ThreatHunting-Keywords

🎯 Liste von Keywords für ThreatHunting-Sessions

Inhaltsverzeichnis

• Was ist Threat Hunting?
  • Vorteile von Threat Hunting
  • Verbindung von Threat Hunting mit Kerndiensten
  • Reifegrad der Erkennung
  • Wichtige Fokusbereiche für die Intelligence-Gewinnung
  • Zielgerichteter Threat-Hunting-Prozess
• Dateien
• ThreatHunting-Keywords für das Blue Team
• ThreatHunting-Keywords für das Red Team
• Inhalt der Lookup-Datei
• Jagen mit einer SIEM
  • Rohdaten-Logs
  • spezifische Felder
  • Geschwindigkeit
  • Dashboard-Beispiel
  • Splunk4DFIR
  • Mit ELK ist es anders
  • Andere großartige Listen zur Erkennung
• Jagen ohne SIEM
  • DFIR-optimierte Jagd
  • YARA-Regeln
• Website
• Erwartete False Positives
• SIGMA-Regeln
• beitragen

Was ist Threat Hunting?

Threat Hunting ist ein proaktiver und iterativer Ansatz zur Erkennung bösartiger Aktivitäten im Netzwerk oder in den Systemen einer Organisation, die automatisierte Sicherheitsmaßnahmen umgangen haben könnten. Im Gegensatz zu reaktiven Untersuchungen, die durch Sicherheitswarnungen ausgelöst werden, wird Threat Hunting durch Threat-Intelligence (TI)-gestützte Prüfungen und Hypothesen angetrieben, die aus systematischer und opportunistischer Analyse abgeleitet werden. Diese Hypothesen 💡 helfen Jägern, unbekannte Bedrohungen, potenzielle Bedrohungen oder bekannte Bedrohungen aufzudecken, die Sicherheitserkennungen umgangen haben könnten, sowie Schwachstellen oder Kompromittierungsindikatoren (Indicators of Compromise, IoCs), die automatisierte Systeme möglicherweise übersehen oder ausschließen. Der Prozess konzentriert sich außerdem auf die Identifizierung von Vorläufern von Warnungen/Dashboards und die Verbesserung von SOC-/Triage-Workflows, trägt gleichzeitig zur Inventarverwaltung von Schatten-Assets bei und eskaliert Ereignisse mit niedriger/mittlerer Zuverlässigkeit, die weiterer Untersuchungen bedürfen. Das Hauptziel besteht darin, die von Bedrohungsakteuren verwendeten Taktiken, Techniken und Verfahren (TTPs) zu identifizieren und so die Fähigkeit der Organisation zu verbessern, potenzielle Angriffe vorbeugend zu erkennen und abzumildern.

Vorteile von Threat Hunting:

• 🔍 Erkennen von Sichtbarkeitslücken
  • Erkennt Bereiche, in denen Überwachung und Erkennung unzureichend sind, und behebt blinde Flecken im Netzwerk oder in den Systemen, um versteckte Bedrohungen zu entschärfen.
• 🛠️ Schließt Erkennungslücken
  • Proaktive Suche nach Anomalien, Vorläufern und TTPs, die möglicherweise keine Warnungen auslösen
• ⚙️ Verbessert die SOC-Effizienz
  • Integriert Erkenntnisse aus dem Threat Hunting in SOC-Workflows, um Ereignisse aufzudecken, die statische Erkennungen übersehen könnten. Durch die Reduzierung von False Positives und die Eskalation übersehener Ereignisse können sich SOC-Analysten auf kritische Bedrohungen konzentrieren und die Erkennungslogik für die Zukunft verfeinern.
• 🚀 Verbessert die Bedrohungserkennung und unterstützt kontinuierliche Verbesserung
  • Identifiziert fortgeschrittene, unbekannte oder versteckte Bedrohungen, die automatisierte Erkennungssysteme umgehen, und speist wertvolle Daten in SOC-Prozesse zurück, wodurch Tools, Schulungen und zukünftige Erkennungsfähigkeiten verbessert werden
• 🛡️ Reduziert die Angriffsfläche
  • Entdeckt unverwaltete oder nicht autorisierte Systeme, Anwendungen und Schatten-IT im Netzwerk, sodass Organisationen Sicherheitsblindstellen beheben und die Gefährdung durch potenzielle Bedrohungen verringern können

Verbindung von Threat Hunting mit Kerndiensten

Threat-Hunting-Lebenszyklus im SOC-Betrieb

Mein Prozessvorschlag zur Organisation teilautomatisierter Threat-Hunting-Sessions, um qualitativ hochwertige Erkennungsregeln innerhalb eines SOC zu pflegen

Reifegrad der Erkennung

SOC-Teams konzentrieren sich darauf, hochzuverlässige Erkennungen auf allen Ebenen der Detection-Maturity-Pyramide zu implementieren und bekannte Bedrohungen mit minimalen False Positives zu adressieren. Threat Hunting ergänzt dies, indem es sich unbekannten Bedrohungen, fortgeschrittenen TTPs und Anomalien widmet, die anfällig für hohe False-Positive-Raten sind, Lücken schließt und die Erkennungsabdeckung über die Standardfähigkeiten des SOC hinaus erweitert.

Threat-Hunting-Checkliste – Wichtige Fokusbereiche für die Intelligence-Gewinnung

Beispiel für eine gezielte Threat-Hunting-Methodik

Idealerweise sollte jede Threat-Hunting-Session klare Ziele haben. Dieses Flussdiagramm bietet einen strukturierten Ansatz, der Ihren Prozess von der Vorbereitung und Untersuchung bis hin zu umsetzbaren Empfehlungen leitet.

---

🎯 Liste von Keywords für ThreatHunting-Sessions

Dateien

• ThreatHunting-Keywords
• Greyware-Tool-Keywords
• Keywords für offensive Tools
• Signatur-Keywords von Anbietern
• einzelne Tools (eine CSV-Datei pro Tool)
• Nur alle Keywords
• Nur alle Keywords als Regex
• Nur alle Keywords als Regex (bessere Leistung)
• Powershell-Skript zur Suche in Dateien
• Yara-Regeln
• Sigma-Regeln