Threat Hunting

Was ist Threat Hunting?

Threat Hunting ist ein proaktiver, iterativer Suchprozess in Netzwerken, Endpunkten oder Datensätzen, der Bedrohungen aufdecken soll, die vorhandene automatisierte Werkzeuge umgehen.

Technische Einordnung: Dabei werden Telemetrie und Wissen über gegnerisches Verhalten zusammengeführt, um bislang unbekannte oder nicht alarmierte schädliche Aktivitäten zu erkennen. Aussagekräftige Ergebnisse setzen ausreichende Sichtbarkeit, geeignete Datenqualität und eine nachvollziehbare Analyse voraus.

Für wen ist Threat Hunting relevant?

Threat Hunting ist eine technische Detektions- und Analysepraxis für Organisationen, die in ihren Informationssystemen nach unbekannten oder nicht alarmierten schädlichen Aktivitäten suchen wollen. Umfang und Datenquellen richten sich nach der jeweiligen Umgebung und dem Risikoprofil. Die ausgewerteten allgemeinen technischen Quellen bestimmen weder einen sektorübergreifenden Adressatenkreis noch einen allgemeinen Pflichttatbestand.

Spezialkontext: NIST SP 800-172 behandelt Cyber Threat Hunting im besonderen Kontext erhöhter Sicherheitsanforderungen zum Schutz von Controlled Unclassified Information (CUI). Die dortigen Festlegungen zu Systemumfang, Frequenz und auslösenden Ereignissen dürfen nicht ohne Prüfung auf andere Organisationen übertragen werden. Besondere vertragliche, gesetzliche oder sektorspezifische Vorgaben sind im Einzelfall gesondert zu prüfen.

Wodurch kann eine Suche ausgelöst werden?

Es gibt keinen universellen Auslöser. Eine Suche kann beispielsweise auf einer überprüfbaren Hypothese, Threat Intelligence oder auffälliger Telemetrie beruhen. Dafür müssen geeignete Daten zugänglich sein und die erforderliche Analysefähigkeit vorhanden sein. Ein bestätigter Sicherheitsvorfall ist keine allgemeine Voraussetzung.

Organisationsdefinierte Frequenzen oder Ereignisse nennt NIST SP 800-172 nur für den dort beschriebenen besonderen Anforderungskontext; daraus folgt kein allgemeiner Ablauf für Threat Hunting.

Wie funktioniert Threat Hunting technisch?

Analystinnen und Analysten untersuchen Telemetrie und andere verfügbare Daten mithilfe ihres Wissens über gegnerisches Verhalten. Ziel ist es, Aktivitäten zu entdecken, die präventive oder automatisierte Detektionsmechanismen übersehen haben könnten. Die ausgewerteten Quellen legen jedoch keine universelle Hunting-Methode fest; Auswahl, Tiefe und Wiederholung der Analyse hängen von Umgebung, Datenlage und Risikoprofil ab.

Wie grenzt sich Threat Hunting von Monitoring und Incident Response ab?

Threat Hunting ist eine aktive Suche und nicht mit kontinuierlichem Monitoring, automatischer Alarmierung oder einem einzelnen Schutzwerkzeug gleichzusetzen. Monitoring, Alarmierung und andere Kontrollen können Daten für eine Suche bereitstellen. Hunting ersetzt jedoch weder Prävention und Detektion noch Incident Response. Wird ein Vorfall bestätigt, greifen ergänzend die dafür vorgesehenen Incident-Response-Prozesse.

Gelten feste Fristen oder Schwellenwerte?

In den ausgewerteten allgemeinen technischen Quellen gibt es für Threat Hunting keine allgemeine Frist und keinen numerischen Schwellenwert. NIST SP 800-172 überlässt Frequenz und auslösende Ereignisse im dortigen CUI-Anforderungskontext der Organisation. Besondere vertragliche, gesetzliche oder sektorspezifische Vorgaben bleiben davon unberührt.

Häufige Fehlannahmen

• „Kontinuierliches Monitoring ist bereits Threat Hunting.“ Nein. Monitoring kann Daten liefern; Hunting ist die aktive, zielgerichtete Suche in diesen oder anderen Daten.
• „Threat Hunting beginnt erst nach einem bestätigten Vorfall.“ Nein. Ein bestätigter Vorfall ist keine allgemeine Voraussetzung; auch Hypothesen, Intelligence-Hinweise oder auffällige Telemetrie können eine Suche anstoßen.
• „Threat Hunting ersetzt automatische Detektion und Schutzkontrollen.“ Nein. Es ergänzt Prävention und Detektion, ersetzt sie aber nicht.
• „Threat Hunting macht Incident Response entbehrlich.“ Nein. Bei einem bestätigten Vorfall sind zusätzlich die vorgesehenen Incident-Response-Prozesse erforderlich.
• „Für jede Organisation gelten feste Hunting-Intervalle.“ Nein. Die allgemeinen Quellen nennen keine einheitliche Frist oder numerische Schwelle. Organisationsdefinierte Frequenzen aus NIST SP 800-172 gehören zu dessen besonderem CUI-Kontext.

Was die Geschäftsleitung tun sollte

Praxisempfehlung: Die folgenden Schritte sind eine risikobasierte Managementempfehlung und keine eigenständige allgemeine Rechtspflicht zum Threat Hunting.

1. Entscheiden, ob Threat Hunting angesichts der eigenen Risikolage, Systeme und verfügbaren Ressourcen eingesetzt werden soll.
2. Ziele und Geltungsbereich festlegen, einschließlich der zu betrachtenden Systeme und geeigneten Datenquellen.
3. Verantwortlichkeiten, Analysekompetenz und Eskalationswege zwischen Detektion und Incident Response bestimmen.
4. Passende Frequenz- oder Ereignisregeln definieren, ohne technische Spezialvorgaben ungeprüft als allgemeine Pflicht zu behandeln.
5. Für ausreichende Telemetrie, Datenqualität und eine nachvollziehbare Dokumentation der Analyse sorgen.
6. Festlegen, wie Ergebnisse bewertet und zur Verbesserung von Detektion und Reaktionsfähigkeit verwendet werden.

Für die Geschäftsleitung

Threat Hunting erweitert die Detektionsfähigkeit um eine aktive Suche nach Aktivitäten, die bestehende Werkzeuge möglicherweise nicht erkannt haben. Die Geschäftsleitung sollte den Einsatz risikobasiert entscheiden, Ziele, Reichweite, Zuständigkeiten, Auslöser und Eskalation festlegen sowie geeignete Daten und Fachkompetenz ermöglichen. Als Nachweis einer gesteuerten Umsetzung dienen nachvollziehbar dokumentierte Entscheidungen, Suchregeln, Verantwortlichkeiten, Analysen, Eskalationen und die Verwertung der Ergebnisse. Aus den ausgewerteten allgemeinen technischen Quellen folgt keine eigenständige allgemeine Pflicht zur Durchführung von Threat Hunting.

Quellen

• NIST SP 800-61 Rev. 3 – Glossardefinition „Cyber threat hunting“ sowie Einordnung in Detektion, Analyse und Incident Response.
• NIST SP 800-172 – besonderer CUI-Kontext und organisationsdefinierte Systeme, Frequenzen und Ereignisse bei Cyber Threat Hunting.
• NIST SP 1299: CSF 2.0 Resource Guide – risikobasierte Nutzung des freiwilligen Cybersecurity Framework.