Katalog
method#Sicherheit#Observability#Integration#Zuverlässigkeit

Threat Hunting

Proaktive, hypothesengetriebene Suche nach versteckten Angreifern in Unternehmensumgebungen zur Reduktion von Dwell-Time und Erhöhung der Erkennungsrate.

Threat Hunting ist eine proaktive Methode zur Erkennung versteckter Angreifer durch hypothesengetriebene Analyse von Telemetrie und Indikatoren.
Etabliert
Hoch

Klassifikation

  • Hoch
  • Organisatorisch
  • Organisation
  • Fortgeschritten

Technischer Kontext

SIEM/Log-Management (z. B. Splunk, Elastic)Endpoint Detection & Response (EDR) LösungenThreat Intelligence Feeds und Plattformen

Prinzipien & Ziele

Hypothesengetriebenes Vorgehen statt reiner AlarmreaktionTelemetry-first: Datenqualität und Sichtbarkeit priorisierenIteratives Lernen und Regelverbesserung
Betrieb
Unternehmen, Domäne, Team

Use Cases & Szenarien

Kompromisse

  • Falsche Priorisierung führt zu verpassten Verdachtsfällen
  • Übermäßige Automatisierung kann Analysten-Blindheit erzeugen
  • Unzureichende Dokumentation gefährdet Nachvollziehbarkeit
  • Regelmäßige Hypothesen-Reviews und Retrospektiven
  • Enge Zusammenarbeit zwischen Hunting und Detection Engineering
  • Datenqualität und -retention vor Effizienz-Optimierung priorisieren

I/O & Ressourcen

  • Endpoint-Logs und Prozessdaten
  • Netzwerkverkehrs- und Proxy-Logs
  • Threat-Intelligence und IOC-Listen
  • Hunt-Reports mit Kontext und TTP-Mapping
  • Aktualisierte Detektionsregeln
  • Empfohlene Containment- und Eradikationsmaßnahmen

Beschreibung

Threat Hunting ist eine proaktive Methode zur Erkennung versteckter Angreifer durch hypothesengetriebene Analyse von Telemetrie und Indikatoren. Sie vereint erfahrene Analysten, Detection Engineering und iterative Untersuchungen, um neuartige Bedrohungen zu entdecken und die Verweildauer zu reduzieren. Die Methode ergänzt automatisierte Alarme durch menschliche Kontextanalyse.

✔

  • Reduktion der Dwell-Time durch frühzeitige Erkennung
  • Aufdecken neuer Taktiken, Techniken und Verfahren (TTPs)
  • Verbesserung der Detektionsqualität und geringere Fehlalarme

✖

  • Hoher Personal- und Ressourcenaufwand
  • Abhängigkeit von umfassender Telemetrie
  • Ergebnisse sind probabilistisch und kontextabhängig

  • Dwell-Time

    Durchschnittliche Zeit zwischen Kompromittierung und Erkennung.

  • Erkennungsrate neuer TTPs

    Anteil der neu identifizierten Taktiken und Techniken pro Periode.

  • False-Positive-Rate bei Hunting-Hypothesen

    Anteil der Hunting-Ergebnisse, die sich als nicht bedrohlich herausstellen.

SOC Hunt: kompromittierter Serviceaccount

Fallstudie, in der das Hunting-Team ungewöhnliche Authentifizierungsversuche entdeckte und lateral movement verhinderte.

Ergebnis einer Regel-Validierung

Beispiel für iterative Regelverbesserung basierend auf Hunting-Ergebnissen und Telemetrie-Tests.

Ad-hoc Hunt nach neuem Malware-Indikator

Schnelle Hypothesenbildung und Suche in historischen Logs nach neuen IoCs.

1

Sichtbarkeitslücken identifizieren und Telemetriequellen priorisieren

2

Hunt-Playbooks und Hypothesenvorlagen erstellen

3

Tooling integrieren (SIEM, EDR, Search)

4

Pilot-Jagden durchführen und Erkenntnisse validieren

5

Operationalisierung: Regeln, Dashboards und Eskalationspfade

⚠️ Technische Schulden & Engpässe

  • Veraltete Log-Quellen und fehlende Instrumentierung
  • Wuchernde ad-hoc-Scripts statt standardisierter Playbooks
  • Fehlende Testdaten für Regelvalidierung
Datenvolumen und RetentionAnalystenkapazitätQualität der Telemetrie
  • Hunting-Aktivitäten ohne Metriken oder Nachverfolgung
  • Automatisches Blocken ohne menschliche Validierung
  • Verwendung veralteter IoCs als alleinige Basis
  • Zu enge Hypothesen verhindern Entdeckung unbekannter TTPs
  • Unzureichende Kontextdaten führen zu Fehlinterpretation
  • Nicht priorisierte Findings überlasten Incident-Response
Erfahrene Analysten mit forensischem BackgroundKenntnis von Netzwerkanalyse und Log-KorrelationFähigkeit, Hypothesen und Tests zu designen
Vollständige Telemetrie (Endpoint, Netzwerk, Auth)Zentrale Log-Korrelation und SucheIntegration von Threat Intelligence
  • • Begrenzte Log-Retention durch Compliance
  • • Zugriffsrechte auf sensible Systeme
  • • Budgetrestriktionen für Tooling