Threat Hunting | Proaktive Bedrohungsjagd | Decripte Security

Threat Hunting ist die proaktive und iterative Suche nach Cyberbedrohungen, die automatisierte Sicherheitskontrollen umgangen haben - und verwandelt reaktive Verteidigung in eine offensive Strategie.

Was ist Threat Hunting?

Threat Hunting ist die Praxis der proaktiven Suche nach Indicators of Compromise (IOCs) und bösartigem Verhalten im Netzwerk und auf Endpoints, unter der Annahme, dass Angreifer die Perimeterabwehr bereits überwunden haben. Anders als bei der passiven Erkennung suchen Hunter aktiv nach Anzeichen gegnerischer Aktivität anhand von Hypothesen, die auf Threat Intelligence und Kenntnis der Umgebung beruhen.

Arten von Threat Hunting

Hypothesis-Driven Hunting

Basiert auf Hypothesen darüber, wie Angreifer vorgehen könnten: „Was, wenn Angreifer Living-off-the-Land nutzen, um der Erkennung zu entgehen?" Der Hunter entwickelt eine Hypothese und sucht nach Beweisen, die sie bestätigen oder widerlegen.

Intelligence-Driven Hunting

Nutzt Threat Intelligence zur Suche nach TTPs, IOCs und Infrastruktur, die mit bekannten APT- Gruppen in Verbindung stehen. Beispiel: die Suche nach Anzeichen von Cobalt Strike, nachdem ein Bericht dessen Einsatz durch eine bestimmte Gruppe in der Branche angedeutet hat.

Baseline Hunting

Legt eine Baseline für normales Verhalten fest und sucht nach statistischen Abweichungen. Beispiel: die Identifikation von Prozessen, die von ungewöhnlichen Speicherorten ausgeführt werden, oder anomaler Netzwerkverbindungen.

Hunting-Methodik

• Hypothese: Eine Frage auf Basis von Threat Intelligence oder Risikoanalyse formulieren
• Untersuchung: Daten mit SIEM, EDR, Logs und forensischen Tools sammeln und analysieren
• Entdeckung: Muster, Anomalien oder IOCs identifizieren, die die Hypothese bestätigen
• Reaktion: Bei bestätigter Bedrohung die Incident Response auslösen
• Dokumentation: Findings festhalten und automatisierte Erkennungen erstellen

Hunting-Tools

SIEM und Log-Analyse

Splunk, ELK Stack, Azure Sentinel für komplexe Abfragen über riesige Log-Mengen. KQL, SPL und Lucene für fortgeschrittene Korrelation.

EDR und Threat Intelligence

CrowdStrike Falcon, Microsoft Defender for Endpoint, Carbon Black für Sichtbarkeit auf Endpoints. MISP, ThreatConnect zur Kontextualisierung von IOCs.

Netzwerkanalyse

Zeek, Wireshark, NetworkMiner zur Verkehrsanalyse und Identifikation versteckter C2.

Gängige TTPs von Angreifern

• Living-off-the-Land: Einsatz legitimer Tools (PowerShell, WMI, PsExec)
• Credential Dumping: Mimikatz, DCSync, LSASS-Dumping
• Lateral Movement: Pass-the-Hash, Pass-the-Ticket, RDP-Hijacking
• Persistence: Registry Run Keys, Scheduled Tasks, WMI Event Subscriptions
• Evasives C2: Domain Fronting, DNS Tunneling, HTTPS-verschlüsselte Beacons

Hunting-Frameworks

MITRE ATT&CK

Ein essenzielles Framework, das die TTPs von Angreifern abbildet. Hunter nutzen ATT&CK, um Hypothesen zu entwickeln, die auf bestimmte Taktiken fokussiert sind (Initial Access, Privilege Escalation, Exfiltration).

Cyber Kill Chain

Ein 7-Phasen-Modell, das Hunter dabei unterstützt zu erkennen, in welcher Phase der Kette sich ein Angreifer bewegt und wo nach Artefakten zu suchen ist.

Beispiele für Hunting-Hypothesen

• „Angreifer könnten obfuskiertes PowerShell verwenden, um Payloads herunterzuladen"
• „Angreifer könnten über Scheduled Tasks auf Domain Controllers Persistenz etabliert haben"
• „Es könnte eine Datenexfiltration über DNS Tunneling zu kürzlich registrierten Domains geben"
• „Es könnte Lateral Movement über RDP von Service-Konten stattfinden"

Threat-Hunting-KPIs

• Hunt Success Rate: Anteil der Hunts, die zu einer tatsächlichen Entdeckung führen
• Time to Discovery: Durchschnittliche Zeit zwischen Kompromittierung und Erkennung durch Hunting
• New Detection Rules: Anzahl der nach Hunts erstellten automatisierten Regeln
• False Positive Reduction: Verbesserung der Genauigkeit bestehender Erkennungen

Best Practices

• Hunts mit klaren, messbaren Hypothesen beginnen
• Hunts auf Basis aktueller Threat Intelligence priorisieren
• Alle Hunts dokumentieren, auch jene, die keine Bedrohungen gefunden haben
• Entdeckungen durch das Erstellen von Detection Rules automatisieren
• Hunting in das Threat-Intelligence-Programm integrieren
• Hunter kontinuierlich zu neuen TTPs schulen
• MITRE ATT&CK zur Strukturierung des Hunting-Programms nutzen