Bedrohungsinformationen
Externe und interne Bedrohungsinformationen in konkreten Asset-, Schwachstellen- und Risikokontext übersetzen.
Worum geht es?
Threat Intelligence ist kein News-Feed. Nutzen entsteht erst, wenn Informationen zu Angreifern, Kampagnen, Techniken und neuen Schwachstellen auf eigene Assets, Exposition und Kontrollen bezogen und daraus Handlungen abgeleitet werden.
Sammeln
Relevante Quellen kontinuierlich beobachten.
Kontext
Information mit Assets und Exposition verbinden.
Handeln
Detection, Patch oder Risiko anpassen.
Wie aus externen Signalen handlungsrelevantes Bedrohungswissen wird
Welche Beziehungen aus Signalen handlungsrelevantes Wissen machen
Bedrohung ist keine Schwachstelle
Eine Bedrohung beschreibt mögliche oder aktive schädliche Einwirkung. Eine Schwachstelle ist eine ausnutzbare Schwäche. Erst der konkrete Zusammenhang mit einem Asset schafft Priorität.
Intelligence muss handlungsfähig machen
Sammlung ohne Bewertung erzeugt Informationsmenge, aber noch keine bessere Sicherheit.
Bedrohung wird erst im eigenen Kontext relevant
Externe Informationen erzeugen nicht automatisch Handlungsbedarf. Relevanz entsteht aus dem Zusammenspiel von Angreifer, exponiertem Asset, Schwachstelle, möglicher Auswirkung und vorhandenen Kontrollen.
Relevanz statt Nachrichtenflut
Bedrohungsinformationen nach eigenen Technologien, Lieferanten, Assets, Daten und Angriffspfaden filtern.
Vulnerability Management anreichern
Neue Angriffsmethoden, aktive Ausnutzung und bekannte Kampagnen können die Priorität vorhandener Schwachstellen deutlich verändern.
Detection und Response anpassen
Relevante Erkenntnisse in Überwachung, Erkennungsregeln, Schutzmaßnahmen, Tests und Incident-Readiness übersetzen.
Welche Fähigkeiten müssen zusammenspielen?
Im Framework weiterarbeiten
Bedrohungsinformationen
Bedrohungsinformationen verbinden Außenwelt und eigene Umgebung – damit Prioritäten auf realem Kontext beruhen.