Seminar TheHive MISP Integration und Threat Intelligence

Überblick

Dieses Seminar behandelt die Verbindung von TheHive mit MISP und den sinnvollen Einsatz von Threat Intelligence in der Fallbearbeitung. Schwerpunkte sind IOCs, Kontextdaten, Tags, Klassifikationen, Austauschprozesse, Import, Export und die Frage, wann ein Indikator tatsächlich handlungsrelevant ist.

Threat Intelligence ist nur dann nützlich, wenn sie in den Incident-Response-Prozess passt. Das Seminar verhindert die klassische Indikatorensammelwut und legt Wert auf Qualität, Kontext, Nachvollziehbarkeit und den Bezug zum konkreten Case.

Zielgruppe

• Threat-Intelligence- und SOC-Analysten
• Incident Handler, die IOCs fallbezogen nutzen
• TheHive-Administratoren mit Integrationsaufgaben
• Security Engineers, die Austauschprozesse mit MISP strukturieren

Voraussetzungen

Erwartet werden Grundlagen in Incident Response und typische IOC-Typen wie IP-Adressen, Domains, URLs, Hashes und E-Mail-Artefakte. TheHive-Grundkenntnisse sind sinnvoll. MISP-Erfahrung ist hilfreich, wird aber nicht vorausgesetzt.

Inhalte

• Rolle von Threat Intelligence in TheHive-Cases
• MISP-Grundbegriffe aus Sicht der TheHive-Nutzung
• Import und Export von Observables, Kontextinformationen und Indikatoren
• TLP, PAP, Tags, Taxonomien und Klassifikationsdisziplin
• Bewertung von IOC-Relevanz im konkreten Vorfall
• Dubletten, veraltete Indikatoren und Datenqualität
• Arbeitsabläufe für interne und externe Weitergabe

Praxis und Übungen

In den Übungen werden Observables aus TheHive-Cases mit Threat-Intelligence-Kontext angereichert, klassifiziert und für den Austausch vorbereitet. Anschließend wird ein Beispielvorfall bewertet: Welche Indikatoren sind belastbar, welche sind nur Rauschen und welche Informationen gehören in den Abschlussbericht?