Threat Intelligence & CTI –vollständig integriert
Eine Plattform für Cyber Threat Intelligence (CTI), also Wissen über Angreifer und ihre Werkzeuge. Sie prüft verdächtige Dateien, teilt Warnsignale (IoCs) und sammelt Daten zu Bedrohungen. Jeder Schritt greift in den nächsten, wie in einem Kreislauf.
Integrierte Funktionen
- Erkennungsregeln
- Fähigkeitsanalyse & Virenscanner
- Malware-Archiv
- Automatische Analysestrecke
- Threat-Intelligence-Datenbanken
- CTI-Wissensgraph
Funktionen im Überblick
Bewährte Open-Source-Werkzeuge, zu einer gemeinsamen Analysestrecke verbunden.
Erkennungsregeln
Sie schreiben Regeln, pflegen sie und lassen sie laufen. So finden Sie bekannte Schadsoftware-Familien und Warnsignale.
Fähigkeitsanalyse
Die Analyse prüft Programme und zeigt, was eine Malware kann. Etwa Befehle von außen holen, sich festsetzen oder sich tarnen.
Virenscanner
Der Scanner erkennt Schadsoftware an bekannten Mustern (Signaturen). Er ist die erste Stufe der Analyse. Neue Signaturen holt er jeden Tag.
Malware-Archiv
Alle Proben (Samples) liegen sicher an einer Stelle. Das Archiv speichert Daten zu jeder Probe und ihren Verlauf. Es liest auch die Einstellungen der Malware aus.
Automatische Analysestrecke
Die Strecke wächst mit der Menge. Sie schickt jedes Sample von selbst durch alle Prüfungen.
Bedrohungsdatenbank & Wissensgraph
Teilen Sie Warnsignale und Bedrohungsdaten mit Partnern. Der Wissensgraph ordnet die Daten ein und gibt ihnen Kontext.
Ihre Vorteile
Statt vieler Einzelwerkzeuge erhalten Sie eine Plattform. Sie prüft verdächtige Dateien von selbst, teilt Warnsignale und ordnet Bedrohungen ein. Und Sie binden sich an keinen Hersteller.
- Mehrstufige Analyse, die von selbst läuft
- Warnsignale ohne Umwege mit Partnern teilen
- Basis aus Open Source, keine Bindung an einen Hersteller
- Analysestrecke, die auch große Mengen an Dateien schafft
- Historie und neue Analysen jederzeit möglich
Anwendungsfälle
Schnelle Einstufung im SOC
Verdächtige Dateien sind in Minuten eingestuft. Sie sehen gleich, was dahintersteckt.
Warnsignale mit Kontext
Datenbanken und Wissensgraph ergänzen jeden Fund um Wissen aus aller Welt.
Rückwirkende Suche
Neue Erkennungsregeln laufen auch über alte Dateien. So finden Sie Angriffe, die früher unentdeckt blieben.
Austausch in der Branche
Tauschen Sie Warnsignale mit CERTs, Gruppen Ihrer Branche (ISACs) und Partnern aus. Eine Ampel (TLP) legt fest, wer was sehen darf.
So funktioniert Threat Intelligence in SecTepe.Core
Die CTI-Funktionen laufen in einem eigenen Paket: SecTepe.Core.CTI. Es besteht aus vielen kleinen Diensten in Containern. SecTepe.Core spricht mit ihnen über eine Schnittstelle. Die Ergebnisse sehen Sie direkt in der Plattform.
Aufbau und Ablauf
Im Zentrum steht eine Steuerung. Sie nimmt eine Datei an und verteilt sie an die Analyse-Dienste. Die Prüfungen laufen im Hintergrund. Den Fortschritt verfolgen Sie live.
- Die Erkennungsregeln gleichen die Datei ab. Neue Regeln lädt der Dienst ohne Neustart.
- Die Fähigkeitsanalyse erkennt, was ein Programm kann. Sie ordnet das dem Angriffskatalog MITRE ATT&CK zu.
- Der Virenscanner prüft mit Signaturen. Jede Nacht kommen neue Signaturen dazu.
- Ein Unpacker entpackt gepackte Dateien. Der Inhalt wird danach erneut geprüft.
Aus jeder Prüfung zieht die Steuerung die Warnsignale und fasst sie zusammen. Berichte erhalten Sie als PDF oder JSON.
Typische Einsatzszenarien
- Upload-Prüfung: Lädt jemand eine Datei in SecTepe.Core hoch, prüft die Plattform sie mit Virenscanner, Erkennungsregeln und Fähigkeitsanalyse. Den Fingerabdruck (Hash) sucht sie zusätzlich in der Bedrohungsdatenbank. Fällt der Virenscan aus, gilt die Datei als Bedrohung.
- Mandanten-Monitoring: Die Plattform gleicht Ihre Domains und Mail-Adressen mit den Feeds ab. Treffer erscheinen als Warnung für Ihren Mandanten.
- Lieferanten-Monitoring: Zu jedem Lieferanten sucht SecTepe.Core im Wissensgraph nach Angreifern, Vorfällen und Warnsignalen. Website und Kontaktadressen prüft es zusätzlich in der Bedrohungsdatenbank.
- Rückwirkende Suche: Ein eigener Dienst lässt die Erkennungsregeln über das ganze Archiv laufen.
Betrieb und Datenhoheit
Sie betreiben das CTI-Paket selbst. Es läuft in Containern oder auf Kubernetes. Weitere Dienste schalten Sie über Profile zu. Die Bedrohungsdatenbank bringt 73 fertig eingerichtete Feeds mit.
Für das Malware-Labor gibt es ein Profil ohne Netzverbindung (Air Gap). Ab Werk sendet das Labor nichts an Dritte. Das Weitergeben an Datenbank und Wissensgraph ist aus. Dateien gehen nie an öffentliche Online-Virenscanner. Über Rollen trennen Sie Prüfungen nach Mandanten. Dafür gibt es die Rollen admin, analyst und readonly.
Häufige Fragen
Kann ich eigene Erkennungsregeln nutzen? Ja. Ihre Regeln liegen in einem eigenen Ordner. Ein größerer Regelsatz kommt jede Nacht automatisch dazu.
Brauche ich Datenbank und Wissensgraph für die Dateiprüfung? Nein. Jede Anbindung hat einen eigenen Schalter. Ist ein Dienst aus, überspringt SecTepe.Core diesen Schritt.
Wie teile ich Daten mit Partnern? Über den Standard TAXII 2.1 holen sich die Sicherheitsteams Ihrer Partner die Indikatoren ab. Exporte gibt es im Format STIX und als Eintrag für die Datenbank. SIEM-Systeme erhalten Daten als CEF, LEEF oder UDM.
Bereit für integrierte Threat Intelligence?
Sehen Sie, wie SecTepe.Core Malware-Analyse, Bedrohungsdaten und Wissensgraph zu einem Ablauf verbindet.
So arbeiten wir mit Ihnen zusammen
Wir wollen lange mit Ihnen arbeiten, nicht nur einmal liefern. Unser Weg hat vier Schritte. So wissen Sie stets, was als Nächstes kommt, wer was macht und was am Ende steht.
1. Erstes Gespräch, kostenlos
Wir lernen Ihre Lage und Ihre Ziele kennen. In 30 bis 45 Minuten prüfen wir, ob wir zu Ihnen passen. Wir zeigen Wege auf und klären Ihre Fragen.
2. Bestandsaufnahme
Wir prüfen, wo Sie heute stehen: bei Technik, Abläufen und Vorgaben. Sie bekommen eine Liste mit Stärken und Lücken, nach Dringlichkeit sortiert. Darauf baut unser Angebot auf.
3. Umsetzung mit festem Kontakt
Eine erfahrene Leitung führt Sie durch das Projekt. Es gibt klare Ziele, einen offenen Plan für Zeit und Kosten und jede Woche einen Stand. Alle Ergebnisse sind dokumentiert und gehören Ihnen.
4. Betrieb und Prüfung
Nach dem Projekt bleiben wir an Ihrer Seite. Wir betreiben Systeme für Sie, prüfen sie in festen Abständen und behalten offene Punkte im Blick. Bei neuen Gefahren oder neuen Regeln melden wir uns von selbst.
Häufige Fragen
Diese Fragen hören wir oft im ersten Gespräch. Für alles andere schreiben Sie an hello@sectepe.de oder rufen Sie uns an.
- Wie starten wir eine Zusammenarbeit mit SecTepe?
- Jedes Projekt beginnt mit einem kostenlosen Gespräch. Danach bekommen Sie ein Angebot mit Aufwand, Zeitplan und Ergebnis. Auf Wunsch starten wir klein, mit einem Test. So lernen Sie uns kennen, bevor es richtig losgeht.
- Für welche Firmen und Branchen arbeiten Sie?
- Wir arbeiten für kleine und mittlere Firmen, für Teile großer Konzerne und für Betreiber kritischer Anlagen (KRITIS). Oft sind das Industrie, Handwerk, Gesundheit, Banken, Energie und Behörden. Der Kern ist der Mittelstand in Deutschland, Österreich und der Schweiz.
- Arbeiten Sie vor Ort, remote oder hybrid?
- Beides. Prüfungen, Beratung und die meisten Dienste laufen aus der Ferne, aus deutschen Rechenzentren. Für Workshops, Schulungen und Notfälle kommen wir vor allem in NRW, im Rheinland und im Ruhrgebiet zu Ihnen. Wenn nötig, fahren wir auch weiter.
- Nach welchen Normen arbeiten Sie?
- Wir arbeiten nach ISO 27001:2022, BSI IT-Grundschutz, TISAX, B3S KRITIS, NIS2 und DORA und nach den Regeln einzelner Branchen. Unsere Methoden stützen sich auf bekannte Rahmenwerke wie NIST CSF, MITRE ATT&CK, OWASP und OSSTMM. Wir wählen sie je nach Projekt.
- Wie schützen Sie die Vertraulichkeit meiner Daten?
- Durch Vertrag und durch Technik. Vor jedem Projekt unterschreiben beide Seiten eine Pflicht zur Geheimhaltung. Ihre Daten bleiben in deutschen Rechenzentren. Jeder Zugriff braucht eine Anmeldung mit zweitem Faktor und wird einzeln geprüft. Unser ganzes Team ist per Vertrag und nach DSGVO zum Schweigen verpflichtet.