Threat Hunting (deutsch: Bedrohungsjagd) ist die proaktive Suche nach Angreifern und Schadcode, die klassische Sicherheitsmaßnahmen wie Firewalls, Intrusion-Detection-Systeme oder SIEM-Lösungen bereits übersehen haben. Anders als das reaktive Warten auf Alarme geht der Threat Hunter gezielt davon aus, dass sich ein Angreifer bereits im Netzwerk befindet.
So funktioniert Threat Hunting
Typisch ist ein hypothesengetriebener, iterativer Ablauf: Der Hunter formuliert eine Hypothese aus Threat Intelligence oder bekannten TTPs (Tactics, Techniques and Procedures), sammelt Telemetriedaten von Endpoints, Netzwerk und Logs, sucht nach Verhaltensmustern und analysiert die Treffer. Das Ergebnis bestätigt oder widerlegt die Hypothese und mündet oft in neue Detections oder verbesserte SIEM-Regeln.
Warum proaktiv?
Moderne Angreifer nutzen Techniken, die signaturenbasierte Erkennung umgehen, etwa Living-off-the-Land-Befehle oder verschleierte Skripte. Threat Hunting kombiniert menschliche Erfahrung mit Datenanalyse und ergänzt damit XDR, EDR und UEBA: Die Plattformen liefern die Telemetrie, der Hunter die kreative Fragestellung.
Werkzeuge und Methodik
- Hypothesen: Basis sind Threat Intelligence, MITRE ATT&CK-Techniken oder Auffälligkeiten aus Anomalie-Erkennung.
- Datenquellen: Endpoint-Telemetrie, Netzwerkflows, DNS-Logs, E-Mail-Gateways, Sandbox-Berichte.
- Frameworks: Viele Teams dokumentieren Hunts als strukturierte Zyklen, ähnlich dem Incident-Management-Prozess.
Verwandte Grundlagen: Threat Intelligence, MITRE ATT&CK, SOAR, Incident Management, IOC.