Seminar CybelAngel – Intensivseminar II: Threat Intelligence, Dark Web und Response

Das Intensivformat verbindet externe Signale mit analytischer Bewertung und kontrollierter Reaktion. Eine simulierte Angriffskampagne entwickelt sich von ersten Dark-Web-Hinweisen über Markenmissbrauch und Credential-Risiken bis zur Krisenlage.

Inhaltsübersicht

• Zielsetzung
• Zielgruppe
• Voraussetzungen
• Seminarinhalte
• Praxisübungen
• Methodik

Zielsetzung

• Externe Signale zu einem Bedrohungsbild zusammenführen
• IOC-, TTP- und Hunting-Methodik anwenden
• Brand- und Ransomware-Signale eskalieren
• REACT, Triage und Takedown verzahnen
• Erkenntnisse in Detection und Reporting überführen

Zielgruppe

Threat Intelligence, SOC, Threat Hunting, Incident Response, Brand Protection, Fraud Management, Krisenstäbe, Detection Engineering und CISO-Organisation.

Voraussetzungen

Erfahrung mit Incident Response oder SOC-Arbeit sowie Grundkenntnisse zu IOC, TTP, DNS, Identitäten und interner Sicherheitstelemetrie.

Seminarinhalte

1. Schritt 1: Intelligence Requirements festlegen

   Schutzgüter, Akteure, Geschäftsszenarien, Eskalationsstufen und Informationsbedarfe werden vorab definiert.

2. Schritt 2: Dark-Web-Monitoring aufsetzen

   Aliase, Projekte, Führungspersonen, Technologien und Lieferanten werden mit Quellen- und Ausschlusslogik überwacht.

3. Schritt 3: Dark-Web-Signale validieren

   Quelle, Akteur, Zeitbezug, Evidenz, Confidence und Unternehmenszuordnung werden methodisch bewertet.

4. Schritt 4: Brand-Missbrauch erkennen

   Look-alike-Domains, Fake-Profile, betrügerische Apps und Phishing-Infrastruktur werden zur Kampagne gebündelt.

5. Schritt 5: Credential-Signale einordnen

   Kompromittierte Konten, Infostealer-Kontext, Privilegien und mögliche Kontoübernahme werden in die Lage integriert.

6. Schritt 6: IOC- und TTP-Kontext entwickeln

   Technische Indikatoren werden bereinigt, zeitlich begrenzt und mit beobachtetem Angreiferverhalten verbunden.

7. Schritt 7: Hunting-Hypothesen ableiten

   Externe Hinweise werden in prüfbare Hypothesen, Datenquellen, Abfragen und Ausschlusskriterien übersetzt.

8. Schritt 8: Interne Korrelation durchführen

   SIEM-, EDR-, DNS-, Proxy-, E-Mail- und Identitätsdaten werden mit externer Intelligence abgeglichen.

9. Schritt 9: Ransomware-Frühwarnung bewerten

   Akteursinteresse, Access-Angebote, Credentials, Schwachstellen, Leakseiten und Vorbereitungsindikatoren steuern die Eskalation.

10. Schritt 10: Krisenmonitoring organisieren

    Lagebild, Beobachtungsrhythmus, Kommunikationskanäle, Verantwortlichkeiten und Entscheidungspunkte werden eingerichtet.

11. Schritt 11: REACT-Untersuchung beauftragen

    Fragestellung, Scope, Zeitfenster, Beweislage, Zwischenberichte und erwartetes Analyseprodukt werden präzisiert.

12. Schritt 12: Incident-Response steuern

    Priorität, Eigentümer, Eindämmung, Beweissicherung, Status und Parallelmaßnahmen werden koordiniert.

13. Schritt 13: Remediation und Takedown umsetzen

    Domain-, Profil-, Inhalts- oder Infrastrukturmaßnahmen werden mit Providern und internen Stellen verfolgt.

14. Schritt 14: Integration und Automatisierung nutzen

    Indikatoren, Fälle und Status werden kontrolliert an SIEM, SOAR oder ITSM übergeben.

15. Schritt 15: Lagebericht und Verbesserungsplan erstellen

    Confidence, Geschäftsauswirkung, Entscheidungen, offene Risiken, Detection-Lücken und nächste Schritte werden berichtet.

Praxisübungen

• Dark-Web- und Brand-Signale zu Kampagne korrelieren
• Hunting-Hypothese und Detection Rule entwickeln
• Ransomware-Eskalation mit REACT-Briefing durchführen
• Takedown-Fall mit Lagebericht abschließen

Methodik

Die Inhalte werden mit kurzen Fachvorträgen, Demonstrationen und einer durchgängigen Fallbearbeitung vermittelt. Jeder Arbeitsschritt endet mit einem dokumentierten Prüfkriterium zu Datenqualität, Risiko, Zuständigkeit und nächster Maßnahme.