Threat Intelligence Analyst

Warum es wichtig ist

Threat Intelligence verwandelt rohe Daten über Cyberbedrohungen in handlungsfähiges Wissen, das bessere Sicherheitsentscheidungen ermöglicht. Intelligence-Analysten recherchieren Gegner, verfolgen Kampagnen und liefern Kontext, der Organisationen hilft zu verstehen, nicht nur welche Bedrohungen existieren, sondern welche für sie spezifisch relevant sind.

Die Rolle überbrückt technisches Sicherheitswissen mit analytischem Handwerk. Analysten müssen verstehen, wie Angriffe technisch funktionieren, während sie auch über Angreifermotivationen, -fähigkeiten und wahrscheinliche Ziele nachdenken. Diese Kombination ermöglicht vorausschauende Erkenntnisse statt rein reaktiver Verteidigung.

Organisationen nutzen Threat Intelligence auf mehreren Ebenen: taktische Indikatoren für die Erkennung, operationale Erkenntnisse für Incident Response und strategische Bewertungen für Sicherheitsinvestitionsentscheidungen.

Für diejenigen, die Recherche, Analyse und das Verbinden disparater Informationen genießen, bietet Threat Intelligence intellektuell ansprechende Arbeit mit echtem defensivem Einfluss.

Rolle und Verantwortlichkeiten

Intelligence-Zyklus

Kernfunktionen

Sammlung und Überwachung

• Threat-Feeds und Intelligence-Quellen überwachen
• Dark-Web-Foren und kriminelle Marktplätze verfolgen
• Sicherheitsforscher-Publikationen verfolgen
• Indicators of Compromise (IOCs) sammeln

Analyse und Recherche

• Malware-Samples und Kampagnen analysieren
• Bedrohungsakteurgruppen und TTPs recherchieren
• Gegnertechniken auf MITRE ATT&CK mappen
• Bedrohungsrelevanz für Organisation bewerten

Intelligence-Produktion

• Bedrohungsberichte für verschiedene Zielgruppen schreiben
• Bedrohungsprofile und Akteur-Bewertungen entwickeln
• Taktische Intelligence (IOCs, Erkennungsregeln) erstellen
• Strategische Briefings für Führung produzieren

Operationale Unterstützung

• Incident Response mit Bedrohungskontext unterstützen
• Zu Gegnerfähigkeiten und -absichten beraten
• Schwachstellen basierend auf Ausnutzung priorisieren
• Sicherheitsarchitektur-Entscheidungen informieren

Typische Threat Intelligence Aktivitäten:

Morgens:
- Über Nacht-Bedrohungsberichte prüfen
- Intelligence-Feeds auf neue Indikatoren prüfen
- Branchenwarnungen und -hinweise überwachen
- Bedrohungs-Tracking-Dashboards aktualisieren

Analysearbeit:
- Neue Malware-Kampagne recherchieren
- [Phishing](/de/glossary/phishing)-Kit aus Vorfall analysieren
- TTPs auf MITRE ATT&CK mappen
- Indikatoren über Quellen korrelieren

Produktion:
- Bedrohungsbriefing für SOC schreiben
- Bedrohungsakteur-Profil aktualisieren
- Erkennungsregeln aus Analyse erstellen
- Executive-Bedrohungszusammenfassung vorbereiten

Zusammenarbeit:
- [Incident-Response](/de/glossary/incident-response)-Team briefen
- An Informations-Sharing-Gruppen teilnehmen
- Schwachstellen-Priorisierung unterstützen
- Ergebnisse der Sicherheitsführung präsentieren

Intelligence-Typen

Taktische Intelligence
- Indicators of Compromise (IOCs)
- Erkennungssignaturen
- Unmittelbare Bedrohungsdaten
- Stunden- bis Tagesrelevanz

Operationale Intelligence
- Bedrohungsakteur-TTPs
- Kampagnenanalyse
- Angriffsmethoden
- Wochen- bis Monatsrelevanz

Strategische Intelligence
- Bedrohungslandschaft-Bewertungen
- Branchenziel-Trends
- Gegnermotivationen
- Monats- bis Jahresrelevanz

Wesentliche Fähigkeiten

Analytische Fähigkeiten

Kritisches Denken

• Quellenzuverlässigkeit und -voreingenommenheit bewerten
• Korrelation von Kausalität unterscheiden
• Informationslücken erkennen
• Hypothesen bilden und testen

Recherche-Methodik

• Strukturierte analytische Techniken
• OSINT-Sammelmethoden
• Quellenentwicklung und -validierung
• Dokumentation und Zitation

Technische Fähigkeiten

Technisches Wissen:

Bedrohungsanalyse:
- [Malware](/de/glossary/malware)-Analyse-Grundlagen
- Netzwerkverkehrsanalyse
- Angriffstechnik-Verständnis
- Indikator-Extraktion

Frameworks und Standards:
- MITRE ATT&CK
- Diamond Model
- Cyber Kill Chain
- STIX/TAXII-Formate

Werkzeuge:
- Threat-Intelligence-Plattformen (MISP, ThreatConnect)
- Malware-Sandboxen
- OSINT-Tools
- Visualisierungstools

Technische Grundlagen:
- Netzwerke und Protokolle
- Betriebssystem-Interna
- Programmier-/Skripting-Grundlagen
- Sicherheitstool-Vertrautheit

Kommunikationsfähigkeiten

Intelligence-Bericht-Struktur:

Executive Summary
- Schlüsselergebnisse in 2-3 Sätzen
- Empfohlene Maßnahmen
- Konfidenz-Bewertung

Bedrohungsübersicht
- Was ist die Bedrohung?
- Wer steckt dahinter?
- Was wollen sie?

Technische Analyse
- Angriffsmethodik
- Indicators of Compromise
- MITRE ATT&CK-Mapping

Relevanz-Bewertung
- Warum ist das für uns wichtig?
- Welche Assets sind gefährdet?
- Aktuelle Expositions-Bewertung

Empfehlungen
- Erkennungsmöglichkeiten
- Mitigationsschritte
- Überwachungsprioritäten

Anhänge
- Vollständige IOC-Liste
- Technischer Tieftaucher
- Quellenreferenzen

Karriereweg

Einstiegspunkte

Von Security Operations

• SOC-Analyst-Erfahrung
• Recherche- und Schreibfähigkeiten entwickeln
• Bedrohungswissen durch Untersuchungen aufbauen
• Zu dedizierter Intel-Rolle wechseln

Von Analyse-Hintergrund

• Intelligence-, Recherche- oder Journalismuserfahrung
• Technische Sicherheitsgrundlagen lernen
• Analytisches Handwerk auf Cyber-Domäne anwenden
• Vorhandene Recherchefähigkeiten nutzen

Zertifizierungen

Intelligence-spezifisch

• GIAC Cyber Threat Intelligence (GCTI): Primäre Intel-Zertifizierung
• CRTIA (Certified Threat Intelligence Analyst): EC-Council

Unterstützende Zertifizierungen

• GREM: Malware-Analyse für tiefe technische Arbeit
• OSINT-Zertifizierungen: Sammelfähigkeiten
• Security+/CySA+: Grundlagenwissen

Gehalt und Markt

Beschäftigungsoptionen

• Enterprise-Teams: Interne Intelligence-Programme
• Threat-Intel-Anbieter: Kommerzielle Intelligence-Provider
• Regierung: Nachrichtendienste, CISA
• Beratung: Beratungs- und Bewertungsdienste
• ISACs: Branchen-Informations-Sharing-Organisationen

Erste Schritte

Fähigkeiten aufbauen

Lernpfad:

1. Sicherheitsgrundlage
 - Technische Sicherheitsgrundlagen
 - Gängige Angriffstechniken
 - Sicherheitsüberwachungskonzepte
 - Malware-Grundlagen

2. Analytische Fähigkeiten
 - Strukturierte analytische Techniken
 - OSINT-Sammelmethoden
 - Recherchemethodik
 - Technisches Schreiben

3. Intelligence-Handwerk
 - MITRE ATT&CK Framework
 - Diamond Model
 - Intelligence-Zyklus
 - Berichtsschreiben

4. Spezialisierung
 - Fokusbereich wählen
 - Tiefgehende Recherche
 - Externes Netzwerk aufbauen
 - Analyse veröffentlichen

Sichtbarkeit aufbauen

• Bedrohungsanalyse-Blogposts schreiben
• Zu Threat-Intelligence-Communities beitragen
• Forschung auf Konferenzen präsentieren
• An CTI Twitter/Mastodon teilnehmen
• IOCs und Analyse verantwortungsvoll teilen