Threat Intelligence (auch Cyber Threat Intelligence, kurz CTI) sind aufbereitete Informationen über Bedrohungsakteure, deren Absichten, Fähigkeiten und Angriffsmethoden. Ziel ist es, Angriffe vorherzusehen, schneller zu erkennen und Gegenmaßnahmen gezielt zu planen — statt erst nach einem Vorfall zu reagieren.
Die drei Ebenen
- Strategische Intelligenz: richtet sich an die Führungsebene und beantwortet das Wer und Warum: Wer greift an, welche Motive und Trends gibt es?
- Operative Intelligenz: beschreibt konkrete Angriffskampagnen, TTPs und Infrastruktur von Akteuren — wichtig für Verteidiger und Threat Hunting.
- Taktische Intelligenz: liefert technische Indikatoren wie IP-Adressen, Domains, Hashes und Dateinamen — die klassischen Indicators of Compromise (IOCs).
Lebenszyklus und Standards
Threat Intelligence folgt einem Kreislauf aus Sammlung, Verarbeitung, Analyse, Verbreitung und Feedback. Verbreitet werden die Ergebnisse über Feeds, Portale und Plattformen; offene Standards wie STIX und TAXII ermöglichen den maschinellen Austausch zwischen Organisationen. Im SIEM oder SOAR fließen IOCs automatisiert in Korrelationsregeln und Playbooks ein.
Zusammenspiel mit Detection and Response
CTI speist die Hypothese für Threat Hunting, schärft die Erkennung in XDR und EDR, unterstützt Anomalie-Erkennung und priorisiert Alerts im Incident Management.
Verwandte Grundlagen: Threat Hunting, MITRE ATT&CK, SIEM, MDR, STIX.