Seminar EclecticIQ Intelligence Center – Datenmodell, STIX 2.1, Entities und Observables

Saubere Modellierung entscheidet darüber, ob Intelligence auffindbar, korrelierbar, teilbar und automatisierbar bleibt. Das Seminar übersetzt fachliche Sachverhalte in STIX-nahe Entities, Observables und Beziehungen und zeigt, wie Kontext ohne unnötige Sonderkonstruktionen erhalten wird.

Inhaltsübersicht

• Zielsetzung
• Zielgruppe
• Voraussetzungen
• Seminarinhalte
• Praxisübungen
• Didaktik und Arbeitsweise

Zielsetzung

• Entities, Observables, Beziehungen und Metadaten sicher unterscheiden
• STIX-2.1-Domänen-, Cyber-Observable- und Relationship-Objekte fachgerecht zuordnen
• Indicator Patterns, Sighting-, Report- und Incident-Strukturen korrekt verwenden
• TLP, Confidence, Source Reliability, Tags und Klassifikationen konsistent pflegen
• Custom Objects und Custom Attributes kontrolliert und interoperabel einsetzen

Zielgruppe

CTI-Analysten, Datenmodellierer, Integrationsentwickler, Plattformadministration, Feed Engineering und Intelligence-Produktion.

Voraussetzungen

CTI-Grundkenntnisse und sicherer Umgang mit strukturierten Daten. Grundverständnis von JSON ist für technische Übungen hilfreich.

Seminarinhalte

1. Schritt 1: Intelligence-Objekte fachlich abgrenzen

   Ein Sachverhalt wird in Akteure, Kampagnen, Malware, Infrastruktur, Schwachstellen, Berichte, Incidents und beobachtbare Werte zerlegt. Für jedes Objekt wird geprüft, ob es eine eigenständige Identität und einen eigenen Lebenszyklus besitzt.

2. Schritt 2: Entities und Observables unterscheiden

   Domain, IP-Adresse, Hash, E-Mail-Adresse und Datei werden als Observables betrachtet, während analysierte Konzepte als Entities modelliert werden. Die Trennung verhindert, dass rohe Werte mit bewerteter Intelligence vermischt werden.

3. Schritt 3: STIX-2.1-Objektklassen zuordnen

   Domain Objects, Cyber-observable Objects, Relationship Objects und Marking Definitions werden anhand praktischer Beispiele eingeordnet. Pflichtfelder, Identität, Zeitstempel und Referenzen werden auf Konsistenz geprüft.

4. Schritt 4: Beziehungen präzise formulieren

   Beziehungsart, Richtung, Beschreibung, Confidence und Zeitbezug werden so gewählt, dass die Aussage fachlich eindeutig bleibt. Unbelegte oder nur vermutete Verknüpfungen werden als Hypothese gekennzeichnet.

5. Schritt 5: Indicator Patterns und Gültigkeit modellieren

   Observable-Ausdrücke werden in passende Indicator Patterns überführt. Gültigkeitszeitraum, Revocation, Confidence und betrieblicher Status werden getrennt, damit Detektionssysteme keine veralteten Indikatoren erhalten.

6. Schritt 6: Reports, Notes, Incidents und Sightings einsetzen

   Ein Report bündelt publizierbare Analyse, eine Note hält ergänzenden Kontext fest, ein Incident beschreibt ein Ereignis und eine Sighting dokumentiert Beobachtung. Die Auswahl richtet sich nach Zweck und Nachweis, nicht nach bequemster Eingabemaske.

7. Schritt 7: Intelligence-Metadaten einheitlich pflegen

   TLP, Confidence, Source Reliability, Tags, Gruppen und Erstellungszeit werden anhand einer Datenkonvention gesetzt. Vererbte und manuell überschriebene Werte werden sichtbar unterschieden.

8. Schritt 8: ATT&CK- und DISARM-Klassifikationen zuweisen

   Taktiken, Techniken und Einflussoperationsmuster werden nur bei ausreichender Evidenz zugeordnet. Framework-Version, Granularität und Mehrfachzuordnung werden in einer Modellierungsregel festgehalten.

9. Schritt 9: Benutzerdefinierte Attribute planen

   Fehlende organisationsspezifische Felder werden nach Such-, Anzeige-, Export- und Pflegebedarf bewertet. Datentyp, Pflichtstatus, Namenskonvention und Migrationsweg werden vor der Anlage festgelegt.

10. Schritt 10: Custom Objects kontrolliert einsetzen

    Ein fachlicher Objekttyp wird nur dann als Custom Object angelegt, wenn Standardobjekte den Lebenszyklus nicht sinnvoll abbilden. Interoperabilität, Export, API-Nutzung, Berechtigung und spätere Ablösung werden dokumentiert.

11. Schritt 11: JSON-Repräsentation prüfen

    Ausgewählte Objekte werden als strukturierte Darstellung untersucht. IDs, Typen, Zeitstempel, Referenzen, Extensions und Markings werden mit dem sichtbaren Objekt im Intelligence Center abgeglichen.

12. Schritt 12: Modellierungsqualität testen

    Ein Testkatalog prüft Duplikate, ungerichtete Aussagen, fehlende Zeitbezüge, inkonsistente TLP-Werte und überladene Reports. Fehler werden korrigiert und als Modellierungsstandard dokumentiert.

Praxisübungen

1. Übung 1: Threat-Actor-Fall modellieren

   Aus einem unstrukturierten Text werden Entities, Observables, Beziehungen und Metadaten abgeleitet und in einer Modellierungsskizze begründet.

2. Übung 2: Indicator Pattern prüfen

   Mehrere IOC-Ausdrücke werden auf Typ, Operator, Gültigkeit und technische Verwendbarkeit kontrolliert und korrigiert.

3. Übung 3: Incident und Report vergleichen

   Derselbe Sachverhalt wird als Incident und als Report modelliert; Unterschiede bei Zweck, Beziehungen und Publikation werden bewertet.

4. Übung 4: Custom Attribute entwerfen

   Ein organisationsspezifisches Feld erhält Datentyp, Validierungsregel, Pflegeverantwortung, API-Namen und Migrationsplan.

5. Übung 5: STIX-JSON analysieren

   Ein Objektpaket wird auf Pflichtfelder, Referenzen, Markings und semantische Fehler geprüft.

Didaktik und Arbeitsweise

Kurze Fachimpulse werden unmittelbar durch Demonstrationen, strukturierte Arbeitsschritte, Praxisübungen und kontrollierte Fehlerfälle vertieft. Jede Übung verwendet definierte Ausgangswerte, Prüfpunkte und Dokumentationsanforderungen. Die erarbeiteten Verfahren bleiben dadurch im späteren Betrieb wiederholbar und auditierbar.