Bedrohungsaufklärung ist ausgewertetes Wissen über Gegner, ihre Methoden und nützliche Hinweise, damit Verteidiger entscheiden und handeln können.
Sie ist nicht Ihre interne Risikoreihung und nicht die praktische Suche in Ihren eigenen Protokollen.
So funktioniert es
Nützliche Aufklärung trägt Kontext, etwa wer getroffen wird und warum ein Hinweis zählt, statt einer nackten Adressliste.
Sie reicht von einem strategischen Bericht bis zu einem engen Anhaltspunkt einer laufenden Kampagne.
Hinweise altern schnell, weil Angreifende ihre Infrastruktur wechseln und alte Adressen verlassen.
Quellen sollten solche sein, die Sie beurteilen können, und eine Sperre aufgrund eines Feeds sollte eine Notiz hinterlassen, damit Fehler rückgängig werden.
Konkrete Beispiele
- Ein Bericht beschreibt eine kriminelle Gruppe, die Lohnpersonal mit Rechnungsbetrug trifft.
- Ein Feed listet Domains einer laufenden Kampagne gegen Ihre Branche.
- Eine Auswertung erklärt auf hoher Ebene eine Verschiebung beim Postfachdiebstahl, ohne Schritte zum Nachahmen.
Schutzmaßnahmen
- Bevorzugen Sie Quellen, deren Methode und Grenzen Sie einer Kollegin erklären können.
- Lassen Sie Hinweise verfallen, die nicht mehr verlässlich sind, statt sie für immer zu sperren.
- Speisen Sie Aufklärung in Bewertung und Erkennungen ein, statt sie ungelesen zu lagern.
- Notieren Sie, warum ein Hinweis gesperrt wurde, damit eine spätere Prüfung einen Fehler korrigiert.