Nach neun Episoden blieb mir eine unbequeme Schieflage: Über Methoden, Modelle und Automatisierung gibt es viel Literatur. Darüber, wie Threat Hunter tatsächlich denken, Übergaben bauen und gemeinsam Zweifel bearbeiten, wissen wir deutlich weniger.
Quellen: Nour et al., A Systematic Literature Review on Cyber Threat Hunting; Milani et al., Fuzzy to Clear: Understanding the Lived Experiences of Threat Hunters.
Das ist für mich der wichtigste Abschluss dieser Serie. Die nächste Produktfunktion ist leichter zu beschreiben als die Denk- und Teamarbeit, die aus einem Signal eine belastbare Entscheidung macht.
Was die Literatur häufig zählt
Das systematische Review von Nour und Kollegen sichtete 95 Arbeiten und wählte 25 für die vertiefte Analyse aus. Die häufigsten Themen waren Machine Learning und Taktiken, Techniken und Prozeduren. Daten, Intelligence und neuronale Netze bildeten weitere Kategorien.
Der Befund ist nützlich, aber er zeigt auch die Perspektive vieler Arbeiten. Sie ordnen Verfahren und technische Ansätze. Damit beantworten sie noch nicht, wie ein Hunter unter Zeitdruck Kontext aufbaut, Unsicherheit festhält oder einen Hunt so dokumentiert, dass ein anderer ihn fortsetzen kann.
Was sichtbar wird, wenn Forschung zuschaut
„Fuzzy to Clear“ wählt deshalb einen anderen Zugang. Die Forschenden beobachteten Threat Hunter während ihrer Arbeit und untersuchten, wie sie mentale Modelle aufbauen und verfeinern. Daraus entstanden 23 Themen und fünf Vorschläge für Werkzeuge, die diese kognitive Arbeit besser unterstützen sollen.
Das ist ein anderer Erkenntnisgewinn als ein neues Erkennungsmodell. Es geht um Kontinuität zwischen Sitzungen, gemeinsam sichtbare Begründungen und die Geschichte einer Untersuchung. Genau dort liegen im Alltag oft die Brüche.
Was aus dieser Serie übrig bleibt
Episode 1 hat die Lehrbuchannahme einer immer vorab formulierten Hypothese relativiert. Episode 2 hat Zertifikate von tatsächlichem Urteil getrennt. Episode 3 bis 6 haben gezeigt, dass Analyse, Automation und Nachbesprechung zusammengehören. Die späteren Folgen haben die Grenzen in OT, IoT und erklärungsbedürftiger KI sichtbar gemacht.
Diese Themen sind keine neun voneinander getrennten Methoden. Sie beschreiben einen Arbeitszusammenhang: Daten sehen, Kontext aufbauen, Entscheidungen begründen, Ergebnisse weitergeben und aus dem Hunt lernen.
Die Forschungslücke ist eine Gestaltungsaufgabe
Ich würde deshalb nicht mit der Frage enden, welches Tool Threat Hunting als Nächstes automatisiert. Interessanter ist, welche menschliche Entscheidung noch schlecht unterstützt wird.
Ein gutes Werkzeug nimmt dem Hunter nicht die Einordnung ab. Es macht Beobachtungen, Annahmen, Gegenbelege und offene Fragen so sichtbar, dass das Team daran weiterarbeiten kann. An dieser Stelle beginnt für mich die nächste Entwicklung der Disziplin.
Gregor Lyttek ist Security Architect & AI Strategist und Threat Hunter im Versicherungsumfeld.