Threat Hunting

Threat Hunting

Threat Hunting bezeichnet einen proaktiven Sicherheitsansatz, bei dem Sicherheitsexperten gezielt nach Hinweisen auf bisher unentdeckte Bedrohungen oder Angreiferaktivitäten in IT-Systemen suchen. Im Gegensatz zur reaktiven Analyse nach einem Vorfall zielt Threat Hunting darauf ab, sich versteckende oder noch nicht erkannte Angriffe frühzeitig aufzuspüren – auch wenn keine Alarme ausgelöst wurden.

Dieser Ansatz wird vor allem in modernen Security Operations Centern (SOC) genutzt und ist Bestandteil eines reifegradorientierten Cybersecurity-Frameworks. Threat Hunting ergänzt automatisierte Detection-Systeme wie SIEM, EDR oder XDR durch menschliche Intelligenz, Kontextwissen und Hypothesenbildung.

Typische Methoden des Threat Huntings:

  • Hypothesenbasiert: Jäger stellen Annahmen auf, z. B. „Gibt es Anzeichen für Lateral Movement?“
  • Indikatorbasiert: Suche nach bekannten Indicators of Compromise (IOCs)
  • Verhaltensbasiert: Analyse auffälliger Muster (Anomalien, Outlier, Zugriffszeiten)

Werkzeuge & Datenquellen:

  • EDR/XDR-Systeme: z. B. CrowdStrike, SentinelOne, Microsoft Defender
  • SIEM-Daten: Event- und Log-Korrelation (z. B. Splunk, Sentinel)
  • Threat Intelligence Feeds: z. B. MISP, Anomali, Open Threat Exchange
  • Netzwerkdaten & Telemetrie: z. B. NetFlow, DNS, Proxy-Logs

Ziele und Vorteile:

  • Früherkennung von versteckten Bedrohungen und APTs (Advanced Persistent Threats)
  • Schließen von Sicherheitslücken, bevor sie ausgenutzt werden
  • Steigerung des Reifegrads der Cyberabwehr

Voraussetzungen für effektives Threat Hunting:

  • Security-Expertise und kontinuierliche Weiterbildung
  • Zugriff auf vollständige Telemetrie- und Logdaten
  • Verknüpfung mit MITRE ATT&CK zur systematischen Analyse

Verwandte Begriffe:

SIEM, EDR, XDR, MITRE ATT&CK, SOC, Forensics, IOC, Kill Chain, Detection Engineering, Anomaly Detection

Glossar / Begriffserklärungen