Threat Monitoring — Alarme nach Schlüsselwort // MODULE

Threat Monitoring — Alarme nach Schlüsselwort

Wiederkehrende Überwachung nach Suchbegriffen über den Bestand, den die Plattform erfasst: Telegram, WhatsApp, Foren, soziale Netzwerke, .onion-Seiten, Paste-Sites, Code-Repositorien, IOC-Feeds, Zugangsdatenbestände und Infostealer-Logs. Ein Monitor beschreibt, was von Interesse ist; die Erfassung läuft nach eigenem Zeitplan, und was zutrifft, wird zum Alarm für die Triage.

Überblick

Jeder Monitor hat einen innerhalb der Organisation eindeutigen Namen, eine Kategorie (zwölf Optionen, von Bedrohungserkennung bis Schutz von Führungskräften), ein zuständiges Team (SOC, CSIRT, Threat Intelligence, DevSecOps, Compliance, Risk, Betrugsabwehr, Datenschutz), eine Priorität und einen Status.

Die Frequenz reicht von 1 Minute bis 30 Tage. Das Zeitlimit eines Laufs geht bis 2 Stunden, und die Zahl der Wiederholungsversuche bei Fehlschlag ist bis zehn konfigurierbar. Orchestriert wird die Ausführung von Airflow: Der manuelle Start reiht den DAG ein, und die Historie hält jeden Lauf mit Dauer, Ergebnis und Tendenz fest.

Die Suchbegriffe liegen verschlüsselt im Speicher. Schlüsselwörter, Begriffslisten, Suchbefehle und die Beschreibung des Monitors werden in verschlüsselten Feldern abgelegt. Was eine Organisation überwacht, ist selbst eine schutzwürdige Information: Es verrät, welches Asset, welche Führungskraft und welche Marke gefährdet sind.

Wie die Suche aufgebaut wird

Die Begriffe werden zu verpflichtenden Phrasenklauseln über vier Felder des Alarms — Titel, Beschreibung, Rohdatum und Quelle. Zu den Begriffen treten Operatoren:

  • AND fügt weitere Pflichtbegriffe hinzu;
  • OR bildet eine Gruppe, aus der mindestens ein Begriff vorkommen muss;
  • NOT schließt jedes Dokument aus, das einen der Begriffe enthält.

Nach der Abfrage folgt ein zweiter Filterdurchgang über das Zurückgelieferte. Er behandelt einen einzelnen Begriff mit Wortgrenze und einen Ausdruck mit Leerzeichen als Teilzeichenkette — das verhindert, dass bin innerhalb von binär trifft, und erlaubt zugleich, „Kreditkarte” als Phrase zu treffen. Beide Stufen existieren, weil der Ausschluss allein über die Abfrage der Negation auf verschachtelten Feldern nicht gewachsen ist.

Triage statt Flut

Ein Alarm entsteht als ausstehend. Die Analystin markiert ihn als bestätigt oder verworfen, und diese Entscheidung wird mit Urheber, Datum, zugewiesener Schwere und der Kennzeichnung als falsch Positives festgehalten. Die drei Warteschlangen lassen sich getrennt durchgehen, mit Filtern nach Titel, Schwere, zutreffendem Begriff, Stealer-Familie und dem Vorhandensein von Kartendaten.

Parallel dazu versieht eine Schicht regulärer Ausdrücke den Alarm mit einer von zehn Kategorien — Zugangsdaten, Betrug, Datenabfluss, Markenmissbrauch, Phishing, Dark Web, Malware, Führungskräfte, Infrastruktur und soziale Netzwerke. Das Etikett ordnet die Warteschlange; entschieden wird damit nichts.

Der Monitor nimmt außerdem eine deklarative Triage-Konfiguration entgegen: Geltungsbereich, überwachte Entitäten, Schlüsselwortschichten nach Kritikalität, Negativbegriffe, Muster für automatische Bestätigung und automatisches Verwerfen, bekannte gutartige Quellen, ein Deduplizierungsfenster in Stunden und ein Punkte-Schwellenwert. So sagt man „Erwähnungen im wissenschaftlichen Kontext ignorieren”, ohne die Abfrage neu schreiben zu müssen.

Funktionen

  • 112 Erfassungsquellen, auf eigene Indizes abgebildet
  • Optionale KI-Zusammenfassung je Alarm, mit geschlossenem Schema der Bedrohungstypen — samt Filter, um nur Alarme mit oder ohne Zusammenfassung zu sehen
  • Abgleich mit dem Leak-Bestand (Combolists) und mit Infostealer-Paketen, inklusive Filter nach Stealer-Familie
  • Alarme werden einzeln oder im Stapel zu Vorfalls- oder Berichtseinträgen
  • Export der Alarme als XLSX
  • Soft Delete mit Urheber und Datum, Versionierung der Konfiguration und Historie über acht Änderungsarten
  • Asset-Verzeichnis der Organisation mit 41 Kategorien in zehn Gruppen, das die Begriffe des Monitors speist

Anwendungsfälle

  • Erwähnungen der Marke und von Führungskräften in Foren und geschlossenen Kanälen verfolgen
  • Zugangsdaten des Unternehmens in Infostealer-Paketen erkennen, mit benannter Stealer-Familie
  • Die Kampagne eines bestimmten Akteurs mit kombinierten positiven und negativen Begriffen beobachten
  • Die Warteschlange des SOC mit bereits kategorisierten und priorisierten Alarmen speisen

Was das Modul nicht tut

  • Die Alarmkanäle sind E-Mail, Slack und Webhook. Eine native Zustellung an Microsoft Teams oder Discord gibt es nicht — dafür nutzen Sie den Webhook.
  • Die KI-Zusammenfassung entscheidet nicht, ob ein Alarm stichhaltig ist. Die Bestätigung liegt bei der Analystin, und sie ist es, die festgehalten wird.
  • Die automatische Kategorisierung arbeitet lexikalisch, über Textmuster. Sie ist kein trainierter Klassifikator und hat keine veröffentlichte Trefferquote.
  • Es gibt keine automatische rückwirkende Neuverarbeitung der Historie, wenn ein neuer Begriff zum Monitor hinzukommt.

Integrationen

  • Slack, E-Mail und eigener Webhook
  • Airflow (Orchestrierung der Läufe) und OpenSearch (Erfassungsbestand)
  • OODA Leaks, OODA Incident, OODA Reports und die API REST der Plattform

SLA & Garantien

Frequenz von 1 Minute bis 30 Tage · Suchbegriffe verschlüsselt im Speicher · jede Alarmbestätigung ist gezeichnet

Nächste Schritte