Was bedeutet „Threat Hunting“?

Selbst für Sicherheitslösungen wie Antivirenprogramme, Intrusion-Detection-Systeme und Firewalls ist Malware nicht immer eindeutig zu erkennen. Hier setzt Threat Hunting an. Dies ist eine proaktive Methode, bei der IT-Sicherheitsexperten gezielt nach Bedrohungen suchen, um diese zu eliminieren. Teilweise passiert dies auch reaktiv nach einem bereits entstandenen Sicherheitsvorfall. Wir klären im heutigem Beitrag, wie Threat Hunting funktioniert, welche Methoden zum Einsatz kommen und warum dies für Unternehmen wichtig ist.

Was passiert beim Threat Hunting?

Beim Threat Hunting werden systematisch Cyberbedrohungen in einer IT-Infrastruktur gesucht. Dabei durchsucht der Threat Hunter Systeme selbstständig auf verdächtige Aktivitäten und Hinweise auf einen Angriff. Auf diese Weise kann beispielsweise auch unbekannte Schadsoftware entdeckt werden. Je nach Situation geschieht die Suche unabhängig von einem bekannt gewordenen Vorfall. Das bedeutet das Threat Hunting Team durchsucht, ohne einen konkreten Hinweis Systeme nach Anzeichen von Angriffen. Dadurch werden Angriffe teilweise entdeckt, noch bevor es Auffälligkeiten gibt und sie können schnell geblockt und ihre Weiterverbreitung verhindert werden. Alternativ dazu geschieht das Threat Hunting erst, nachdem bereits Auffälligkeiten passiert sind, um zu verhindern, dass sich Schadsoftware weiter ausbreitet.

Wie läuft Threat Hunting ab?

In der Regel folgt Threat Hunting einem genauen Prozess, der aus mehreren Schritten besteht:

1. Ausgangslage

Je nach Situation beginnt das Threat Hunting mit einer anderen Ausgangssituation. Beim Hypothesenbasierten Hunting entwickeln Sicherheitsexperten Thesen zu möglichen Angriffen und prüfen diese anhand der vorhandenen Daten. Beim Threat-Intelligence-basierten Hunting, gibt es bereits Informationen über bekannte Angriffstechniken, Angreifer oder eine bestimmte Schadsoftware. Diesen Informationen soll nachgegangen werden, um zu prüfen, ob im eigenen Unternehmen ein solcher Angriff stattgefunden hat oder gerade stattfindet. Beim Verhaltenbasierten Hunting gibt es meist bereits einen konkreten Verdacht, da ungewöhnliche Aktivitäten aufgefallen sind und diesen nachgegangen wird.

2. Daten sammeln und auswerten

Der Threat Hunter sammelt nun im folgenden Daten aus unterschiedlichen Quellen. Neben Netzwerkdaten und Systemprotokollen überprüft er auch alle Informationen, die Sicherheitssysteme zur Verfügung stellen. Vor allem ein gutes SIEM-System (Security Information and Event Management) hilft dabei wichtige Daten zusammenzuführen und analysierbar zu machen. Der Threat Hunter wertet die erhaltenen Daten aus und prüft sie nach Auffälligkeiten. Das können verdächtige Verbindungen sein, ungewöhnliche Anmeldezeiten oder fehlerhafte Logins. Jeder Hinweis ist wichtig, muss aber auch genau analysiert werden, da nicht jede Auffälligkeit automatisch ein Angriff bedeutet. Beim Threat Hunting muss genau geprüft werden, hinter welcher Aktivität eine Gefährdung stecken könnte und welche harmlos ist.

3. Bedrohung ausfindig machen und entsprechend behandeln

Bestätigt sich der anfängliche Verdacht durch die Analyse, muss beim Threat Hunting versucht werden, den genauen Umfang des Angriffs zu bestimmen und alle betroffenen Systeme entsprechend zu schützen. Neben dem Entfernen von Schadsoftware kann es wichtig sein, kompromittierte Rechner vom Netzwerk zu trennen oder bestimmte Zugänge zu sperren.

4. Learning und Dokumentation

Am Ende des Threat Huntings steht eine detaillierte Dokumentation der Ergebnisse und eine Anwendung der gewonnen Ergebnisse auf zukünftige Situationen. Das bedeutet, man kann nun neue Sicherheitsregeln implementieren und schauen, welche Dinge nicht mehr passieren dürfen, damit es nicht zu einem erneuten Vorfall kommt.

Bedeutet Risikomanagement nicht nur eine gute Dokumentation?

Die Dokumentation ist ein Aspekt eines gutes Risikomanagement. Es geht dabei aber viel mehr darum, eine für alle verständliche Übersicht über Risiken zu bekommen. Welche Risiken sind besonders hoch und wo besteht Handlungsbedarf? Der eigentliche Sinn dieser Dokumentation ist, sich der konkreten Risiken bewusst zu werden und diese möglichst zu minimieren. Beispielsweise könnte man sagen: Uns ist bewusst, dass Ransomware ein Risiko ist, davor müssen wir uns schützen. Das allein ist jedoch kein Risikomanagement. Die wichtigere Frage wäre, welche Bereiche müssen besonders geschützt werden? Warum sind diese gefährdet und wie kann man die Gefährdung verringern? Dadurch können Ressourcen gezielt eingesetzt werden und Risiken vermieden werden.

Warum ist Threat Hunting wichtig?

Threat Hunting sollte ein Teil eines jeden Sicherheitssystems sein. Es dient als Ergänzung zu Firewalls, Endpoint Protection und anderen wichtigen Sicherheitsmaßnahmen. Es ist vor allem dann wichtig, wenn konkrete Verdachtsmomente vorhanden sind, beispielsweise durch auffällige Daten oder durch andere Hinweise auf einen Angriff. Um einen Angriff abzuwehren ist es vor allem wichtig, schnell zu sein und ein geübtes Team kann entsprechend schnell reagieren. Dadurch können auch versteckte Bedrohungen schnell entdeckt und beseitigt werden, noch bevor sie größere Schäden anrichten. Ein weiterer nützlicher Aspekt ist, dass die eigenen Strukturen genauer durchforstet werden. So können auch etwaige Sicherheitslücken schneller ausfindig gemacht werden.

Welche Schwierigkeiten hat Threat Hunting?

Threat Hunting ist meist sehr zeitaufwendig und fordert zudem eine ordentliche Expertise von den Durchführenden. Oft ist eine erhebliche Menge an Daten zu analysieren und viele Auffälligkeiten sind am Ende gar keine Angriffe. Das bedeutet die Experten müssen sehr klar entscheiden, welchen Verdachtsfällen sie nachgehen und wie sie diese behandeln. Unternehmen sollten ihre Mitarbeiter, die in diesem Bereich arbeiten, entsprechend regelmäßig schulen und genaue Prozesse festlegen, wie das Threat Hunting ablaufen soll.
Alternativ dazu kann man auch auf externe Hilfe setzen. Als IT Security Unternehmen und Mitglied der Cyberwehr Baden-Württemberg haben wir Erfahrung darin, etwaige Schadsoftware ausfindig zu machen und helfen auch, wenn es bereits zu einem Notfall gekommen ist. Zusätzlich haben wir einige Möglichkeiten parat, um Ihre IT-Systeme zu überwachen und Unregelmäßigkeiten schnell festzustellen und zu kategorisieren. Gern können Sie uns für ein unverbindliches erstes Gespräch kontaktieren.