart mit dem Know-how jedes einzelnen Mitglieds der Organisation, ermöglicht die Entwicklung der besten Sicherheitslösungen aus verschiedenen Blickwinkeln.
Die TEHTRIS XDR-Toolbox, bestehend aus EDR, SIEM, NTD und SOAR, profitiert nativ von integrierten Bedrohungsinformationen. Diese Kombination von Technologien stärkt Ihre Sicherheit und verbessert Ihre Verteidigung.
[1] Wikipedia
[2] Forrester. Automation and Unification Enable a Cohesive Attack Surface Defense. 2022
