KI enthüllt 20 Jahre Hersteller-Bias in der Cyber Threat Intelligence

Cyber Threat Intelligence (CTI) dient seit langem als Grundpfeiler der modernen digitalen Verteidigung. Dennoch hat eine wegweisende Longitudinalstudie gezeigt, dass zwei Jahrzehnte der Berichterstattung eine fragmentierte Landschaft hervorgebracht haben, die mehr durch Anbieter-Silos als durch eine einheitliche globale Strategie definiert ist. Die Forscher Mauro Conti, Manuel Suarez-Roman und Francesco Marciori führten kürzlich eine groß angelegte automatisierte Analyse von 13.308 Open-Source-CTI-Berichten durch und stellten fest, dass die Branche unter einem erheblichen „Echokammer-Effekt“ leidet. Diese Fragmentierung bedeutet, dass zwar das Volumen an Intelligence-Informationen explosionsartig zugenommen hat, unser kollektives Verständnis der langfristigen Dynamik zwischen Bedrohungsakteuren und Opfern jedoch durch inkonsistente Berichtsstandards und strukturelle Biases (Voreingenommenheiten), die dem Ökosystem der Sicherheitsanbieter eigen sind, getrübt bleibt.

Die Notwendigkeit dieser Forschung ergibt sich aus der zunehmenden Komplexität der digitalen Geopolitik und der schieren Menge an unstrukturierten Daten, die von Sicherheitsunternehmen generiert werden. Historisch gesehen wurde Cyber Threat Intelligence (CTI) in unterschiedlichen Formaten veröffentlicht, die von Blog-Posts bis hin zu technischen Whitepapern reichen, was es für menschliche Analysten nahezu unmöglich macht, die Trends aus zwei Jahrzehnten manuell zu synthetisieren. Um diese Lücke zu schließen, entwickelte das Forschungsteam eine hochpräzise Pipeline unter Nutzung von Large Language Models (LLMs), um Daten zu erfassen und zu strukturieren sowie kritische Entitäten wie zugeschriebene Bedrohungsakteure, Motivationen und technische Indikatoren zu extrahieren. Dieser automatisierte Ansatz ermöglichte die erste umfassende Meta-Analyse der Branchenergebnisse und quantifizierte, wie Intelligence tatsächlich produziert und geteilt wird.

Wie beeinflusst die Anbieterspezifität die CTI-Analyse?

Die Anbieterspezifität in der CTI-Analyse schränkt umfassendere Erkenntnisse ein, da Berichte an die Produkte oder Dienstleistungen bestimmter Anbieter gebunden sind, was potenziell Echokammern erzeugt und lieferkettenweite Bedrohungen übersieht. Dieser spezialisierte Fokus führt oft zu regionalen blinden Flecken, wobei der geografische Hauptsitz eines Anbieters oder sein primärer Kundenstamm diktiert, welche Bedrohungen überwacht und gemeldet werden. Folglich erhalten Organisationen, die sich auf eine einzige Intelligence-Quelle verlassen, möglicherweise eine verzerrte Perspektive auf die globale Bedrohungslage, was zu fragmentierten Risikobewertungen führt, die vernetzte Schwachstellen im gesamten digitalen Ökosystem nicht berücksichtigen.

Die Studie ergab, dass Berichterstattungs-Biases tief in den kommerziellen Interessen und der technischen Sichtbarkeit einzelner Sicherheitsfirmen verwurzelt sind. Anbieter zeigen einen klaren sektoralen Bias, indem sie Branchen wie Finanzen oder Behörden basierend auf ihrer spezifischen Marktreichweite priorisieren. Beispielsweise kann ein Anbieter mit einer starken Präsenz in Nordamerika tiefe Einblicke in staatlich gefördertes Hacking aus Ostasien gewähren, während er für aufkommende Bedrohungen in Südamerika oder Afrika praktisch blind bleibt. Diese Spezialisierung erzeugt einen „Silo-Effekt“, bei dem die Intelligence tief, aber schmal ist, was ein ganzheitliches Verständnis dafür verhindert, wie Bedrohungsakteure im Laufe der Zeit über verschiedene Sektoren und Regionen hinweg migrieren.

Darüber hinaus erschwert diese Spezifität die Fähigkeit von Praktikern, die Vollständigkeit ihrer Intelligence zu bewerten. Da Berichte oft darauf zugeschnitten sind, den Wert eines bestimmten Sicherheitstools oder -dienstes zu demonstrieren, können die bereitgestellten Metadaten und technischen Indikatoren (IoCs) selektiv sein. Mauro Conti und seine Kollegen argumentieren, dass dieser Mangel an Standardisierung den Datenabgleich zwischen verschiedenen Anbietern erschwert. Ohne ein einheitliches Framework bleibt das CTI-Ökosystem eine Sammlung einzelner Schnappschüsse statt eines kontinuierlichen, hochauflösenden Videos der globalen Cyber-Aktivitäten.

Welche Rolle spielt die Automatisierung bei der Analyse von 20 Jahren CTI?

Die Automatisierung ermöglicht die Verarbeitung und Analyse riesiger Datensätze aus 20 Jahren CTI, indem sie Echtzeit-Warnungen, Risiko-Scoring und Bedrohungskorrelationen über verschiedene Anbieter hinweg bereitstellt. Durch den Einsatz von Large Language Models (LLMs) können Forscher Tausende von unstrukturierten Dokumenten in eine strukturierte Datenbank mit Motivationen von Bedrohungsakteuren und Opferprofilen transformieren. Dieser KI-gestützte Ansatz ist essenziell, um historische Biases aufzudecken und langfristige Muster zu identifizieren, die für eine manuelle Analyse unsichtbar sind, wodurch jahrzehntelange Rohdaten effektiv in umsetzbare Erkenntnisse umgewandelt werden.

Die LLM-basierte Pipeline des Forschungsteams wurde speziell entwickelt, um die linguistischen Nuancen der technischen Berichterstattung aus verschiedenen Epochen zu bewältigen. Über den untersuchten Zeitraum von zwanzig Jahren hat sich die Terminologie zur Beschreibung von Tactics, Techniques, and Procedures (TTPs) erheblich weiterentwickelt. Die Automatisierung ermöglichte es den Forschern, diese Begriffe zu normalisieren und sicherzustellen, dass eine im Jahr 2005 beschriebene „Backdoor“ akkurat mit einem modernen Mechanismus für persistente Bedrohungen verglichen werden konnte. Diese Ebene der granularen Extraktion ist entscheidend für das Verständnis der Entwicklung der Informationsdichte, da sich Berichte von kurzen anekdotischen Zusammenfassungen zu datenintensiven Dokumenten gewandelt haben, die mit Tausenden von Indicators of Compromise gefüllt sind.

Über die einfache Datenextraktion hinaus erleichtert die Automatisierung eine Analyse der Grenzabdeckung (Marginal Coverage Analysis), die den Wert des Hinzufügens neuer Intelligence-Quellen quantifiziert. Die Studie nutzte maschinelles Lernen, um zu bestimmen, an welchem Punkt ein zusätzlicher Anbieterbericht keine neuen Informationen mehr liefert und beginnt, lediglich bekannte Daten zu wiederholen. Dieser quantitative Ansatz ist lebenswichtig für Security Operations Centers (SOCs), die die Kosten für mehrere Intelligence-Feeds gegen den tatsächlichen Intelligence-Gewinn abwägen müssen. Die Ergebnisse der Forscher legen nahe, dass Automatisierung der einzige praktikable Weg ist, um das Lagebewusstsein in einer zunehmend verrauschten Informationsumgebung aufrechtzuerhalten.

Die Entwicklung der Informationsdichte und der Bedrohungsmotive

In den letzten zwei Jahrzehnten hat die Art der Cyber Threat Intelligence (CTI)-Berichterstattung einen dramatischen Wandel sowohl im Volumen als auch in der technischen Tiefe erfahren. Die Studie hebt mehrere Schlüsseltrends in der Art und Weise hervor, wie Daten der Öffentlichkeit präsentiert werden:

• Erhöhte technische Detailtiefe: Moderne Berichte enthalten eine viel höhere Dichte an Indicators of Compromise (IoCs) und TTPs im Vergleich zu Berichten aus den frühen 2000er Jahren.
• Verfolgung von Motiven: Forscher identifizierten eine klare Korrelation zwischen spezifischen Bedrohungsakteuren und ihren primären Motivationen, wie Spionage, finanzieller Gewinn oder Hacktivismus.
• Strategischer Wandel: In den letzten Jahren liegt ein wachsender Fokus auf staatlich gefördertem Hacking, wobei Berichte verstärkt auf digitale Geopolitik und Auswirkungen auf die nationale Sicherheit ausgerichtet sind.
• Datenstandardisierung: Obwohl die Dichte zugenommen hat, behindert der Mangel an konsistenten Berichtsstandards weiterhin die Interoperabilität dieser Daten innerhalb der Branche.

Warum gibt es Überschneidungen in der Berichterstattung über Cyberbedrohungen?

Überschneidungen in der Berichterstattung über Cyberbedrohungen entstehen dadurch, dass Anbieter Intelligence-Informationen teilen, um individuelle Datenbeschränkungen zu überwinden und Wettbewerbsvorteile durch Clusterbildung und Community-Strukturen zu erlangen. Diese Redundanz spiegelt oft eine Kommodifizierung von CTI wider, bei der mehrere Firmen über dieselben hochkarätigen Vorfälle berichten, um ihre wahrgenommene Relevanz am Markt zu behaupten. Während dieses Teilen das kollektive Wissen verbessern kann, erzeugt es auch „Echos“, bei denen dieselben verzerrten oder unvollständigen Daten über Dutzende von Quellen hinweg wiederholt werden, was einen falschen Eindruck von Konsens vermittelt.

Die Analyse der Grenzabdeckung der Studie ergab, dass die Intelligence-Überschneidung bei den Kernanbietern überraschend hoch ist. Wenn eine große staatlich geförderte Kampagne entdeckt wird, veröffentlicht fast jeder bedeutende Anbieter einen Bericht, wobei sie sich oft auf dieselbe zugrunde liegende Telemetrie oder öffentliche IoCs stützen. Dies führt zu einer Situation abnehmenden Grenznutzens für die Verteidiger; nach den ersten Berichten liefern nachfolgende Informationen oft wenig bis gar keinen „marginalen“ Wert in Form von neuen technischen Erkenntnissen. Diese Redundanz kann sogar schädlich sein, da sie die Zeit der Analysten beansprucht, ohne ein tieferes Verständnis der Bedrohung zu vermitteln.

Diese Überschneidung deutet auch auf einen strukturellen Bias in der Branche hin, bei dem „sichtbare“ Bedrohungen – solche, die leicht zu erkennen sind oder bereits im Trend liegen – den Löwenanteil der Aufmerksamkeit erhalten. Währenddessen bleiben subtilere, langfristige Cyberspionage-Kampagnen, die Nischensektoren ins Visier nehmen, möglicherweise völlig unberichtet, weil sie nicht in die Berichtsvorlagen oder kommerziellen Prioritäten der großen Anbieter passen. Mauro Conti und sein Team betonen, dass diese Konzentration der Anstrengungen auf einige wenige hochkarätige Akteure bedeutende Teile der globalen digitalen Infrastruktur anfällig für weniger „populäre“, aber ebenso gefährliche Bedrohungen lässt.

Zukünftige Richtungen für die globale Sicherheitssichtbarkeit

Um jenseits der Echokammer zu gelangen, schlagen die Forscher mehrere kritische Veränderungen in der Art und Weise vor, wie Cyber Threat Intelligence (CTI) produziert und konsumiert wird. An erster Stelle steht die Standardisierung der Berichterstattung. Ohne eine gemeinsame Sprache und ein strukturiertes Format wird sich die Fragmentierung des Ökosystems mit wachsendem Datenvolumen nur noch verschlimmern. Die Implementierung von automatisierten Echtzeit-Sharing-Protokollen, die sich auf einzigartige Erkenntnisse statt auf redundante Beobachtungen konzentrieren, könnte helfen, die aktuellen Informationslücken zu schließen.

Darüber hinaus muss sich die Rolle von KI und Automatisierung von der einfachen Datenextraktion hin zur Bias-Erkennung verschieben. Zukünftige CTI-Plattformen sollten in der Lage sein, Benutzer zu warnen, wenn ihre Intelligence-Quellen aufgrund von geografischen oder sektoralen Biases eine verzerrte Sicht auf die Landschaft liefern. Durch die Integration dieser hochpräzisen LLM-Pipelines in Standard-Verteidigungs-Workflows können Organisationen die Vollständigkeit ihrer Daten besser bewerten und gezielt nach diversen Quellen suchen, die einen echten Grenznutzen bieten. Letztendlich ist es das Ziel, die digitale Geopolitik von einer Sammlung anbieterspezifischer Narrative in eine transparente, globale Wissenschaft der Cyberverteidigung zu transformieren.