Ein Incident ist erst dann wirklich abgeschlossen, wenn die Erkenntnisse dokumentiert und an die richtigen Stellen weitergegeben sind. Genau dieser Schritt wird in der Praxis oft unterschätzt. In dieser Anleitung lernst du, wie du mit ChatGPT Indicators of Compromise (IOCs) aus Rohdaten extrahierst, bewertest, auf MITRE ATT&CK abbildest und als Importdateien für SIEM, Trade-Intel-Plattform und Firewall exportierst. Als Beispiel dient ein anonymisierter Phishing-Fall, bei dem ein Mitarbeiter eine präparierte Mail geöffnet hat.
Das Video wird erst beim Abspielen von YouTube geladen – dabei werden Daten (u. a. deine IP-Adresse) an YouTube bzw. Google übertragen. Mehr dazu in der Datenschutzerklärung
Einleitung
Stell dir vor, du hast die Logs eines Vorfalls vor dir: Hunderte Zeilen, Prozessaufrufe, Netzwerkverbindungen und Dateiereignisse. Die Kunst besteht darin, daraus die wenigen Artefakte herauszufiltern, die tatsächlich Angriffscharakter haben. Genau dabei unterstützt dich ChatGPT, wenn du den Prompt sauber aufbaust und die Ergebnisse kritisch prüfst. Was früher Stunden manueller Arbeit gekostet hat, erledigst du damit in wenigen Minuten.
Wichtigste Erkenntnisse
- IOCs gliedern sich in Netzwerk-, Host- und Verhaltensindikatoren. Nur ein Teil davon ist für Detection und Blocking wirklich brauchbar.
- Ein strukturierter Prompt mit Rolle, Aufgabe, Format und Kontext liefert deutlich bessere Ergebnisse als eine vage Anfrage.
- Die Zuverlässigkeit jedes IOCs muss bewertet werden. Ein falsch formatierter Hash ist ein klassischer Fehler in Rohdaten.
- MITRE ATT&CK-Techniken schaffen ein gemeinsames Vokabular, mit dem dein Report weltweit verstanden wird.
- Die Exportformate CSV, STIX und einfache Blocklisten machen die Ergebnisse sofort nutzbar.
Schritt-für-Schritt-Anleitung
Schritt 1: IOC-Kategorien verstehen
Bevor du überhaupt mit ChatGPT arbeitest, solltest du wissen, wonach du suchst. Netzwerk-IOCs umfassen IP-Adressen, Domains, URLs, User-Agents, JA3- und JA3S-Fingerprints sowie TLS-Signaturen. Host-IOCs sind Datei-Hashes wie MD5, SHA1 und SHA256, Dateinamen, Pfade, Registry-Keys sowie geplante Tasks und Services. Verhaltens-IOCs beschreiben Prozessbeziehungen, also welcher Parent-Prozess welchen Child-Prozess startet, außerdem Command-Line-Argumente und ungewöhnliche Netzwerkverbindungen. Dieses Grundverständnis entscheidet darüber, ob du später Rauschen von echten Angriffsspuren unterscheiden kannst.
Schritt 2: Einen sauberen Chat starten
Öffne ein neues ChatGPT-Fenster. Alte Konversationen können Kontext enthalten, der nicht zu diesem Incident gehört, und das verfälscht die Ergebnisse. Ein frischer Chat stellt sicher, dass ausschließlich deine aktuellen Daten analysiert werden.
Schritt 3: Den Prompt aufbauen
Der Prompt ist das Herzstück der Analyse. Gib ChatGPT zuerst eine Rolle, zum Beispiel die eines Threat-Intelligence-Analysten mit Schwerpunkt auf IOC-Extraktion. Formuliere danach vier klare Aufgaben: alle IOCs extrahieren und kategorisieren, jeden Indikator nach Zuverlässigkeit als hoch, mittel oder niedrig bewerten, eine Import-Struktur mit einem IOC pro Zeile erstellen und die Eignung für Trade-Intel-Sharing kennzeichnen. Lege außerdem das Ausgabeformat fest, etwa eine Tabelle mit den Spalten IOC-Wert, Typ, Zuverlässigkeit und Kontext. Je präziser diese Vorgaben sind, desto verwertbarer ist das Ergebnis.
Schritt 4: Rohdaten einfügen
Füge nun die anonymisierten Logdaten in den Chat ein. Die Daten sind oft unübersichtlich, weshalb ChatGPT einen Moment braucht, um sie zu analysieren. Warte die Verarbeitung ab, statt vorzeitig abzubrechen. Du erkennst am Fortschritt schnell, ob eine brauchbare Extraktion entsteht.
Schritt 5: Die Ergebnistabelle prüfen
Nach der Analyse erhältst du eine Tabelle mit den extrahierten Indikatoren. In der Beispielanalyse enthält sie unter anderem die verdächtige Absenderadresse, deren Typ, die Zuverlässigkeitsbewertung und einen kurzen Kontext, der erklärt, woher der Wert stammt. Lies jede Zeile kritisch durch. Frage dich bei jedem Eintrag, ob er wirklich einen Angriff belegt oder nur ein normaler Systemvorgang ist.
Schritt 6: Zuverlässigkeit und Datenqualität kritisch bewerten
Hier zeigt sich der Unterschied zwischen einer Automatisierung und einer fachlichen Analyse. Im Beispiel hat ein Hash eine fehlerhafte Formatierung, sodass er für belastbare Detections nicht taugt. Für verlässliche Erkennungsregeln brauchst du den vollständigen SHA256-Wert oder alternativ MD5 bzw. SHA1 aus der Sandbox oder der Endpoint-Lösung. Prüfe Hashes deshalb immer auf Länge und Zeichenformat, bevor du sie weitergibst. Ein fehlerhafter Indikator kann Blockierregeln ins Leere laufen lassen oder im schlimmsten Fall legitime Dateien treffen.
Schritt 7: Das Importformat sicherstellen
Die Ergebnisse müssen für Plattformen wie SIEM oder Trade-Intel-Systeme importierbar sein. Achte darauf, dass jeder IOC in einer eigenen Zeile steht. Damit lässt sich die Liste direkt in Import-Routinen übernehmen, ohne dass du Werte von Hand trennen musst.
Schritt 8: Die Angriffstechniken nach MITRE ATT&CK zuordnen
Jetzt geht es um die Einordnung in ein weltweit verstandenes Modell. Formuliere einen zweiten Prompt, der ChatGPT auffordert, alle MITRE-ATT&CK-Techniken zu identifizieren, die in den Daten sichtbar sind. Verlange die Zuordnung zu den Taktiken wie Initial Access, Execution oder Persistence, die vollständige Technik-ID inklusive Subtechnik sowie eine kurze Erklärung des beobachteten Verhaltens. Bitte außerdem um eine Tabelle, die nach der Kill Chain sortiert ist. Gerade die Begründung ist wertvoll, denn sie zeigt, warum eine Technik zutrifft.
Schritt 9: Die Angriffskette lesen
Die Tabelle erzählt die Geschichte des Angriffs. Beginnend mit dem Phishing-Versuch über die Ausführung eines Makros oder einer PowerShell-Befehlszeile bis hin zur Persistenz zeigt sie, wie sich der Angreifer im System festsetzen wollte. Für deinen Report ist diese Kette Gold wert, weil jeder Leser sofort versteht, was passiert ist, auch wenn er nicht Teil des Teams war.
Schritt 10: Den ATT&CK Navigator öffnen
Der MITRE ATT&CK Navigator ist ein kostenloses Webtool zur Visualisierung von Techniken. Öffne ihn im Browser und lege eine neue Ebene (Layer) an. Dort kannst du die identifizierten Techniken markieren und farblich hervorheben. So wird aus einer Tabelle ein Bild, das Management und Kollegen auf einen Blick erfassen.
Schritt 11: Eine Layer-Datei aus ChatGPT erzeugen
Statt jede Technik manuell einzutragen, kannst du ChatGPT bitten, eine JSON-Datei für den Navigator zu erstellen. Diese enthält alle identifizierten Techniken und ihre Färbung. Lade die Datei anschließend im Navigator hoch. Du kannst Farben über die Layer-Controls anpassen, einzelne Techniken genauer betrachten oder Bereiche ausblenden.
Schritt 12: Die Ergebnisse überprüfen und abhaken
Im Navigator lässt sich jede Technik einzeln öffnen und prüfen. Wenn du eine Zuordnung bestätigt hast, markierst du sie als reviewed. Das ist ein einfacher, aber wichtiger Schritt, denn ChatGPT liefert Vorschläge, keine endgültigen Urteile. Die fachliche Verantwortung bleibt bei dir.
Schritt 13: Exportformate gezielt anfordern
Die Ergebnisse müssen in deine Systeme. Öffne deshalb den letzten Chat wieder und bitte um die Netzwerk-IOCs in drei Formaten: als CSV für den Import ins SIEM, als STIX 2.1 für den Austausch über Trade-Intel-Plattformen und als einfache Blockliste mit einer IP oder Domain pro Zeile für die Firewall.
Schritt 14: Die CSV-Datei prüfen
ChatGPT liefert die CSV-Datei mit sauberen Spaltenüberschriften. Öffne sie und kontrolliere, ob alle Felder korrekt belegt sind. Eine saubere Struktur spart dir beim Import viel Zeit und vermeidet Fehlermeldungen.
Schritt 15: Das STIX-Format verstehen
STIX 2.1 ist ein standardisiertes Format für den Austausch von Threat Intelligence in JSON. Die Datei enthält Objekte wie Indikatoren mit einer Bundle-ID und Verknüpfungen. Den Vorteil erkennst du, wenn du mit anderen Organisationen Informationen teilst, denn das Format wird von vielen Plattformen direkt verstanden.
Schritt 16: Die Firewall-Blockliste einspielen
Die Blockliste ist eine einfache Textdatei mit IPs oder Domains. Kopiere sie in deine Firewall oder in dein SIEM, und die Indikatoren werden blockiert. Gerade bei Phishing-Angriffen mit Command-and-Control-Kommunikation kann so eine Verbindung schnell unterbrochen werden.
Schritt 17: Den gesamten Prozess als Routine etablieren
Was früher Stunden gedauert hat, lässt sich mit diesem Workflow innerhalb von Minuten erledigen. Entscheidend ist, dass du den Prozess als feste Routine in deine Incident-Response aufnimmst: Prompt speichern, Daten einfügen, Ergebnisse prüfen, Mapping erstellen, exportieren. Auch den JSON-Export für die Wiederverwendung erzeugst du mit einem einzigen Befehl. Speichere deinen Prompt deshalb als Vorlage ab, damit du ihn beim nächsten Vorfall sofort einsetzen kannst.
Zusammenfassung – IOC-Extraktion und MITRE ATT&CK-Mapping mit ChatGPT
Du hast gelernt, IOCs in die Kategorien Netzwerk, Host und Verhalten einzuteilen und ihre Zuverlässigkeit zu bewerten. Mit einem klar strukturierten Prompt extrahierst du sie aus anonymisierten Logdaten, prüfst die Ergebnisse kritisch und ordnest die Angriffstechniken den Taktiken von MITRE ATT&CK zu. Über den Navigator machst du die Angriffskette sichtbar, und über CSV, STIX und Blocklisten bringst du die Erkenntnisse direkt in deine Systeme. So wird aus dem Schritt, den viele gern überspringen, ein strukturierter und gut teilbarer Abschluss deines Incidents.
FAQ
Warum sollte ich ein neues ChatGPT-Fenster für jede Analyse öffnen?Alte Chats können Kontext enthalten, der nicht zum aktuellen Incident gehört und die Ergebnisse verfälschen kann.
Welche IOC-Kategorien gibt es?Es gibt Netzwerk-IOCs wie IP-Adressen und Domains, Host-IOCs wie Datei-Hashes und Registry-Keys sowie Verhaltens-IOCs wie Prozessbeziehungen und Command-Line-Argumente.
Wie erkenne ich einen fehlerhaften Hash?Prüfe die Länge und das Zeichenformat. SHA256 hat 64 hexadezimale Zeichen, MD5 hat 32 und SHA1 hat 40. Weicht ein Wert davon ab, ist er für Detections nicht belastbar.
Ist die Zuordnung von ChatGPT zu MITRE ATT&CK immer korrekt?Nein. ChatGPT liefert Vorschläge mit Begründung. Die fachliche Prüfung und Freigabe musst du selbst vornehmen, zum Beispiel im ATT&CK Navigator.
Was ist der MITRE ATT&CK Navigator?Der Navigator ist ein kostenloses Webtool, mit dem du Angriffstechniken farblich markieren und als Layer-Datei visualisieren kannst.
Welches Format eignet sich für den Austausch mit anderen Organisationen?STIX 2.1 ist ein standardisiertes Format, das von vielen Threat-Intelligence-Plattformen unterstützt wird und sich gut für den Austausch eignet.
Für was verwende ich die Firewall-Blockliste?Die Blockliste enthält IPs oder Domains, die du direkt in Firewall oder SIEM übernehmen kannst, um bekannte Angriffsinfrastruktur zu blockieren.
