Was sind TTPs und wie kann ihr Verständnis dazu beitragen, den nächsten Vorfall zu verhindern?

Was sind Taktiken, Techniken und Verfahren (TTPs)?

TTP-Analysen können Sicherheitsteams dabei helfen, Angriffe zu erkennen und abzuwehren, indem sie die Vorgehensweise der Bedrohungsakteure verstehen. Im Folgenden definieren wir die drei Elemente von TTPs: Taktiken, Techniken und Verfahren.

Taktik

Im Allgemeinen handelt es sich bei Taktiken um Aktivitäten, die Cyberkriminelle nutzen, um einen Angriff auszuführen. Dazu gehören beispielsweise der unbefugte Zugriff auf vertrauliche Daten, die laterale Bewegung innerhalb eines Netzwerks oder die Gefährdung einer Website.

Techniken

Skills sind allgemeine Methoden, die Angreifer nutzen, um ihre Ziele zu erreichen. Wenn das Ziel beispielsweise darin besteht, eine Website zu kompromittieren, könnte die Technik SQL-Injection sein. Jede Taktik kann mehrere Techniken umfassen.

Prozeduren

Ein Verfahren ist eine bestimmte Abfolge von Schritten, mit denen Cyberkriminelle einen Angriff durchführen können. Im Beispiel einer SQL-Injection könnte das Verfahren beispielsweise das Scannen der Zielwebsite auf Schwachstellen, das Schreiben einer SQL-Abfrage mit Schadcode und das Senden dieser Abfrage an ein ungesichertes Formular auf der Website umfassen, um die Kontrolle über den Server zu erlangen.

---

Wie können Sie TTP-Analysen zur Abwehr von Cyberkriminalität nutzen?

Das Verständnis der verschiedenen TTP-Kombinationen ist eine gute Möglichkeit, Cyberkriminalität zu bekämpfen. Folgen Sie einfach den detaillierten Anweisungen verschiedener Forschungsinstitute, die Ihnen helfen können, eine Antwort basierend auf automatisierten Aktionen und menschlicher Überprüfung zu entwickeln.

Die MITRE ATT&CK Matrix unterstützt Cybersicherheitsteams beispielsweise dabei, TTPs zu identifizieren und zu bekämpfen. Sie definiert, wie Sicherheitsmitarbeiter die Aktivitäten in IT-Systemen kontinuierlich überwachen, ungewöhnliches Verhalten im Zusammenhang mit einem bekannten TTP erkennen und stoppen können, bevor es zu einem umfassenden Angriff kommt. Die MITRE ATT&CK Matrix kann sowohl bei der Erkennung tatsächlicher Eindringlinge als auch bei der Identifizierung von Akteuren hilfreich sein, die sich in der Planungs- oder Aufklärungsphase eines Angriffs befinden.

Es gibt weitere Initiativen, die beim Umgang mit neuen TTPs helfen können:

• Open Web Application Security Project (OWASP)– bietet offene Forschungsergebnisse zu häufigen Sicherheitslücken in Webanwendungen und Best Practices zu deren Behebung.
• Cyber Threat Alliance (CTA)– eine Vereinbarung zwischen einer großen Anzahl von Unternehmen, die ihr Wissen zur Cybersicherheit teilen, um eine sicherere Umgebung für alle zu schaffen.

Gleichzeitig können Technologien wie User and Entity Behavior Analytics (UEBA) und Threat Intelligence die Daten dieser Forschungseinrichtungen ergänzen. Sie können Verhaltensanalysen nutzen, um anomales Verhalten zu identifizieren, und Threat Intelligence-Feeds liefern eine große Anzahl bekannter Angriffsmuster und Bedrohungsakteure, die zur Identifizierung von TTPs im Netzwerkverkehr verwendet werden können.

Bei TTPs handelt es sich im Wesentlichen um „Hacking-Aktivitäten“, daher ist UEBA, das die Aktivität durch die Linse normalen Verhaltens betrachtet, eine natürliche Ergänzung.

Da Cyberkriminelle ihre TTPs ständig aktualisieren und neue entwickeln, müssen Sicherheitslösungen die neuen Techniken schnell erkennen und sich an sie anpassen. Daten über TTPs sind für die tägliche Arbeit in einem Security Operations Center (SOC) von entscheidender Bedeutung und helfen Sicherheitsanalysten, Angreifern immer einen Schritt voraus zu sein.

---

Wer nutzt TTPs?

TTPs werden in der Cybersicherheit sowohl von Angreifern als auch von Verteidigern eingesetzt.

Angreifer (von Einzeltätern bis hin zu organisierten Bedrohungsgruppen) entwickeln und nutzen TTPs (Taktiken, Techniken und Prozeduren), um Angriffe zuverlässig und erfolgreich durchzuführen. Diese Methoden entwickeln sich oft im Laufe der Zeit weiter, doch grundlegende Muster werden in verschiedenen Kampagnen wiederverwendet. Beispielsweise setzen Advanced Persistent Threat (APT)-Gruppen auf spezifische Kombinationen aus Spear-Phishing (Technik), Credential Dumping (Technik) und Persistenzmechanismen (Verfahren), die auf ihre Ziele zugeschnitten sind.

Verteidiger nutzen TTP-Analysen, um Bedrohungen zu erkennen, zuzuordnen und ihnen entgegenzuwirken. Sicherheitsanalysten, Threat Hunter und Incident-Response-Teams verwenden Frameworks wie MITRE ATT&CK um beobachtete TTPs zu klassifizieren und bekannten Bedrohungsakteuren zuzuordnen. Strafverfolgungs- und Nachrichtendienste verfolgen ebenfalls TTPs, um das Verhalten von Cyberkriminellen zu verstehen und sie zuzuordnen.

TTPs sind besonders wertvoll für die Bedrohungsanalyse und die Entwicklung von Erkennungsmechanismen. Sie helfen Blue Teams, ihre Verteidigungsmaßnahmen anhand beobachteter Verhaltensmuster anstatt statischer Indikatoren zu priorisieren, wodurch es einfacher wird, unbekannte Varianten bekannter Bedrohungen zu erkennen.

TTPs vs. IOCs Bitte überprüfen Sie die Inhaltsaktualisierung für zwei Artikel bis zum DATUM

TTPs (Taktiken, Techniken und Verfahren) und Indikatoren für eine Kompromittierung (IOCs) werden beide zur Erkennung und Analyse von Cyberbedrohungen eingesetzt, konzentrieren sich aber auf unterschiedliche Aspekte eines Angriffs.

Indikatoren für eine Kompromittierung (IOCs) sind spezifische Artefakte, die auf einen potenziellen Sicherheitsvorfall hinweisen. Dazu gehören IP-Adressen, Dateihashes, Domainnamen oder Registrierungsschlüssel, die mit bekannten schädlichen Aktivitäten in Verbindung stehen. Sie lassen sich leicht in automatisierten Erkennungssystemen verwenden, sind aber auch für Angreifer leicht zu verändern. Sobald ein IOC identifiziert und blockiert wurde, können Angreifer ihn oft durch einen neuen ersetzen.

TTPs beschreiben, wie ein Angriff durchgeführt wird, anstatt welche Spuren er hinterlässt. Sie erfassen Verhaltensmuster wie Methoden zur Rechteausweitung oder Techniken der lateralen Bewegung. Da Verhaltensweisen schwieriger zu ändern sind als einzelne Indikatoren, bieten TTPs einen nachhaltigeren Einblick in die Aktivitäten von Angreifern.

Indikatoren für Kompromittierung (IOCs) eignen sich für die schnelle Erkennung und Reaktion, während Taktiken, Techniken und Verfahren (TTPs) besser für die langfristige Verteidigung und die Bedrohungsanalyse geeignet sind. Sicherheitsteams nutzen häufig beides gemeinsam: IOCs zur Identifizierung bekannter Bedrohungen und TTPs zur Erkennung neuer oder sich weiterentwickelnder Angriffe, die bekannte Methoden wiederverwenden.

TTPs mit Verhaltensanalysen erkennen

Mithilfe der TTP-Analyse können Analysten nachvollziehen, wie ein Angriff stattgefunden hat. Es kann jedoch schwierig sein, festzustellen, ob die digitalen Beweise, die mit einem TTP übereinstimmen, tatsächlich auf böswillige Aktivitäten zurückzuführen sind oder lediglich eine normale Aktion von Benutzern im Netzwerk darstellen.

Analysten wissen beispielsweise genau, wie Angreifer die Kontoerstellung, Bildschirmfreigabe und den Remote-Desktop-Zugriff zu böswilligen Zwecken missbrauchen können. Dabei handelt es sich jedoch um Routineaufgaben, die von IT-Abteilungen in Unternehmen täglich mit legitimer Absicht ausgeführt werden.

Die den SOC-Analysten zur Verfügung stehenden Tools müssen in der Lage sein, zwischen normaler und böswilliger Kontoerstellung zu unterscheiden – und nur dann einen Alarm auszulösen, wenn die Aktivität böswillig zu sein scheint. Andernfalls führt die Lösung zu einer großen Anzahl von Fehlalarmen und überlastet die Sicherheitsteams.

Die Verhaltensanalyse nutzt maschinelles Lernen, um das Verhalten aller Benutzer und Assets zu überwachen und zu verstehen. Sie legt eine Verhaltensbasis fest und identifiziert Abweichungen von der üblichen Aktivität, um bösartige TTPs präzise zu erkennen.

Ein Beispiel für eine Verhaltensanalyse zur Identifizierung von TTPs

Exabeam bietet eine SIEM-Plattform (Security Information and Event Management) der nächsten Generation mit Funktionen zur Analyse des Benutzer- und Entitätsverhaltens (User and Entity Behavior Analytics, UEBA). Die UEBA von Exabeam nutzt die im MITRE ATT&CK-Framework definierten TTPs, um Aktivitäten zu identifizieren, die auf einen Angriff hindeuten könnten. Sie kann zwischen normalem und anomalem Verhalten unterscheiden und erleichtert Sicherheitsanalysten so die Erkennung von Bedrohungen.

Stellen Sie sich einen Angreifer vor, der sich bei einem Dienst anmeldet, der Remote-Verbindungen ermöglicht, wie etwa Telnet, SSH und VNC. Angreifer nutzen diesen Vektor typischerweise, um in das Netzwerk einzudringen und sich dann lateral zu bewegen, um wertvolle Assets anzugreifen.

Diese Methode ist ein TTP, das im MITRE ATT&CK-Framework als „Remote Services“ definiert ist. Bestehende SOC-Tools verwenden statische Korrelationsregeln zur TTP-Erkennung. Die statische Korrelationsregel kann die normalen Betriebsbedingungen, die mit einer Remote-Verbindung verbunden sein können, nicht bestimmen, daher alle Remote-Verbindungen, die durch die Regel ausgelöst werden.

Infolgedessen kann diese Regel eine große Anzahl falscher Positivmeldungen generieren, sodass Analysten die von der Regel generierten Warnungen ignorieren. Durch die Kombination MITRE ATT&CK-Informationen mit Benutzer- und Verhaltensanalysen können sich Analysten jedoch auf anomale Verhaltensweisen konzentrieren, die in ihrer Umgebung auftreten und mit größerer Wahrscheinlichkeit eine echte Bedrohung darstellen.

---

Herausforderungen bei der Anwendung von TTPs

Sich ständig weiterentwickelndes Angreiferverhalten

Angreifer modifizieren häufig ihre Techniken und Vorgehensweisen, um einer Erkennung zu entgehen. Selbst wenn eine Taktik gleich bleibt, kann sich die zugrundeliegende Implementierung ändern, wodurch es schwieriger wird, sich auf statische Erkennungsregeln zu verlassen. Beispielsweise kann eine Phishing-Kampagne die Übermittlungsmethoden oder das Format der Nutzdaten ändern, während sie weiterhin auf den Diebstahl von Zugangsdaten abzielt.

Dies zwingt Sicherheitsteams dazu, von signaturbasierter Erkennung abzurücken und in verhaltensbasierte Überwachung zu investieren. Der Aufbau und die Wartung dieser Erkennungssysteme erfordern jedoch kontinuierlichen Aufwand, Aktualisierungen der Bedrohungsdaten und regelmäßige Validierungen anhand neuer Angriffsmuster. Ohne ständige Optimierung veralten die Erkennungssysteme schnell.

Zuordnungsschwierigkeit

Die Zuordnung beobachteter TTPs zu einem bestimmten Bedrohungsakteur ist nicht immer einfach. Verschiedene Gruppen können ähnliche Techniken anwenden, und manche imitieren bewusst bekannte Akteure, um Ermittler in die Irre zu führen. Öffentlich dokumentierte TTPs, wie beispielsweise jene in MITRE ATT&CK, sind sowohl für Verteidiger als auch für Angreifer zugänglich, was diese Überschneidung verstärkt.

Die Zuordnung erfordert häufig die Kombination von TTP-Analysen mit anderen Datenquellen, wie etwa Infrastrukturmustern, Malware-Signaturen und dem geopolitischen Kontext. Selbst dann bleiben die Schlussfolgerungen oft eher probabilistisch als endgültig. Diese Unsicherheit kann Reaktionsentscheidungen und die langfristige Verteidigungsplanung erschweren.

Falsch positive Ergebnisse

TTP-basierte Erkennungsmethoden beruhen häufig auf der Identifizierung von Verhaltensmustern, die sich mit legitimen Aktivitäten überschneiden können. Beispielsweise werden administrative Tools wie PowerShell oder Remote-Desktop-Protokolle häufig sowohl im Normalbetrieb als auch bei Angriffen eingesetzt. Dies erschwert die Unterscheidung zwischen böswilliger Absicht und Routineaufgaben.

Um Fehlalarme zu reduzieren, sind aussagekräftige Kontextinformationen erforderlich, beispielsweise zu Benutzerrollen, Sensibilität der Assets und dem üblichen Benutzerverhalten. Zudem sind präzise abgestimmte Erkennungsregeln und die Korrelation mehrerer Signale unerlässlich. Andernfalls droht Analysten eine Alarmmüdigkeit, da die Vielzahl harmloser Alarme die rechtzeitige Identifizierung echter Bedrohungen erschwert.

Integrierte SIEM- und UEBA-Lösung

Um in Ihrem Netzwerk gefundene TTPs zu identifizieren und abzuwehren, müssen Sie unternehmensweite Daten aggregieren und einer Verhaltensanalyse unterziehen, die Anomalien im Vergleich zum normalen Verhalten von Systemen und Benutzerkonten erkennen kann.

Dies lässt sich durch eine integrierte SIEM- und UEBA-Lösung erreichen. Im Feld werden mehrere Systeme eingesetzt, die die Datenvielfalt eines SIEM mit den umfassenden Analysefunktionen modernster UEBA-Engines kombinieren.

Ein Beispiel für ein integriertes System ist Exabeam SOC Platform. Exabeam ist eine vollständige SIEM-Lösung, die auf moderner Data-Lake-Technologie basiert. Darüber hinaus bietet sie die folgenden UEBA-Funktionen:

• Vorfallerkennung basierend auf Verhaltensanalysen–Exabeam nutzt erweiterte Analysen, um abnormale und riskante Aktivitäten ohne vordefinierte Korrelationsregeln oder Bedrohungsmuster zu identifizieren. Es liefert aussagekräftige Warnungen ohne aufwändige Einrichtung und Feinabstimmung und mit weniger Fehlalarmen.
• Automatische Zeitleistenerstellung für Sicherheitsvorfälle–Exabeam fasst verwandte Sicherheitsereignisse in einer Zeitleiste zusammen, die einen Sicherheitsvorfall über mehrere Benutzer, IP-Adressen und IT-Systeme hinweg anzeigt.
• Dynamische Peer-Gruppierung–Exabeam führt nicht nur eine Verhaltens-Baselining einzelner Entitäten durch, sondern gruppiert auch dynamisch ähnliche Entitäten (z. B. Benutzer aus derselben Abteilung oder IoT-Geräte derselben Klasse), um das normale kollektive Verhalten der gesamten Gruppe zu analysieren und Personen zu erkennen, die riskantes Verhalten zeigen.
• Laterale Bewegungserkennung–Exabeam erkennt Angreifer, die sich mit unterschiedlichen IP-Adressen, Anmeldeinformationen und Maschinen durch ein Netzwerk bewegen und auf der Suche nach sensiblen Daten oder wichtigen Assets sind. Es verknüpft Daten aus mehreren Quellen, um die Zusammenhänge zu erkennen und die Reise des Angreifers durch das Netzwerk zu verfolgen.