Seminar CybelAngel – Dark Web Monitoring

Ein Dark-Web-Hinweis ist weder automatisch wahr noch automatisch kritisch. Für eine belastbare Reaktion müssen Quelle, Akteur, Zeitbezug, Unternehmensbezug, Datenqualität und mögliche Folgehandlungen gemeinsam bewertet werden.

Inhaltsübersicht

• Zielsetzung
• Zielgruppe
• Voraussetzungen
• Seminarinhalte
• Praxisübungen
• Methodik

Zielsetzung

• Einen zulässigen Monitoring-Umfang definieren
• Suchbegriffe und Aliase zielgerichtet aufbauen
• Quellen- und Akteurskontext einbeziehen
• Funde sicher validieren und eskalieren
• Monitoring-Regeln anhand der Ergebnisse verbessern

Zielgruppe

SOC, Threat Intelligence, Incident Response, Fraud Management, Brand Protection, CISO-Organisation und Krisenstäbe.

Voraussetzungen

Grundkenntnisse in Incident Response und Threat Intelligence. Interne Vorgaben zu Datenschutz, Beweissicherung, Kommunikation und Eskalation müssen bekannt sein.

Seminarinhalte

1. Schritt 1: Rechtlichen und ethischen Rahmen festlegen

   Zulässige Beobachtung, Datenminimierung, Umgang mit illegalen Inhalten, Beweissicherung und Kommunikationsgrenzen werden dokumentiert.

2. Schritt 2: Monitoring-Scope definieren

   Marken, Domains, Projekte, Technologien, Produkte, Führungspersonen, Lieferanten und sensible Begriffe werden priorisiert.

3. Schritt 3: Suchbegriffe und Aliase aufbauen

   Schreibvarianten, Abkürzungen, Codenamen, Domains, E-Mail-Muster und Kontextbegriffe werden kombiniert und mit Ausschlüssen versehen.

4. Schritt 4: Quellenarten unterscheiden

   Foren, Marktplätze, Paste-Dienste, Messenger-Kanäle, Ransomware-Leakseiten und Leak-Sammlungen werden nach Aussagekraft bewertet.

5. Schritt 5: Alert und Evidenz lesen

   Originalaussage, Übersetzung, Zeitstempel, Autor, Thread-Kontext, Anhänge und Analystenkommentar werden getrennt betrachtet.

6. Schritt 6: Akteur und Absicht einordnen

   Reputation, Historie, Verkaufsverhalten, technische Tiefe, Zielsetzung und mögliche Täuschungsabsicht werden berücksichtigt.

7. Schritt 7: Unternehmensbezug validieren

   Identifikatoren, Datenmuster, technische Merkmale und unabhängige Signale bestätigen oder widerlegen die Zuordnung.

8. Schritt 8: Risiko priorisieren

   Aktualität, Datenumfang, Privilegien, Angriffsvorbereitung, Erpressungsbezug, Reichweite und Geschäftsimpact bestimmen die Dringlichkeit.

9. Schritt 9: Eskalation und Eindämmung auslösen

   SOC, Incident Response, IAM, Recht, Kommunikation, Lieferantenmanagement und Management werden abgestuft eingebunden.

10. Schritt 10: Monitoring-Regeln nachschärfen

    False Positives, neue Aliase, Kampagnenbegriffe, Akteure und technische Indikatoren werden kontrolliert übernommen.

Praxisübungen

• Monitoring-Wörterbuch für Organisation und Projekt entwickeln
• Dark-Web-Hinweise nach Quelle und Confidence bewerten
• Eskalationsmatrix für Credential-Verkauf und Ransomware-Erwähnung erstellen
• Tuning für mehrdeutige Suchbegriffe dokumentieren

Methodik

Die Inhalte werden mit kurzen Fachvorträgen, Demonstrationen und einer durchgängigen Fallbearbeitung vermittelt. Jeder Arbeitsschritt endet mit einem dokumentierten Prüfkriterium zu Datenqualität, Risiko, Zuständigkeit und nächster Maßnahme.