Threat Hunting: Was es ist und wie es funktioniert

Eine praktische Glossar-Aufschlüsselung von Threat Hunting: was es bedeutet, wie es sich von Alert-Triage unterscheidet, und welche Methoden Jäger tatsächlich verwenden.

Threat Hunting ist die Praxis, proaktiv in Netzwerken und auf Endpoints nach Angreifern zu suchen, die bereits Ihre bestehenden Erkennungssysteme durchdrungen haben. Sie basiert auf einer einfachen, unbequemen Annahme: Etwas Böses könnte bereits im System sein, und es hat keinen Alert ausgelöst. Statt zu warten, dass eine SIEM-Regel anschlägt, formuliert ein Hunter eine Hypothese und sucht nach Belegen, um sie zu bestätigen oder zu widerlegen.

Warum Erkennung allein nicht ausreicht

Signatur- und regelbasierte Erkennung erfasst bekannte Muster. Angreifer, die Living-off-the-land Binaries (LOLBins), gültige Credentials oder langsame, volumenarme Techniken einsetzen, können sich wochenlang unter diesen Schwellwerten bewegen. Threat Hunting schließt diese Lücke, indem ein Mensch aktiv die Daten hinterfragt: Macht dieser PowerShell-Aufruf von einer Finance-Workstation um 2 Uhr morgens Sinn? Warum verbindet sich svchost.exe zu einer IP mit keinem Reverse-DNS?

Das ist keine Incident Response. IR beginnt, nachdem Sie wissen, dass etwas passiert ist. Hunting beginnt, wenn Sie es noch nicht wissen, und das Ziel ist herauszufinden, ob es der Fall ist, bevor ein größeres Ereignis die Frage erzwingt.

Die drei häufigen Ausgangspunkte

Die meisten Hunts starten aus einer von drei Richtungen:

Intelligence-getrieben: Ein neuer Threat Report beschreibt ein TTP (etwa Missbrauch von geplanten Aufgaben für Persistierung), und Sie prüfen, ob es in Ihrer Umgebung vorhanden ist.
Situationsbewusstsein: Sie schauen, was für Ihre Organisation tatsächlich ungewöhnlich ist — ein Service-Account, der sich aus einem Land authentifiziert, aus dem er sich nie angemeldet hat, oder ein Anstieg im SMB-Traffic zwischen Workstations, die normalerweise nur mit Servern kommunizieren.
Analytik-getrieben: Sie erstellen eine Baseline für normales Verhalten (Prozessbäume, Anmeldezeiten, DNS-Abfragevolumen) und suchen nach statistischen Ausreißern.

MITRE ATT&CK ist die Referenz, die die meisten Teams zur Strukturierung von Hypothesen nutzen. Statt "nach Malware suchen" wählen Sie eine Technik wie T1053 (Scheduled Task/Job) und fragen: Wie würde das in unseren Windows Event Logs oder EDR-Telemetrie aussehen, und kann ich jetzt danach abfragen?

Wie der tatsächliche Workflow aussieht

Eine Hunt folgt normalerweise dieser Schleife:

Formulieren Sie eine spezifische, testbare Hypothese (nicht "nach Eindringlingen suchen", sondern "nach neuen geplanten Aufgaben suchen, die außerhalb von Patch-Fenstern in den letzten 30 Tagen erstellt wurden").
Identifizieren Sie die erforderlichen Datenquellen — Sysmon Event ID 1 für Prozesserstellung, Windows Security Event ID 4698 für Erstellung geplanter Aufgaben, EDR-Prozessbäume oder Zeek conn Logs für Netzwerkkontext.
Abfragen und Pivotieren. In der Praxis bedeutet das, KQL in Microsoft Sentinel, SPL in Splunk oder rohe Abfragen gegen einen Elastic Index zu schreiben.
Triagierung der Ergebnisse — die meisten werden False Positives oder harmlose Admin-Aktivitäten sein, und die Aufgabe besteht darin, dieses Rauschen auf das wirklich Anomale einzugrenzen.
Dokumentieren Sie die Ergebnisse, ob es sich um eine bestätigte Kompromittierung, eine Erkennungslücke oder nur um etwas

Mit KI-Unterstützung geschrieben, von Michal Pilch (CISSP), Korra Studio, überprüft und veröffentlicht.