Cyber Threat Intelligence Programm aufbauen: Von OSINT bis MISP

"Wer ist unser Gegner, welche Methoden nutzen sie, und welche Assets greifen sie bevorzugt an?" - das sind die Kernfragen von Cyber Threat Intelligence. Ohne CTI verteidigen Unternehmen reaktiv nach dem letzten Vorfall. Mit CTI antizipieren sie Angriffe und priorisieren Abwehrmaßnahmen basierend auf echter Bedrohungslage statt Bauchgefühl.

Die drei CTI-Ebenen

Strategische Threat Intelligence:

• Zielgruppe: CISO, Vorstand, Risikokomitee
• Fragen: Wer greift uns an? Warum? Welche Branchen werden angegriffen?
• Format: Threat Landscape Reports, Executive Briefings, Trend-Analysen
• Quellen: Vendor Reports (Mandiant M-Trends, CrowdStrike Global Threat Report), Branchenverbände, ENISA Threat Landscape, BKA Cybercrime-Berichte, Verfassungsschutz-Berichte
• Zeitraum: Quartalsbericht, Jahresreport
• Beispiel: "APT28 (Fancy Bear) greift verstärkt KMUs im Automotive-Bereich an"

Operative Threat Intelligence:

• Zielgruppe: SOC-Lead, Incident Responder, Threat Hunter
• Fragen: Welche Kampagnen sind aktiv? Welche TTPs nutzen aktuelle Angreifer? Welche Malware-Familien sind im Umlauf?
• Format: Campaign Reports, Malware Analysis Reports, TTP-Beschreibungen
• Quellen: ISAC (Information Sharing and Analysis Centers), Vendor Intelligence Feeds (Recorded Future, Intel471), FS-ISAC, Auto-ISAC, H-ISAC (Branchenspezifisch!)
• Zeitraum: Wöchentlich bis täglich
• Beispiel: "LockBit-Gruppe nutzt CVE-2024-XXXX für Initial Access via RDP"

Taktische Threat Intelligence:

• Zielgruppe: SOC Tier 1/2, SIEM-Analysten, Security Operations
• Fragen: Welche IPs/Domains/Hashes sind bekannt bösartig?
• Format: IOC-Feeds (Indicators of Compromise), IP-Blocklisten, Domain-Blacklists, File-Hashes, YARA-Rules
• Quellen: AbuseIPDB, Shodan, VirusTotal, AlienVault OTX, MISP Communities, Spamhaus, Emerging Threats
• Zeitraum: Echtzeit bis stündlich (TTL beachten!)
• Beispiel: "IP 185.220.x.x = Tor Exit Node; Hash abc123 = Emotet Dropper"

WICHTIG - IOC-Halbwertszeit:

MITRE ATT&CK-basiertes Tracking ist länger werthaltig als IOC-Jagd!

OSINT-Quellen für CTI

Kostenlose CTI-Quellen:

Threat Intel Feeds (Open Source):

AlienVault OTX (Open Threat Exchange):

• otx.alienvault.com - größte freie TI-Community
• Pulse-System: kuratierte IOC-Sets nach Thema
• API: curl https://otx.alienvault.com/api/v1/pulses/subscribed -H "X-OTX-API-KEY: <key>"
• Direkte MISP-Integration möglich

MISP Default Feeds:

• CIRCL MISP: feeds.circl.lu (Luxemburger CERT)
• Botvrij.eu: Curated IOCs
• MITRE ATT&CK: als MISP Galaxy
• Konfiguration: Administration - Feeds - "Fetch all feeds"

Malware-Repositories:

• MalwareBazaar (abuse.ch): malwarebazaar.abuse.ch/api/
• curl -d 'query=get_recent&selector=100' https://mb.abuse.ch/api/v1/
• VirusTotal Intelligence (kostenpflichtig, aber Grundversion gratis)
• Any.Run: Malware-Sandbox mit öffentlichen Reports
• Hybrid Analysis: hybridanalysis.com (kostenloser Upload + Report)

Ransomware-spezifisch:

• Ransomware.live: ransom.wiki - Tracking von Leak-Sites
• ID Ransomware: id-ransomware.malwarehunterteam.com
• DarkFeed: kostenpflichtig aber sehr vollständig

Schwachstellen-Intelligence:

• CISA KEV (Known Exploited Vulnerabilities): curl https://www.cisa.gov/sites/default/files/feeds/known_exploited_vulnerabilities.json
• VulDB: German Vulnerability Database
• EPSS API: api.first.org/data/v1/epss?cve=CVE-2024-XXXX

Darknet-Monitoring (OSINT):

• DarkOwl, Flare, Cybersixgill: kostenpflichtig
• GitHub: "awesome-threat-intelligence" Repos
• Telegram-Monitoring: viele Gruppen öffentlich (Graykey, etc.)

Brandingschutz (Domain-Monitoring):

• DNSTwist: python3 -m dnstwist -r firma.de (ähnliche Domains)
• PhishTank: phishing domains mit Brand-Missbrauch
• urlscan.io: Scans von Seiten die eure Marke imitieren
• Certificate Transparency: crt.sh für unbekannte Sub-Domains

MISP - Threat Intelligence Platform

MISP (Malware Information Sharing Platform) ist der de facto Standard für Threat Intelligence Sharing.

Installation (Docker):

git clone https://github.com/MISP/misp-docker.git
cd misp-docker
cp template.env .env  # Konfigurieren: MYSQL_PASSWORD, MISP_URL
docker-compose up -d
# MISP erreichbar auf: https://localhost:443
# Default Login: admin@admin.test / admin - SOFORT ändern!

MISP Grundkonzepte:

TLP (Traffic Light Protocol) - Pflicht beim Teilen:

MISP-API für SIEM-Integration:

# Alle Events seit gestern:
import pymisp
misp = pymisp.PyMISP('https://misp.intern', 'API_KEY')
events = misp.search(timestamp='1d', to_ids=True)

# IOC-Export als CSV:
curl -H "Authorization: API_KEY" \
  "https://misp.intern/attributes/restSearch/csv?type=ip-dst&timestamp=1d"

# Direkter SIEM-Export (Splunk-Format):
curl -H "Authorization: API_KEY" \
  "https://misp.intern/feeds/previewIndex/FEED_ID"

Sentinel-Integration:

• "Microsoft Sentinel" Data Connector: nativ verfügbar
• MISP - Sentinel Threat Intelligence Blade - KQL Matching
• Automatische Alert-Anreicherung mit MISP-Kontext

Splunk-Integration:

• MISP42 Splunk App (Splunkbase kostenlos)
• Lookup-Tabellen aus MISP-Feeds
• Correlation Search: src_ip IN (misp_lookup ip-dst)

OpenCTI - Alternative zu MISP

OpenCTI (OpenCTI Platform) verfolgt einen strukturierten, relationalen Ansatz.

Vorteile vs. MISP:

• Graphdatenbank: Beziehungen zwischen Entitäten visualisierbar
• STIX 2.1 nativ (MISP hat STIX-Export aber kein natives Format)
• Bessere UI für Analyst Workflow (Diamond Model, Kill Chain Mapping)
• Connector-Ökosystem: MITRE ATT&CK, MISP, VirusTotal, Shodan...

Installation (Docker Compose):

git clone https://github.com/OpenCTI-Platform/docker.git opencti-docker
cd opencti-docker
cp .env.sample .env  # Konfigurieren
docker-compose up -d
# Port: 8080

Connectors aktivieren (config/connectors.yml):

# MITRE ATT&CK Connector:
OPENCTI_URL: http://opencti:8080
OPENCTI_TOKEN: <admin-token>
CONNECTOR_ID: <uuid>
MITRE_REMOVE_STATEMENT_MARKINGS: false
MITRE_INTERVAL: 7  # Tage zwischen Updates

# VirusTotal Enrichment:
VIRUSTOTAL_TOKEN: <vt-api-key>
VIRUSTOTAL_MAX_TLP: TLP:AMBER

Use Case - Tracking einer APT-Gruppe:

1. Entity erstellen: "APT28" (Threat Actor)
2. Intrusion Sets verknüpfen: "Fancy Bear", "Sofacy"
3. TTPs: ATT&CK Techniken (T1566 Phishing, T1059 Command Line)
4. Malware: Zebrocy, X-Agent (verknüpfte Malware-Familien)
5. Campaigns: aktuell aktive Kampagnen mit IOCs
6. Targets: betroffene Branchen/Länder

Ergebnis: vollständiges Bild der Gruppe für den Analysten.

STIX/TAXII - Austauschstandards

STIX 2.1 (Structured Threat Information Expression) ist das Datenformat, TAXII 2.1 das Transportprotokoll für den Austausch.

STIX-Objekte (Domain Objects):

STIX Indicator Pattern (IOC in STIX):

{
  "type": "indicator",
  "spec_version": "2.1",
  "id": "indicator--...",
  "name": "Malicious IP 185.220.x.x",
  "pattern": "[ipv4-addr:value = '185.220.x.x']",
  "pattern_type": "stix",
  "valid_from": "2026-01-01T00:00:00Z",
  "labels": ["malicious-activity"],
  "confidence": 90
}

TAXII 2.1 (Trusted Automated eXchange of Intelligence):

• Transportprotokoll für STIX-Daten
• Collections: logische Gruppen von STIX-Objekten
• API Discovery: GET /taxii2/
• Collections abrufen: GET /api1/collections/

TAXII-Client (Python):

from taxii2client.v21 import Server

server = Server('https://cti-taxii.mitre.org/taxii/',
                user='guest', password='guest')
api_root = server.api_roots[0]
collection = api_root.collections[0]
# MITRE ATT&CK abrufen:
bundle = collection.get_objects()

CTI-Integration in Security Operations

Praktische Integration ins SIEM:

Microsoft Sentinel Threat Intelligence:

• Data Connector "Threat Intelligence Platform" - MISP/TAXII
• Threat Intelligence Blade: alle IOCs visualisiert
• Analytics Rule (KQL):

ThreatIntelligenceIndicator
| where Action != "alert"
| where ExpirationDateTime > now()
| join kind=inner (
    CommonSecurityLog
    | where TimeGenerated > ago(1d)
) on $left.NetworkIP == $right.DestinationIP
| project TimeGenerated, SourceIP, DestinationIP, ThreatType, ConfidenceScore

Splunk Threat Intelligence Framework:

# threat_intel Lookup-Table pflegen:
| inputlookup threat_ip.csv
| outputlookup threat_ip.csv

# Correlation Search:
index=network sourcetype=firewall
| lookup threat_ip ip AS dest_ip OUTPUT threat_key
| where isnotnull(threat_key)
| stats count by src_ip, dest_ip, threat_key

EDR-Integration (CrowdStrike Falcon) - Custom IOC Management via API:

curl -X POST "https://api.crowdstrike.com/iocs/entities/indicators/v1" \
  -H "Authorization: Bearer <token>" \
  -d '{"indicators": [{"type": "ipv4", "value": "185.220.x.x",
       "action": "prevent", "severity": "high", "platforms": ["windows"]}]}'

Automatisch blockiert + Alert bei Match.

Intelligence Requirements (PIRs):

KEINE CTI ohne Anforderungen! Vorher definieren:

• PIR 1: "Welche Ransomware-Gruppen greifen Healthcare in DACH an?"
• PIR 2: "Gibt es aktive Phishing-Kampagnen die unsere Marke missbrauchen?"
• PIR 3: "Werden unsere IPs/Domains auf Blocklisten geführt?"
• PIR 4: "Welche CVEs werden aktiv für Initial Access genutzt?"

Jeder Report, jeder Feed muss einem PIR zugeordnet sein.

CTI-Team und Reifegradmodell

CTI Maturity Model (TI-Maturity):

Level 0 - Nicht vorhanden:

• Kein systematisches CTI, reagiert nur auf Vorfälle
• Einstieg: CISA KEV abonnieren, MISP installieren

Level 1 - Reaktiv (IOC-basiert):

• IOC-Feeds in SIEM integriert
• Alerting bei bekannten bösartigen IPs/Domains
• Schwäche: Alert Fatigue (viele False Positives bei alten IOCs!)
• Tool: MISP mit OTX + CIRCL Feeds

Level 2 - Operativ (TTP-basiert):

• MITRE ATT&CK Mapping aktiver Angriffstechniken
• Threat Hunting basierend auf CTI-Hypothesen
• Sharing: ISAC-Mitgliedschaft
• Tool: OpenCTI + MISP + Sentinel

Level 3 - Strategisch (Attribution):

• Bedrohungsakteur-Tracking (welche APTs greifen uns an?)
• Custom Intelligence: eigene Forscher analysieren Samples
• Closed-Source Feeds (Recorded Future, Intel471, Mandiant)
• Sharing: aktiver Beitrag zu ISACs

Level 4 - Prädiktiv:

• Angriffe antizipieren bevor sie passieren
• Engagement mit nationalen CERTs (BSI, ENISA)
• Geheimdienstlich-adjacent: nur für kritische Infrastrukturen

ROI von CTI:

• 70% der Sicherheitsteams berichten: CTI reduziert Incident Response Zeit
• Gartner: "Security teams with mature TI programs spend 50% less time on false positives"
• Konkret: 1 verhinderte Ransomware-Attacke rechtfertigt 3 Jahre CTI-Investition

---

Cyber Threat Intelligence ist kein Luxus - in einer Bedrohungslandschaft mit hunderten aktiver Ransomware-Gruppen und staatlichen Akteuren ist CTI die Basis für priorisierte Sicherheitsarbeit. AWARE7 unterstützt beim Aufbau von CTI-Programmen: von der MISP-Installation über Feed-Integration bis zur strategischen Intelligence-Produktion.

CTI-Beratung anfragen | SOC und SIEM Leistungen