Threat Hunting

Warum Es Wichtig Ist

Erkennungstechnologien können nicht jeden Angriff abfangen. Raffinierte Gegner mischen sich unter normale Aktivität, missbrauchen legitime Tools (Living-off-the-Land) und arbeiten langsam genug, um Schwellenwerte zu vermeiden. Der IBM Cost of a Data Breach Report zeigt durchgängig: Median-Dwell-Time über 200 Tage ohne aktives Hunting.

Threat Hunting verändert die Rechnung: Statt auf Alarme zu warten, gehen Hunter von einer Kompromittierung aus und suchen nach Beweisen. Reife Programme dokumentieren hunderte von Erkennungen, die aus Hunts entstanden sind.

Der Hunting-Zyklus

1. Hypothese entwickeln

Spezifisch und testbar, abgeleitet aus Threat Intel, jüngsten Vorfällen oder MITRE ATT&CK-Techniken.

2. Mit Daten untersuchen

EDR-, Identitäts-, Netzwerk- und Cloud-Telemetrie auswerten. Frequenzanalyse, Stack Counting, Outlier-Erkennung, Timeline-Rekonstruktion anwenden.

// KQL-Hunt für verdächtige WMI-Aktivität
DeviceProcessEvents
| where Timestamp > ago(7d)
| where ProcessCommandLine has_any ("wmic", "Invoke-WmiMethod")
| where ProcessCommandLine has_any ("process call create", "/node:")
| summarize Count=count(), Devices=dcount(DeviceName) by InitiatingProcessAccountName
| where Devices >= 3
| order by Count desc

3. Dokumentieren

Bestätigt, widerlegt oder unklar, dokumentieren, was gelernt wurde.

4. Detection Engineering

Erfolgreiche Hunts in automatische Erkennungen umwandeln (Sigma, EDR Custom, SIEM-Korrelationen).

5. Hand-off

Bestätigte Kompromittierungen gehen an Incident Response. Der Zyklus wiederholt sich.

Methodologien

Pyramid of Pain

Häufige Hypothesen

• Verdächtiger LSASS-Zugriff (T1003)
• Unsignierte Binaries aus Temp
• Anomales PowerShell mit codierten Befehlen
• Ungewöhnliche Parent-Child-Prozessbeziehungen
• DNS-Beaconing-Muster
• Interaktive Service-Konto-Logons
• Neue geplante Aufgaben mit erhöhten Rechten

Programmaufbau

1. Baselines etablieren.
2. MITRE ATT&CK adoptieren.
3. Telemetrie zentralisieren (90+ Tage).
4. Regelmäßige Hunts dokumentiert.
5. Outputs messen.

Verwandte Konzepte

• Threat Intelligence
• SOC-Analyst
• Incident Response
• Malware-Analyse