Seminar Threat Intelligence & Threat Modeling: MISP-Feeds, OpenCTI

Inhaltsverzeichnis

1. Abstract
2. Zielgruppe
3. Voraussetzungen
4. Lernziele
5. Inhalte und Ablauf
6. Praxis

Abstract

Das Seminar verbindet Threat Intelligence mit operativ nutzbarem Threat Modeling. Inhalte sind Feed-Management, IOC-Formate, Korrelation und Sichtbarkeit, sowie die Modellierung von Akteuren, Kampagnen, Malware, Observables und Attack Patterns im Threat-Modeling-Bereich. Ziel ist die Ableitung konkreter SOC-Artefakte: Enrichment im Incident Response, Hunting-Fragen und Detektionsideen aus strukturierten CTI-Daten.

Zielgruppe

Threat Intelligence, SOC-Analysten (SIEMonster Implementierung: Deployment, Architektur, Hybrid-Anbindung/SIEMonster Log-Onboarding & Ingestion: Hydra, Syslog, API-Quellen), Detection Engineers, Incident Response.

Voraussetzungen

Grundkenntnisse CTI/IOC, Verständnis von Angriffsketten, Threat Hunting & Analytics: Event Search, DQL, Dashboards/Incident Response: Alerts, Cases, Observables, Enrichment hilfreich.

Lernziele

• Feeds zielgerichtet aktivieren und nutzen
• CTI in IR-Enrichment und Hunting überführen
• Threat Modeling als Steuerungsinstrument für Use Cases verwenden

Inhalte und Ablauf

• Tag 1: Threat Intelligence
  • Feed-Konzepte: Formate und Datenqualität
  • Caching, Korrelation und Sichtbarkeit (Team/Org)
  • IOC-Lifecycle: Freshness, Confidence, False Positives
  • Enrichment im IR: Analyzer-Logik und Ergebnisse
  • Governance: Freigaben, Tagging, Distribution
• Tag 2: Threat Modeling
  • Entitäten: Actors, Campaigns, Incidents, Malware, Observables
  • Attack Patterns und TTP-Sicht (Framework-Bezug)
  • Knowledge Graph: Beziehungen, Kontextattribute, Confidence
  • Ableitung: Hunts und Detektionshypothesen
  • Operationalisierung: Backlog für Regeln und Playbooks

Praxis

• Feed-Set aktivieren
  • Feedkategorien auswählen (operativer Nutzen)
  • Korrelation sichtbar/unsichtbar definieren
  • Caching aktivieren (wo sinnvoll)
  • IOC-Import prüfen
  • Beispielkorrelation in IR-Kontext bewerten
• Threat Model → Use Case
  • Threat Actor anlegen (Minimaldaten)
  • Kampagne verknüpfen
  • Observables hinzufügen
  • Attack-Pattern-Bezug herstellen
  • Ableitung: 3 Hunting-Fragen + 2 Detektionsideen