(Bildnachweis: ZHAW Zürcher Hochschule für Angewandte Wissenschaften)
Ein Forschungs- und Entwicklungsprojekt zur Verbesserung der Cyberverteidigung
Cyber-Bedrohungsdaten:
In der sich ständig weiterentwickelnden Cyberlandschaft von heute ist es für eine wirksame Verteidigung unerlässlich, den Gegner durch Cyber Threat Intelligence (CTI) zu verstehen. Die Verwaltung von CTI-Feeds stellt jedoch nach wie vor eine Herausforderung dar, da es schwierig ist, die Qualität der Feeds zu bewerten und der manuelle Aufwand für das Auffinden, Kombinieren und Verwalten relevanter Quellen hoch ist.
Projektkontext:
Unser CTO, Dr. Markus Happe, unsere Senior Cyber Security Engineers Pavlos Lamprakis und Rebecca Klauser, sowie Bernhard Tellenbach, Co-Autor und Leiter Cyber Security bei armasuisse S+T, Ariane Trammell, Leiterin der Forschungsgruppe Informationssicherheit an der ZHAW Zürcher Hochschule für Angewandte Wissenschaften, die auch ein geschätzter Kooperationspartner von Innosuisse ist, Onur Veyisoglu, Senior Security Researcher an der ZHAW, und Andreas Rüedlinger von der Deimos AG haben sich zusammengetan, um eine Forschungsarbeit über eine Plattform zur automatisierten Sammlung, Normalisierung, Aggregation, Metadatenanreicherung und Bewertung von verschiedenen Open Source Intelligence (OSINT) Feeds zu verfassen.
Die Herausforderungen bei Cyber-Bedrohungsdatenströmen
Cyber-Bedrohungsdaten liefern wichtige Informationen über Cyber-Bedrohungen, einschließlich Schwachstellen, Malware und Angreiferprofile. Die manuelle Verarbeitung mehrerer CTI-Feeds ist jedoch arbeitsintensiv, und die Bewertung ihrer Qualität ist eine Herausforderung. Sicherheitsteams haben oft damit zu kämpfen:
- Bewertung der Futtermittelqualität: Bestimmung der Zuverlässigkeit und Relevanz verschiedener KTI-Futtermittel.
- Manuelle Pflege: Der Aufwand, der erforderlich ist, um kontinuierlich verschiedene Quellen zu finden, zu kombinieren und zu pflegen.
- Datenüberlastung: Verwaltung redundanter oder irrelevanter Daten, die wichtige Bedrohungsinformationen verdecken können.
Wie FeedMeter die Cyber-Bedrohungsintelligenz steigert
FeedMeter ist eine Plattform zur Vereinfachung der Verwaltung von Cyber Threat Intelligence-Feeds. FeedMeter sammelt, normalisiert und aggregiert CTI-Feeds und wertet sie kontinuierlich anhand von acht beschreibenden Metriken aus, um die Qualität der Feeds zu bestimmen. Dieser Ansatz reduziert den Bedarf an manueller Pflege und ermöglicht es Sicherheitsteams, sich auf verwertbare Erkenntnisse zu konzentrieren.
Nachgewiesene Auswirkungen auf die Aufklärung von Cyber-Bedrohungen
FeedMeter wurde über vier Jahre hinweg mit mehr als 150 OSINT-Quellen getestet und hat seinen Wert für die Verbesserung der Cyber-Bedrohungsdaten bewiesen. Seine Metriken sind vielversprechende Indikatoren für die Qualität des Feeds. Ein Vergleich mit einem führenden kommerziellen Feed untermauert die Fähigkeit der Plattform, die Wirksamkeit von CTI für die Cybersicherheitsgemeinschaft zu verbessern.
Herausforderungen bei der Verwaltung von Cyber-Bedrohungsdatenströmen
CTI-Feeds liefern wichtige Informationen über Cyber-Bedrohungen, einschließlich Schwachstellen, Malware und Angreiferprofile. Die manuelle Verarbeitung mehrerer CTI-Feeds ist jedoch arbeitsintensiv, und die Bewertung ihrer Qualität ist eine Herausforderung. FeedMeter löst diese Probleme durch mehrere Schlüsselfunktionen:
Hauptfunktionen von FeedMeter in KTI
- Sammlung und Normalisierung: Es sammelt Bedrohungsdaten aus verschiedenen Quellen, standardisiert die Daten und integriert sie in ein einheitliches System zur leichteren Analyse.
- Aggregation: FeedMeter konsolidiert mehrere CTI-Feeds, reduziert Redundanzen und bietet einen genaueren und umfassenderen Überblick über aktuelle Bedrohungen.
- Überwachung der Qualität: Die Plattform bewertet kontinuierlich die Qualität der Feeds anhand von acht Metriken wie Genauigkeit, Aktualität und Relevanz und liefert Sicherheitsteams zuverlässige Datenbewertungen.
- Reduzierung des manuellen Aufwands: FeedMeter spart Sicherheitsexperten Zeit und Ressourcen, indem es Aufgaben wie die Überwachung und Pflege von Datenfeeds automatisiert.
Fazit
FeedMeter reduziert den Arbeitsaufwand für Sicherheitsteams erheblich und liefert gleichzeitig wertvolle Erkenntnisse über die Qualität von Bedrohungsdaten. Es hat sich als wertvolles Tool zur Verbesserung der Effizienz und Effektivität von CTI-Feeds erwiesen und übertrifft sogar einige kommerzielle Lösungen bei der Reduzierung des manuellen Aufwands.
Der bereits erwähnte Vergleich zwischen FeedMeter und einem beliebten kommerziellen CTI-Feed bestätigte die Nützlichkeit und Effizienz von FeedMeter, da es in Bezug auf die Qualität des Feeds mit der kommerziellen Lösung mithalten konnte und diese in bestimmten Bereichen übertraf, insbesondere bei der Reduzierung des manuellen Arbeitsaufwands. FeedMeter bietet Sicherheitsteams wichtige Unterstützung bei der Maximierung des Werts verfügbarer Bedrohungsdaten und der Steigerung der Effizienz ihrerCyber-Abwehrstrategien.
Die Exeon-Autoren sind dankbar für diese erfolgreiche Forschungsarbeit und ihre Ergebnisse und laden Sie ein, die vollständige Veröffentlichung hier zu lesen.
