Exemplarische Erzeugung von Cyber Threat Intelligence (CTI) aus einer Exploit-Analyse und deren Integration in die Malware Information Sharing Platform (MISP) - Fabian Reiber (2022)
Das Ziel der Arbeit ist die Vorstellung eines entwickelten Prototyps zur automatisierten Erzeugung von Cyber Threat Intelligence (CTI) durch eine Exploit-Analyse und ihre Integration in die Malware Information Sharing Platform (MISP). Zunächst ist der Begriff CTI detailliert beschrieben und zeigt weitere Kategorien davon auf. Weiterhin ist eine Vorstellung von MISP für den direkten Austausch gewonnener Analyseergebnisse gegeben. Überdies sind die Zielgruppen von CTI ausführlich beschrieben. Im Kern geht die Arbeit der Frage nach, ob Indikatoren zur Identifizierung von Sicherheitsvorfällen aus der Analyse von Exploits gewonnen werden können. Wenn dies der Falls ist, sind sie als CTI anzusehen, sodass die verschiedenen Zielgruppen davon profitieren können. Außerdem stellt die Vorstellung eines Anwendungsfalls einen praktischen Nutzen einiger gewonnener Ergebnisse vor. Dabei wird gezeigt, ob das Advisory-System des DFN-CERT Inkonsistenzen bzgl. der Bewertung von Schwachstellen und Advisories aufweist. Zur Beantwortung dieser und weiterer Fragen, ist der Entwurf und die Entwicklung eines Prototyps genau aufgeführt. Die Entwicklung des Prototyps hat gezeigt, dass eine Exploit-Analyse möglich ist und verschiedene Indikatoren gewonnen werden konnten. Es wurde deutlich, dass dies ca. 30% aller extrahierten Ergebnisse sind. Durch ihre Einsortierung in die Kategorien Technical und Tactical Threat Intelligence, können alle Zielgruppen davon profitieren. Die Analyse des Anwendungsfalls zeigt zusätzlich, dass das Advisory-System verschiedene Inkonsistenzen in der Bewertung aufweist. Letztlich zeigt sich insgesamt ein steigendes Interesse an der Verwendung von CTI, sodass die Weiterentwicklung und Optimierung dieses Prototyps sinnvoll ist.
Keywords: Cyber Threat Intelligence (CTI); Malware Information Sharing Platform (MISP); Exploit Database