ThreatIntelligence.
Threat Intelligence verbindet externe Beobachtungen mit einer konkreten internen Entscheidung. Sie priorisiert Schwachstellen, liefert Kontext für Erkennungen und beschreibt Kampagnen, Akteure und Angriffstechniken. Ein Feed ohne eigene Assets, Empfänger und Ablaufdatum vergrössert vor allem den Datenbestand.
Marktdichte: hoch. Zwölf Plattformen repräsentieren Open Source, Threat Intelligence Platforms und kommerziell kuratierte Intelligence.
Quelle, Plattform, Arbeitsprozess.
Intelligence-Anbieter recherchieren und kuratieren Inhalte. Eine Threat Intelligence Platform führt eigene und fremde Quellen zusammen. Der interne CTI-Prozess bewertet Relevanz, Konfidenz, Verteilung und Rückmeldung.
Indicators of Compromise altern schnell. Taktiken, Techniken und Verfahren bleiben länger relevant, verlangen aber Detection- und Analysekompetenz. Attribution sollte als bewertete Hypothese und nicht als Gewissheit behandelt werden.
Eigenes Wissen oder kuratierte Sicht.
| Plattform | Modell | Stärke | Geeignet für | Vor Auswahl prüfen |
|---|---|---|---|---|
| MISP | Open Source Sharing Platform | Community-Austausch, Events und Indikatoren | CSIRTs, Communities und Datenhoheit | Kuratie, TLP, Taxonomien und Betrieb |
| OpenCTI | Open Source Knowledge Graph | Beziehungen zwischen Akteuren, TTPs und Observables | Strukturierte CTI-Analyse | Connectoren, Datenmodell und Skalierung |
| ThreatConnect TIP | Kommerzielle TIP | Intelligence, Workflows und Orchestrierung | Enterprise CTI und SOC | Modulumfang und Integration in Detection |
| Recorded Future | Kuratierte Intelligence | Breite externe Risiko- und Threat-Recherche | Enterprise, TPRM und Vulnerability Intelligence | Use Cases, Abdeckung und Exportrechte |
| Google Threat Intelligence | Research und operative Recherche | Mandiant-Kontext und VirusTotal-Daten | Investigation und Google SecOps | Lizenzumfang und Datenintegration |
| CrowdStrike Falcon Intelligence | Endpoint-nahe Intelligence | Akteurs- und Kampagnenkontext im Falcon-Umfeld | Falcon-Kunden und Threat Hunting | Abdeckung ausserhalb des Falcon-Ökosystems |
| Microsoft Defender Threat Intelligence | Internet- und Angreiferbezug | Integration in Microsoft Security Operations | Microsoft-orientierte SOCs | Eigene Quellen und Exportmöglichkeiten |
| Anomali ThreatStream | Enterprise TIP | Feed-Aggregation und Operationalisierung | Grosse CTI- und SOC-Teams | Deduplizierung, Scoring und Workflow |
| EclecticIQ Platform | Europäische TIP | Analystenworkflow und strukturierte Intelligence | Behörden und regulierte Organisationen | Integrationen, Hosting und Content-Pakete |
| ThreatQ | Threat Intelligence Platform | Datensteuerung und adaptive Workflows | Reife CTI-Programme | Modellierung und Betriebsaufwand |
| Flashpoint | Cyber-, Fraud- und Physical Intelligence | Breite Risikoquellen und Community-Zugänge | Fraud, TPRM und Security Operations | Operative Empfänger und Datenrechte |
| Intel 471 | Cybercrime Intelligence | Underground-, Malware- und Akteursbezug | Threat Hunting und Fraud Investigations | Regionale Abdeckung und Workflow-Integration |
Ein Signal bis zur Entscheidung verfolgen.
- Eine aktiv ausgenutzte Schwachstelle gegen eigene Produkte und Assets prüfen.
- Eine Kampagne in konkrete Detection- oder Hunting-Inhalte übersetzen.
- Quelle, Konfidenz, TLP und Ablaufdatum erhalten.
- Treffer ohne interne Relevanz kontrolliert verwerfen können.
Threat Intelligence versorgt Vulnerability Management, SIEM und Detection Engineering. Die operative Lage gehört in den ISMS-Prozess Bedrohungen.
Security Tool Navigator · Gebiet 09
Im Gebiet Security Operations einordnen.
Diese Werkzeugklasse gehört zum Gebiet Security Operations. Der Gebietshub zeigt, wie die Werkzeugklassen zusammenwirken, wo sie sich abgrenzen und welche Fragen CIO und CISO jeweils klären.