Eine Detonation produziert schnell Hunderte von Pfaden, Schlüsseln und Strings. Blockiert man alles davon, erzeugt man eine Flut von False Positives; ignoriert man zu viel, übersieht man den echten Indikator. Die neue Analyst-Triage-Schicht in der SecTepe Sandbox löst dieses Dilemma: Sie sortiert jeden Indikator nach operativem Wert – und liefert die Begründung gleich mit.
Drei Konfidenz-Tiers mit Evidenz
Jeder normalisierte Report bekommt zwei zusätzliche Felder (bestehende Konsumenten bleiben unverändert): ioc_confidence und score_breakdown. Die Indikatoren werden in drei Stufen einsortiert:
high_confidence– allein alarmierbar: kontaktierte Domains, routbare Ziel-IPs, vollständige URLs, Sample-Hashes, GUID-/High-Entropy-Mutexe.behavioral– nur in Kombination aussagekräftig: nur aus Strings extrahierte Domains, Host-Root-URLs, Staging-Pfade, Autorun-Schlüssel.low_specificity– Kontext, nie eine eigenständige Erkennung: Systemverzeichnisse, private IPs, generische Tokens.
Jeder Eintrag trägt eine evidence-Begründung, etwa „während der Detonation aufgelöst oder kontaktiert". Das dahinterstehende Prinzip ist klar: Eine Domain im DNS-/HTTP-Verkehr wurde kontaktiert; eine aus Strings gescrapte ist lediglich vorhanden. Dieser Unterschied entscheidet über die Alarmierbarkeit.
Ein Score, der sich erklärt
Das Feld score_breakdown liefert einen Wert von 0–100 über sechs gedeckelte Kategorien (z. B. execution_behavior mit Deckel 25). Jede Kategorie nennt die Signaturen, die sie gespeist haben, und ihr eigenes Evidenz-Niveau. Wichtig ist die ehrliche Rahmung: Es ist ein evidenzgewichteter Triage-Score, keine Malware-Wahrscheinlichkeit. Er sagt „so belastbar ist dieser Befund", nicht „so wahrscheinlich ist Malware" – ein Unterschied, der im SOC über Vertrauen entscheidet.
Zusammen mit realen FP- und Performance-Fixes
Die Triage-Schicht kam nicht allein: Verhaltenssignaturen werden auf die Probe eingegrenzt, um False Positives bei sauberen Dateien zu vermeiden; eine trunkierungsbewusste Baseline und ein begrenztes Verhaltens-Scoring sorgen dafür, dass auch große Detonationen sauber abschließen. Das macht die Priorisierung nicht nur klüger, sondern auch verlässlicher.
Der letzte Schritt der Analysekette
Die Triage steht am Ende der CTI-Kette: Die agentenlose Sandbox erzeugt die Rohdaten, der Agentic Layer macht sie abfragbar – und die Analyst-Triage sagt dem Analysten, worauf er zuerst schauen sollte und warum. Auch die malware-analyst-Skill wurde entsprechend erweitert.
Fazit
Konfidenz-Tiers mit Evidenz und ein erklärbarer, ehrlich benannter Score verwandeln eine unsortierte IOC-Flut in eine handlungsleitende Prioritätenliste. Genau das braucht ein SOC, das mit begrenzter Zeit die richtigen Indikatoren zuerst bearbeiten muss – ohne sich in False Positives zu verlieren.