Seminar EclecticIQ Intelligence Center – Discovery, Intelligence Compass und Keyword Lists

Intelligence Requirements verlieren ihren Wert, wenn sie nur in Dokumenten stehen und nicht mit eingehender Intelligence verknüpft werden. Das Seminar operationalisiert Anforderungen mit Intelligence Compass, Discovery-Regeln und wiederverwendbaren Keyword Lists und schafft eine messbare Schleife zwischen Bedarf, Treffer, Bearbeitung und Anpassung.

Inhaltsübersicht

• Zielsetzung
• Zielgruppe
• Voraussetzungen
• Seminarinhalte
• Praxisübungen
• Didaktik und Arbeitsweise

Zielsetzung

• Intelligence Requirements präzise und entscheidungsorientiert formulieren
• AI- und keywordbasierte Zuordnung passend zum Schutzbedarf einsetzen
• Discovery-Regeln für Suchabfragen und Watchlists aufbauen
• Keyword Lists zentral pflegen und in mehreren Workflows wiederverwenden
• Trefferqualität, Abdeckung und Pflegeaufwand kontinuierlich steuern

Zielgruppe

CTI-Analysten, Threat Hunter, Intelligence-Management, SOC-Lead, Risikomanagement, Asset-Verantwortung und Plattformadministration.

Voraussetzungen

Grundkenntnisse in Suche, Datasets, Tags und Intelligence-Anforderungen. Für organisationsbezogene Übungen wird eine vorbereitete Liste von Assets, Marken, Regionen oder Akteuren benötigt.

Seminarinhalte

1. Schritt 1: Entscheidungsbedarf in Intelligence Requirements übersetzen

   Eine Management- oder Betriebsfrage wird mit Zweck, Entscheidung, Zeithorizont, Scope und Ausschlüssen formuliert. Zu breite Themen werden in überprüfbare Teilanforderungen zerlegt.

2. Schritt 2: Stakeholder, Watcher und Bearbeitungsweg festlegen

   Eigentümer, fachliche Empfänger, Watcher, Reaktionsfrist und Eskalationsweg werden zugeordnet. Damit ist vor dem ersten Treffer klar, wer bewertet und welche Entscheidung erwartet wird.

3. Schritt 3: AI-Matching vorbereiten

   Die Beschreibung enthält relevante Akteure, Technologien, Regionen, Bedrohungen und gewünschte Signale in ausreichendem Kontext. Sensible Inhalte und ungeeignete Daten werden nach der AI-Nutzungsrichtlinie ausgeschlossen.

4. Schritt 4: Keyword-Matching als deterministische Alternative einsetzen

   Für Anforderungen mit klaren Begriffen werden Keywords, Varianten, Schreibweisen und Ausschlüsse definiert. Treffer werden auf Mehrdeutigkeit und Sprachvarianten geprüft.

5. Schritt 5: Keyword Lists fachlich strukturieren

   Assets, Hersteller, Domains, Marken, Führungspersonal, Regionen und beobachtete Akteure werden in getrennten, benannten Listen gepflegt. Jede Liste erhält Eigentümer, Zweck, Änderungsprozess und Gültigkeitsbereich.

6. Schritt 6: Wiederverwendung und Abhängigkeiten kontrollieren

   Keyword Lists werden in Suche, Monitoring-Regeln und Intelligence Compass referenziert. Vor Änderungen wird über die Nutzungsübersicht geprüft, welche Workflows betroffen sind und ob ein Testlauf erforderlich ist.

7. Schritt 7: Discovery-Regel aus Suchabfrage erstellen

   Eine relationale oder feldbezogene Suche wird so begrenzt, dass nur relevante neue Intelligence in Discovery erscheint. Korrelation mit Workspaces beziehungsweise Workspace-Typen wird für organisationsbezogene Relevanz genutzt.

8. Schritt 8: Discovery-Regel aus Watchlist erstellen

   Begriffe werden normalisiert, dedupliziert und auf Groß-/Kleinschreibung sowie Mehrdeutigkeit geprüft. Ein kleiner Testdatenbestand zeigt, ob die Regel zu breit oder zu eng reagiert.

9. Schritt 9: Treffer in Datasets, Tags und Arbeitsabläufe überführen

   Passende Entities werden markiert, einem Dataset zugeordnet und bei Bedarf in einen Workspace übernommen. Unpassende Treffer erhalten eine dokumentierte Ausschlussursache für die spätere Regelpflege.

10. Schritt 10: Historie und manuelle Läufe auswerten

    Automatische und manuelle Ausführungen werden hinsichtlich Trefferzahl, Neuheit, Bearbeitungsstand und Fehlern verglichen. Wiederholte Alt-Treffer werden von tatsächlich neuer Intelligence getrennt.

11. Schritt 11: Precision, Recall und Pflegeaufwand balancieren

    Stichproben messen relevante Treffer und übersehene Fälle. Keywords, AI-Beschreibung, Suchlogik und Datenquellen werden gezielt angepasst statt pauschal mehr Begriffe hinzuzufügen.

12. Schritt 12: Anforderungsreview institutionalisieren

    In regelmäßigen Reviews werden Geschäftslage, Asset-Änderungen, Trefferqualität, offene Lücken und veraltete Anforderungen geprüft. Stillgelegte Listen und Regeln werden kontrolliert entfernt.

Praxisübungen

1. Übung 1: Intelligence Requirement formulieren

   Aus einer vagen Frage wird eine prüfbare Anforderung mit Entscheidung, Scope, Signalen, Watchern und Reaktionsfrist entwickelt.

2. Übung 2: Keyword List für kritische Assets erstellen

   Technologien, Domains und Produktnamen werden normalisiert, mit Eigentümer versehen und in zwei Workflows referenziert.

3. Übung 3: Discovery-Regel testen

   Eine Suchregel wird auf einen Beispieldatenbestand angewendet; False Positives und False Negatives führen zu konkreten Anpassungen.

4. Übung 4: AI- und Keyword-Matching vergleichen

   Derselbe Bedarf wird mit beiden Verfahren umgesetzt und hinsichtlich Datenschutz, Nachvollziehbarkeit, Trefferqualität und Pflegeaufwand bewertet.

5. Übung 5: Anforderungsreview durchführen

   Trefferhistorie, Nutzung, offene Lücken und veränderte Organisationsdaten werden analysiert; die Anforderung wird versioniert angepasst.

Didaktik und Arbeitsweise

Kurze Fachimpulse werden unmittelbar durch Demonstrationen, strukturierte Arbeitsschritte, Praxisübungen und kontrollierte Fehlerfälle vertieft. Jede Übung verwendet definierte Ausgangswerte, Prüfpunkte und Dokumentationsanforderungen. Die erarbeiteten Verfahren bleiben dadurch im späteren Betrieb wiederholbar und auditierbar.