ZweiOnCTI

Die Kommandozeile statt des Hashes — Detection Engineering , ohne der grünen Kachel zu trauen. Ein Hash aus einem öffentlichen Akira-Report, darauf eine Sigma-Regel: ein Feld, ein Wert, vom offiziellen Werkzeug fehlerfrei konvertiert. Gegen echte Telemetrie getestet: kein einziger Treffer. Daneben eine hässliche Community-Regel von 2019, die keinen Hash kennt, nur eine Kommandozeile — „vssadmin de...

Die Quelle statt der Zahl — Dark-Web-Intelligence, ohne der Leak-Seite zu glauben. Im Januar taucht eine Erpressergruppe auf, die niemand kennt, und steht bis Ende März bei 253 Opfern: Krankenhäuser, Banken, Industrie. Dann bricht ein Bandenkrieg aus, eine rivalisierende Gruppe übernimmt die Infrastruktur und stellt die internen Protokolle ins Netz — es gab nie einen Einbruch. Keinen einzigen. Opf...

Das Verhalten statt der Byte-Folge — Malware-Intelligence, ohne dem Fingerabdruck zu glauben. Hundert Prozent Übereinstimmung, null Überschneidung mit irgendeiner anderen Datei: der Rich Header von Olympic Destroyer zeigte im Februar 2018 auf eine bekannte Lazarus-Komponente. Sauberer geht ein Beweis nicht. Er war hineingelegt — Feld für Feld nachgebaut, aufgeflogen nicht durch ein besseres Werkze...

Der Grundriss statt der Fassade — OSINT, ohne an der Tür zu klingeln. „Senior ICS-Engineer, Erfahrung mit Siemens S7-1500" — ein Satz aus der Personalabteilung, und der Angreifer hält Port 102, S7comm, per s7-info Modell und Firmware, dazu das CISA-Advisory mit den bekannten Schwachstellen. Bevor ein Paket fliegt. Der Reflex, jetzt Anzeigen zu entschärfen, greift daneben: die Anzeige ist nicht die...

Einzelschicht-Detektion ist tot, Layering lebt — C2 richtig jagen. Fünf Tage lebt ein Cobalt-Strike-Server im Median — die meisten lesen daraus die falsche Lektion: schneller Blocklisten pflegen. Das Fenster ist nicht das Problem, die Schicht ist es. Gemessen wird (Censys 2025) nur Scan-Sichtbarkeit, nicht Detektionstempo, nicht Operationsdauer: 11,2 Tage Mittel, 5,0 Median, und nur für Cobalt-Str...

Die unsichtbaren Zeugen — was das Internet über Angreifer speichert. Vierundneunzig Lookalike-Domains auf einer IP (45.79.222.138, AS63949 Akamai-Linode), quer durch elf Marken — Instagram und TikTok mit je zwölf, dazu FedEx, Zurich, Credit Suisse, Migros Bank — und jede löst auf openresty mit Reverse-Eintrag parklogic.net auf, Score null bei urlscan: Parking-Infrastruktur der .ph-Registry, kein L...

Wenn die Karikatur das Modell ersetzt Elf. Vier. Sechs. Elf Bestandteile hat das Diamond Model von Caltagirone, Pendergast und Betz aus dem Jahr 2013 — vier Knoten, sechs Kanten, zwei Meta-Features, sieben Axiome. Vier davon kennt jede Vendor-Folie. Sechs der elf Bestandteile fallen in der Industrie-Lesart regelmässig unter den Tisch. Das ist die Karikatur, vor der Caltagirone selbst im Summary-Pa...

Vier Probe-Fragen trennen ein Profil von einer IOC-Sammlung mit Briefkopf. Achtundzwanzig für Deutschland relevante APT-Gruppen meldet das BSI im Lagebericht 2025, zweiundzwanzig waren es im Lagebericht 2024 — und im Achtseiter steht offen, dass die Differenz keine Vollzählung ist, sondern eine Sichtbarkeitszählung auf Basis einer einzigen Vendor-Stichprobe plus Bundesbehörden-Telemetrie. Sieben N...

Roberts-Kriterien, GIR-PIR-SIR-Hierarchie, drei DACH-Sektor-Builds live Drei Worte heisst die meistgenannte Priority Intelligence Requirement in DACH-CTI-Programmen 2026: „Monitor Ransomware Threats." Vier Kriterien hat Scott Roberts 2016 für eine echte PIR formuliert — Singular, Atomic, Decision Centric, Timeliness. Hundertachtzig Anforderungs-Templates listet das Intel-471-CU-GIR-Framework, das...

Sechs Phasen, drei strukturelle Bruchpunkte, ein DACH-Lehrstück Vierunddreissig Tage liegen zwischen dem Initial Access bei der Landesverwaltung Kärnten am 21. April 2022 und der Detection am 24. Mai. Sechs Phasen umfasst der klassische Intelligence Cycle, der in jedem CTI-Lehrgang als kanonische Lehrform hängt. Sechsunddreissig Prozent der Programme messen laut SANS-CTI-Umfrage 2024 ihre Effektiv...

S1E01 — Was ist CTI, wirklich? Die Demontage der Gleichung „Feed gleich Intelligence" 50.000. 5. 4. Fünfzigtausend Indikatoren verspricht die Sales-Folie pro Tag. Fünf Tage misst Censys als Median-Lebensdauer eines kommerziellen Cobalt-Strike-Command-and-Control-Servers. Vier Prozent Overlap haben zwei Premium-Threat-Intelligence-Feeds laut der bislang sauberen USENIX-Messung. Drei Zahlen, die zus...

S1E00 — Zahlen, die niemand hinterfragt Methodenkritik im DACH-Cybersecurity-Diskurs 309.000. 280.000. 202 Milliarden. Drei Zahlen, die in jeder zweiten Vorstandspräsentation auftauchen — und drei Zahlen, deren Methodikseiten kaum jemand gelesen hat. In dieser Zwischenfolge legen wir die Quelldokumente nebeneinander: die BSI-Malware-Statistik, den Bitkom-Wirtschaftsschutzbericht, die BACS-Halbjahr...