CISA KEV Threat Intel Orchestrator

Zero-Touch-Pipeline, die neu bewaffnete CVEs aus dem CISA-Katalog der bekannten ausgenutzten Schwachstellen (KEV) automatisch jede Woche in produktionsreife Sigma-Erkennungsregeln umwandelt.

Das Problem

Das manuelle Umwandeln eines neuen KEV-Eintrags in eine brauchbare Erkennung ist langsam: Prüfung der Warnmeldung, Recherche des Angriffsmusters, Schreiben einer Sigma-Regel, Testen, Briefing des Teams. Das sind ungefähr 4–6 Stunden pro CVE. Zehn neue Einträge in einer Woche bedeuten eine volle Arbeitswoche, und die meisten SOCs haben nicht jeden Montag eine freie Analystenwoche übrig.

Was das macht

Jeden Montag um 8:00 Uhr führt die Pipeline Folgendes aus:

1. Ruft den aktuellen CISA KEV-Katalog ab und isoliert neu hinzugefügte, bewaffnete CVEs seit dem letzten Durchlauf.
2. Erzeugt eine Sigma-Erkennungsregel pro CVE mithilfe von Google Gemini, eingeschränkt durch einen strukturierten Prompt, der das Modell zwingt:
   • das exakte Produkt/den Hersteller aus dem CVE zu adressieren (keine generische Platzhalterregel)
   • die korrekten Sysmon-Ereignis-IDs für die Technik zu verwenden (Prozesserstellung, Netzwerk, Image-Load, LSASS, Registrierung)
   • 3–5 Bedingungsfilter zur Kontrolle von Fehlalarmen einzufügen
   • auf eine relevante MITRE ATT&CK-Technik abzubilden
   • nur sauberes YAML auszugeben, bereit zur Verwendung in Splunk, Elastic oder Wazuh
3. Protokolliert jeden verarbeiteten CVE in einem Google Sheet – einen laufenden, mit Zeitstempel versehenen Prüfpfad, wann eine Schwachstelle offengelegt wurde und wann eine Erkennungsregel dafür existierte. Entwickelt mit Blick auf die Nachweisanforderungen des proaktiven Schwachstellenmanagements nach SOC 2 / ISO 27001, nicht nur als einfaches Protokoll.