Seminar ImmuniWeb Cyber Threat Intelligence und Dark Web Monitoring

Seminarprofil

Das Seminar vermittelt den Aufbau eines zielgerichteten CTI- und Dark-Web-Monitorings mit ImmuniWeb Discovery. Schutzobjekte, Such- und Zuordnungslogik, Datenlecks, kompromittierte Zugangsdaten, Malware- und Ransomware-Quellen, Markenmissbrauch, Triage, Eskalation und Integration in SOC- und Incident-Prozesse stehen im Mittelpunkt.

Die angesetzte Dauer von 2 tage ist fachlich erforderlich, weil die reine Aktivierung von Monitoring nicht ausreicht und belastbare Ergebnisse erst durch saubere Schutzobjekte, Triage-Regeln, Verifikation und Incident-Übergaben entstehen.

Inhaltsverzeichnis

1. Seminarprofil
2. Zielgruppe und Voraussetzungen
3. Lernziele
4. Intelligence Requirements und Schutzobjekte
5. Datenquellen, Trefferarten und Aussagekraft
6. Triage und Risikobewertung
7. Credentials und Datenlecks behandeln
8. Phishing und Markenmissbrauch
9. Integration und Kennzahlen
10. Praxisübungen

Zielgruppe und Voraussetzungen

Zielgruppe: SOC, Threat Intelligence, Incident Response, Fraud Management, Brand Protection, CISO-Organisation, Identitätsmanagement und Datenschutz-Security-Schnittstellen.

Voraussetzungen: Grundkenntnisse zu Incident Response, Identitäten, Domains und Unternehmensassets; sensible Treffer dürfen nur in einem geregelten Berechtigungskonzept bearbeitet werden.

Lernziele

• Relevante Schutzobjekte und Beobachtungsziele definieren.
• Dark-Web- und Threat-Intelligence-Treffer fachlich triagieren.
• Zugangsdaten- und Datenleckfunde sicher verifizieren und behandeln.
• Markenmissbrauch und Phishing in abgestufte Reaktionsprozesse überführen.
• CTI-Ergebnisse in SOC, IAM, Incident Response und Risikomanagement integrieren.

Seminarinhalte

1. Intelligence Requirements und Schutzobjekte

Monitoring beginnt mit konkreten Fragestellungen statt mit möglichst vielen Suchbegriffen.

1. Geschäftskritische Marken, Domains, Personenrollen, Technologien und Datenarten erfassen.
2. Priorisierte Intelligence Requirements formulieren.
3. Zulässige Such- und Verarbeitungsgrenzen festlegen.
4. Owner und Reaktionswege je Schutzobjekt dokumentieren.

2. Datenquellen, Trefferarten und Aussagekraft

Treffer unterscheiden sich erheblich in Aktualität, Herkunft und Beweiswert.

1. Credentials, Datenlecks, Malware-Logs und Untergrundangebote getrennt klassifizieren.
2. Phishing, Typosquatting und Markenmissbrauch als eigene Fälle behandeln.
3. Quelle, Zeitpunkt, Kontext und technische Zuordenbarkeit bewerten.
4. Unbestätigte Hinweise ausdrücklich von bestätigten Vorfällen trennen.

3. Triage und Risikobewertung

Ein reproduzierbarer Triage-Prozess verhindert Alarmflut und Fehlpriorisierung.

1. Treffer auf Organisation, Asset und Identität beziehen.
2. Aktualität, Verwendbarkeit und mögliche Schadenswirkung prüfen.
3. Duplikate und bereits behandelte Ereignisse erkennen.
4. Priorität und Bearbeitungsfrist nach festgelegten Kriterien vergeben.

4. Credentials und Datenlecks behandeln

Der Umgang mit kompromittierten Daten erfordert besondere Sorgfalt.

1. Betroffene Konten und Systeme ohne unnötige Datenverbreitung identifizieren.
2. Authentizität mit risikoarmen internen Prüfungen verifizieren.
3. Passwortwechsel, Token-Widerruf und Sitzungsbeendigung koordinieren.
4. Ursache, Reichweite und mögliche Folgeangriffe im Incident-Prozess untersuchen.

5. Phishing und Markenmissbrauch

Missbrauchsfälle werden technisch, rechtlich und kommunikativ koordiniert.

1. Domain, Hosting, Zertifikat und sichtbare Inhalte sichern und dokumentieren.
2. Imitationsgrad, Reichweite und aktive Datenerfassung bewerten.
3. Blockierung, Warnung, Takedown und Beweissicherung priorisieren.
4. Nach Entfernung auf Wiederauftreten und Varianten überwachen.

6. Integration und Kennzahlen

Intelligence entfaltet Wirkung erst durch verbindliche Übergaben.

1. Tickets und Alarme mit Mindestinformationen standardisieren.
2. SOC-, IAM-, Fraud-, Datenschutz- und Rechtsprozesse verknüpfen.
3. Zeit bis Triage, Verifikation, Eindämmung und Abschluss messen.
4. Suchprofile und Prioritäten anhand der Trefferqualität regelmäßig verbessern.

Praxisübungen

• Formulierung konkreter Intelligence Requirements.
• Triage eines gemischten Dark-Web- und Markenmissbrauch-Datensatzes.
• Entwurf eines Credential-Exposure-Playbooks.
• Aufbau einer Übergabematrix für SOC, IAM und Incident Response.

Im Rahmen der Übungen entsteht ein CTI- und Dark-Web-Betriebsmodell mit Schutzobjekten, Triage, Playbooks, Eskalationen und Qualitätskennzahlen.