Beim Threat Hunting soll am Anfang oft eine saubere Hypothese stehen. Das ist ordentlich dokumentierbar. Es kann aber auch den Blick verengen, bevor jemand die Umgebung verstanden hat.
William P. Maxam III und James C. Davis haben elf Threat Hunter aus dem Umfeld des US-Heimatschutzministeriums jeweils etwa eine Stunde interviewt. Ihre Studie beschreibt eine Praxis, die deutlich datengetriebener arbeitet als viele Lehrbuchmodelle.
Beleg: William P. Maxam III und James C. Davis (2024), "An Interview Study on Third-Party Cyber Threat Hunting Processes in the U.S. Department of Homeland Security".
Die Hypothese ist nicht immer der Anfang
Eine Lehrbuch-Hypothese kann sehr konkret sein. Eine bestimmte Gruppe könnte eine bestimmte Schwachstelle genutzt und sich zu einem bestimmten Ziel bewegt haben. Das Team sucht dann nach Belegen dafür oder dagegen.
Die interviewten Teams starten häufig anders. Sie bauen zuerst eine Baseline auf, lesen das Verhalten der Umgebung und suchen nach Abweichungen. Einer der Befragten trennt einen Alert-Pfad mit Indikatoren und Signaturen von einem zweiten Pfad, der beim Verständnis der Umgebung beginnt und zu Verhaltens- und Anomalieanalyse führt.
Hypothesen bleiben nützlich. Die Reihenfolge ändert sich. Eine Hypothese darf aus den Daten entstehen, statt den Daten vorzugeben, was sie zeigen sollen.
Baseline vor Bestätigung
Wer nur nach einer vorformulierten Angriffskette sucht, kann andere Auffälligkeiten übersehen. Eine Baseline zwingt das Team zunächst zu einer nüchternen Frage. Was ist in dieser konkreten Umgebung normal?
Das kostet Zeit und lässt sich schlechter als Trefferquote verkaufen. Trotzdem ist es operative Arbeit. Erst wenn Konten, Prozesse und Verbindungen im Normalzustand verstanden sind, bekommt eine Abweichung ihren Kontext.
Für mich ist das die wichtigste Aussage der Studie. Threat Hunting beginnt nicht mit einer möglichst klugen Geschichte über den Angreifer. Es beginnt mit belastbaren Daten über die eigene Umgebung.
Die weiteren Folgen trennen die Arbeitsfragen
Die Studie enthält noch mehr. Episode 2 behandelt die Grenzen von Zertifikaten. Episode 3 trennt Alert- und Baseline-Pfad. Episode 5 geht auf die Wartung von Automation ein. Episode 6 beschreibt das Lernen nach einer Mission.
Hier reicht die Leitlinie. Daten zuerst, Hypothese danach, wenn sie durch die Umgebung getragen wird.
Kurz gesagt
Eine gute Hypothese kann einen Hunt fokussieren. Sie sollte aber nicht verhindern, dass das Team zuerst versteht, was in der Umgebung tatsächlich passiert.
Gregor Lyttek ist Security Architect & AI Strategist und Threat Hunter im Versicherungsumfeld.