Die Akteure, die Bedrohungen ausüben, passen ihre Methoden zur Gelderzielung ständig an. Sie nutzen neue Angriffstechniken, da der technologische Fortschritt die Hürden für Cyberkriminelle senkt. Das Aufkommen von Ransomware als Dienstleistung (RaaS) hat diese Problematik zusätzlich verschärft.
Um sich effektiv gegen diese Bedrohungen zu wappnen, ist es für Unternehmen unerlässlich, Threat Intelligence als festen Bestandteil ihrer Sicherheitsstrategie zu integrieren. Nur so können sie über aktuelle Gefahrenlagen informiert werden und sich proaktiv gegen schädliche Angriffe schützen.
Was genau ist eine Threat-Intelligence-Plattform?
Eine Threat-Intelligence-Plattform (TIP) ist eine technologische Lösung, die es Organisationen ermöglicht, Informationen über Bedrohungen aus verschiedenen Quellen zu erfassen, zu analysieren und zusammenzuführen. Diese Informationen versetzen Unternehmen in die Lage, potenzielle Sicherheitsrisiken frühzeitig zu erkennen und zu minimieren sowie sich effektiver gegen zukünftige Angriffe zu verteidigen.
Cyber Threat Intelligence ist ein Schlüsselelement für die Sicherheit von Unternehmen. Durch die kontinuierliche Beobachtung der neuesten Cyberbedrohungen und Schwachstellen kann Ihr Unternehmen potenzielle Sicherheitsvorfälle identifizieren und angemessen darauf reagieren, noch bevor diese Schäden an Ihren IT-Ressourcen anrichten.
Wie arbeitet eine Threat-Intelligence-Plattform?
Threat-Intelligence-Plattformen unterstützen Unternehmen dabei, das Risiko von Datenschutzverletzungen zu verringern, indem sie Threat-Intelligence-Daten aus einer Vielzahl von Quellen sammeln. Dazu gehören Open-Source-Intelligence (OSINT), das Deep und Dark Web sowie proprietäre Threat-Intelligence-Feeds.
TIPs analysieren diese Daten, um Muster, Trends und potenzielle Bedrohungen zu identifizieren. Anschließend werden diese Erkenntnisse an Ihr SOC-Team (Security Operations Center) und andere Sicherheitssysteme wie Firewalls, Intrusion Detection Systeme und SIEM-Systeme (Security Information and Event Management) weitergeleitet, um Schäden an Ihrer IT-Infrastruktur zu minimieren.
Welche Vorteile bieten Threat-Intelligence-Plattformen?
Der Einsatz von Threat-Intelligence-Plattformen bietet Unternehmen eine Reihe von Vorteilen, darunter:
- Proaktive Erkennung von Bedrohungen
- Verbesserung der allgemeinen Sicherheitslage
- Effizientere Ressourcenallokation
- Optimierung der Sicherheitsabläufe
Zusätzliche Vorzüge von TIPs sind die automatisierte Reaktion auf Bedrohungen, Kosteneinsparungen und eine verbesserte Transparenz.
Kernfunktionen von Threat-Intelligence-Plattformen
Zu den Hauptmerkmalen von Threat-Intelligence-Plattformen zählen:
- Umfangreiche Möglichkeiten zur Datenerfassung
- Echtzeit-Priorisierung von Bedrohungen
- Fundierte Bedrohungsanalyse
- Die Fähigkeit, das Deep und Dark Web zu überwachen
- Eine umfangreiche Bibliothek und Datenbank mit Visualisierungen von Angriffen und Bedrohungen
- Nahtlose Integration in Ihre bestehenden Sicherheitstools und -systeme
- Die Fähigkeit, Malware, Phishing-Betrug und bösartige Akteure zu untersuchen
Die leistungsfähigsten TIPs sind in der Lage, Bedrohungsdaten aus unterschiedlichen Quellen und Formaten zu sammeln, zu normalisieren, zusammenzuführen und zu organisieren.
AutoFocus
AutoFocus von Palo Alto Networks ist eine Cloud-basierte Threat-Intelligence-Plattform, die es ermöglicht, kritische Angriffe zu erkennen, erste Einschätzungen vorzunehmen und Maßnahmen zur Behebung zu ergreifen, ohne dass zusätzliche IT-Ressourcen erforderlich sind. Der Dienst erfasst Bedrohungsdaten aus Ihrem Unternehmensnetzwerk, Ihrer Branche und globalen Informationsquellen.
AutoFocus liefert Erkenntnisse von Unit 42, dem Bedrohungsforschungsteam von Palo Alto Networks, über die neuesten Malware-Kampagnen. Der Bedrohungsbericht kann direkt auf Ihrem Dashboard angezeigt werden und bietet zusätzliche Einblicke in die Taktiken, Techniken und Verfahren (TTPs) von Angreifern.
Wichtige Merkmale
- Der Forschungs-Feed von Unit 42 bietet aktuelle Informationen zu Malware, einschließlich ihrer Taktiken, Techniken und Verfahren.
- Verarbeitet täglich 46 Millionen reale DNS-Anfragen.
- Sammelt Informationen von Drittanbietern wie Cisco, Fortinet und Check Point.
- Bietet Threat-Intelligence-Informationen für SIEM-Tools (Security Information and Event Management), interne Systeme und andere Tools von Drittanbietern über eine offene und flexible RESTful-API.
- Umfasst vordefinierte Tag-Gruppen für Ransomware, Banking-Trojaner und Hacking-Tools.
- Benutzer können eigene Tags basierend auf ihren Suchkriterien erstellen.
- Kompatibel mit verschiedenen Standarddatenformaten wie STIX, JSON, TXT und CSV.
Die Preise für dieses Tool werden auf der Webseite von Palo Alto Networks nicht öffentlich angegeben. Interessenten sollten sich an das Vertriebsteam des Unternehmens wenden, um ein Angebot zu erhalten. Es besteht auch die Möglichkeit, eine Produktdemo anzufordern, um die Funktionen und den Nutzen für das eigene Unternehmen kennenzulernen.
ManageEngine Log360
ManageEngine Log360 ist eine umfassende Lösung für Protokollverwaltung und SIEM, die Unternehmen einen detaillierten Einblick in ihre Netzwerksicherheit gibt. Die Software überwacht Active Directory-Änderungen, kontrolliert Exchange-Server und die Cloud-Infrastruktur und automatisiert die Protokollverwaltung.
Log360 vereint die Funktionen von fünf ManageEngine-Tools: ADAudit Plus, Event Log Analyzer, M365 Manager Plus, Exchange Reporter Plus und Cloud Security Plus.
Die Log360 Threat Intelligence Module umfassen eine Datenbank mit globalen, schädlichen IP-Adressen sowie einen STIX/TAXII-Bedrohungs-Feed-Prozessor, der regelmäßig Daten aus globalen Threat-Feeds abruft, um Sie stets auf dem neuesten Stand zu halten.
Wesentliche Merkmale
- Enthält integrierte CASB-Funktionen (Cloud Access Security Broker) zur Überwachung von Cloud-Daten, Erkennung von Schatten-IT-Anwendungen und Verfolgung von genehmigten und nicht genehmigten Anwendungen.
- Erkennt Bedrohungen in Unternehmensnetzwerken, Endpunkten, Firewalls, Webservern, Datenbanken, Switches, Routern und anderen Cloud-Ressourcen.
- Echtzeit-Erkennung von Vorfällen und Überwachung der Dateiintegrität.
- Nutzt das MITRE ATT&CK-Framework zur Priorisierung von Bedrohungen in der Angriffskette.
- Die Angriffserkennung umfasst regelbasierte Echtzeitkorrelation, verhaltensbasierte ML-basierte Benutzer- und Entitätsverhaltensanalyse (UEBA) sowie signaturbasiertes MITRE ATT&CK.
- Integriert Data Loss Prevention (DLP) für eDiscovery, Datenrisikobewertung, Content-Aware-Schutz und Überwachung der Dateiintegrität.
- Echtzeit-Sicherheitsanalysen.
- Integriertes Compliance-Management.
Log360 ist als Download verfügbar und wird in zwei Editionen angeboten: einer kostenlosen und einer professionellen Version. Nutzer können die erweiterten Funktionen der Professional Edition im Rahmen einer 30-tägigen Testphase nutzen, bevor diese in die kostenlose Edition zurückgesetzt werden.
AlienVault USM
Die AlienVault USM-Plattform wurde von AT&T entwickelt und bietet Bedrohungserkennung, Bewertung, Reaktion auf Vorfälle und Compliance-Management auf einer einzigen, einheitlichen Plattform.
AlienVault USM erhält alle 30 Minuten Updates von AlienVault Labs über verschiedene Arten von Angriffen, neue Bedrohungen, verdächtiges Verhalten, Schwachstellen und Exploits, die in der Bedrohungslandschaft entdeckt werden.
AlienVault USM bietet einen ganzheitlichen Überblick über Ihre Unternehmenssicherheitsarchitektur, sodass Sie Ihre Netzwerke und Geräte vor Ort oder an entfernten Standorten überwachen können. Es beinhaltet auch SIEM-Funktionen, Cloud Intrusion Detection für AWS, Azure und GCP, Network Intrusion Detection (NIDS), Host Intrusion Detection (HIDS) und Endpoint Detection and Response (EDR).
Wichtige Funktionen
- Echtzeit-Erkennung von Botnetzen.
- Identifizierung von Command-and-Control-(C&C)-Verkehr.
- Erkennung von Advanced Persistent Threats (APTs).
- Erfüllt verschiedene Industriestandards wie GDPR, PCI DSS, HIPAA, SOC 2 und ISO 27001.
- Signaturen für Netzwerk- und Host-IDS.
- Zentrale Erfassung von Ereignis- und Protokolldaten.
- Erkennung von Datenexfiltration.
- AlienVault überwacht Cloud- und On-Prem-Umgebungen über eine zentrale Konsole, einschließlich AWS, Microsoft Azure, Microsoft Hyper-V und VMWare.
Die Preisgestaltung für diese Lösung beginnt bei 1.075 $ pro Monat für den Essential-Plan. Interessenten können sich für eine 14-tägige kostenlose Testphase anmelden, um die Fähigkeiten des Tools kennenzulernen.
Qualys Threat Protection
Qualys Threat Protection ist ein Cloud-Service, der fortschrittliche Funktionen für Bedrohungsschutz und -reaktion bietet. Es enthält Echtzeit-Bedrohungsindikatoren für Schwachstellen, ordnet Erkenntnisse von Qualys und externen Quellen zu und korreliert kontinuierlich externe Bedrohungsinformationen mit Ihren Schwachstellen und Ihrem IT-Asset-Inventar.
Mit Qualys Threat Protection können Sie manuell ein individuelles Dashboard aus Widgets und Suchanfragen erstellen und Suchergebnisse sortieren, filtern und verfeinern.
Kernmerkmale
- Zentrales Steuerungs- und Visualisierungspanel.
- Bietet Live-Feeds zu veröffentlichten Schwachstellen.
- RTIs für Zero-Day-Angriffe, öffentliche Exploits, aktiv angegriffene Systeme, hohe laterale Bewegung, hoher Datenverlust, Denial-of-Service, Malware, fehlende Patches, Exploit-Kits und einfache Exploits.
- Beinhaltet eine Suchmaschine zur gezielten Suche nach bestimmten Assets und Schwachstellen mittels Ad-hoc-Abfragen.
- Qualys Threat Protection korreliert laufend externe Bedrohungsdaten mit Ihrem Schwachstellen- und IT-Asset-Inventar.
Qualys bietet eine 30-tägige kostenlose Testversion an, damit Interessenten die Funktionen des Tools vor einer Kaufentscheidung erkunden können.
SOCRadar
SOCRadar beschreibt sich selbst als eine SaaS-basierte Extended Threat Intelligence (XTI)-Plattform, die External Attack Surface Management (EASM), Digital Risk Protection Services (DRPS) und Cyber Threat Intelligence (CTI) kombiniert.
Die Plattform verbessert die Sicherheitslage Ihres Unternehmens, indem sie Einblick in seine Infrastruktur, sein Netzwerk und seine Datenbestände bietet. Zu den Fähigkeiten von SOCRadar gehören Echtzeit-Bedrohungsinformationen, automatisierte Scans des Deep und Dark Web und integrierte Reaktion auf Vorfälle.
Wichtige Merkmale
- Lässt sich in bestehende Sicherheitsstacks wie SOAR, EDR, MDR und XDR sowie SIEM-Lösungen integrieren.
- Nutzt über 150 Feed-Quellen.
- Die Lösung bietet Informationen zu verschiedenen Sicherheitsrisiken wie Malware, Botnetze, Ransomware, Phishing, schlechter Reputation, gehackten Websites, verteilten Denial-of-Service-Angriffen (DDOS), Honeypots und Angreifern.
- Branchen- und regionenbasierte Überwachung.
- MITRE ATT&CK-Mapping.
- Hat Zugriff auf über 6.000 Combo-Listen (Anmeldeinformationen und Kreditkarten).
- Überwachung des Deep und Dark Web.
- Erkennung kompromittierter Anmeldeinformationen.
SOCRadar bietet zwei Editionen: Cyber Threat Intelligence für SOC-Teams (CTI4SOC) und Extended Threat Intelligence (XTI). Beide Pläne sind in jeweils einer kostenlosen und einer kostenpflichtigen Version verfügbar, wobei der CTI4SOC-Plan bei 9.999 $ pro Jahr beginnt.
Solarwinds Security Event Manager
SolarWinds Security Event Manager ist eine SIEM-Plattform, die Ereignisprotokolldaten von über 100 vorgefertigten Konnektoren, einschließlich Netzwerkgeräten und Anwendungen, sammelt, normalisiert und korreliert.
Mit SEM können Sie Sicherheitsrichtlinien effektiv verwalten, überwachen und durchsetzen sowie Ihr Netzwerk schützen. Es analysiert die gesammelten Protokolle in Echtzeit und nutzt diese Informationen, um Sie über Probleme zu informieren, bevor diese schwerwiegende Schäden an Ihrer Unternehmensinfrastruktur verursachen können.
Hauptmerkmale
- Überwacht Ihre Infrastruktur rund um die Uhr.
- SEM verfügt über 100 vorgefertigte Konnektoren, darunter Atlassian JIRA, Cisco, Microsoft, IBM, Juniper, Sophos, Linux und mehr.
- Automatisiert das Compliance-Risikomanagement.
- SEM beinhaltet die Überwachung der Dateiintegrität.
- SEM sammelt Protokolle, korreliert Ereignisse und überwacht Bedrohungsdatenlisten – alles in einer zentralen Ansicht.
- Die Plattform verfügt über mehr als 700 integrierte Korrelationsregeln.
- Benutzer können Berichte im PDF- oder CSV-Format exportieren.
Solarwinds Security Event Manager bietet eine kostenlose 30-Tage-Testversion mit zwei Lizenzierungsoptionen: Abonnement, das bei 2.877 $ beginnt, und unbefristet, das bei 5.607 $ beginnt. Das Tool wird basierend auf der Anzahl der Knoten lizenziert, die Protokoll- und Ereignisinformationen senden.
Tenable.sc
Tenable.sc basiert auf der Nessus-Technologie und ist eine Plattform für das Schwachstellenmanagement, die Einblicke in die Sicherheitslage und IT-Infrastruktur Ihres Unternehmens bietet. Es sammelt und bewertet Schwachstellendaten in Ihrer gesamten IT-Umgebung, analysiert Schwachstellentrends im Zeitverlauf und ermöglicht es Ihnen, Prioritäten zu setzen und Korrekturmaßnahmen zu ergreifen.
Mit der Tenable.sc-Produktfamilie (Tenable.sc und Tenable.sc+) können Sie Schwachstellen identifizieren, untersuchen, priorisieren und beheben, um Ihre Systeme und Daten zu schützen.
Wichtige Funktionen
- Optimiert die Einhaltung von Industriestandards wie CERT, NIST, DISA STIG, DHS CDM, FISMA, PCI DSS und HIPAA/HITECH.
- Die passiven Asset-Erkennungsfunktionen ermöglichen es Ihnen, IT-Assets in Ihrem Netzwerk zu erkennen und zu identifizieren, wie z. B. Server, Desktops, Laptops, Netzwerkgeräte, Web-Apps, virtuelle Maschinen, Mobilgeräte und die Cloud.
- Das Tenable Research Team veröffentlicht regelmäßig Updates zu den neuesten Schwachstellenprüfungen, Zero-Day-Recherchen und Konfigurations-Benchmarks, um Sie beim Schutz Ihres Unternehmens zu unterstützen.
- Tenable verfügt über eine Bibliothek mit über 67.000 Common Vulnerabilities and Exposures (CVEs).
- Echtzeit-Erkennung von Botnetzen und Command-and-Control-Traffic.
- Tenable.sc Director bietet eine zentrale Konsole, mit der Sie Ihr Netzwerk über alle Tenable.sc-Konsolen hinweg anzeigen und verwalten können.
Tenable.sc wird pro Jahr und pro Asset lizenziert, wobei die 1-Jahres-Lizenz bei 5.364,25 $ beginnt. Durch den Kauf einer Mehrjahreslizenz lassen sich Kosten sparen.
Fazit
Dieser Leitfaden hat sieben Threat-Intelligence-Plattformen und deren wichtigsten Funktionen beleuchtet. Die beste Option für Sie hängt von Ihren individuellen Anforderungen und Präferenzen hinsichtlich der Bedrohungsinformationen ab. Bevor Sie sich für ein bestimmtes Tool entscheiden, sollten Sie eine Produktdemo anfordern oder eine kostenlose Testversion nutzen, um die Funktionalität in der Praxis zu testen.
So können Sie feststellen, ob das jeweilige Tool den Bedürfnissen Ihres Unternehmens entspricht. Achten Sie außerdem darauf, dass der Support qualitativ hochwertig ist und die Feed-Updates regelmäßig erfolgen.
Als nächsten Schritt können Sie sich mit Simulationswerkzeugen für Cyberangriffe befassen.