MISP
Offene Threat-Intelligence-Sharing-Plattform
MISP — Open Source Threat Intelligence Platform
MISP ist eine offene Plattform für das Sammeln, Strukturieren und Teilen von Bedrohungsinformationen — insbesondere von Indikatoren wie schädlichen IP-Adressen, Domains oder Datei-Hashes. Sie ermöglicht es Organisationen, Erkenntnisse über Angriffe vertrauensbasiert und maschinenlesbar untereinander auszutauschen. MISP ist im CERT- und SOC-Umfeld einer der verbreitetsten Bausteine der Threat Intelligence.
Historie & Fakten. MISP entstand aus der Praxis von Verteidigern, die feststellten, dass Angreifer Infrastruktur und Werkzeuge wiederverwenden — geteiltes Wissen über Indikatoren verschafft daher einen kollektiven Vorteil. Die Plattform organisiert Informationen in Events und Attributen, ergänzt sie um Taxonomien und sogenannte Galaxies (etwa zur Zuordnung von Akteuren) und steuert über Sharing-Gruppen genau, wer was sehen darf. Der Austausch erfolgt maschinenlesbar und lässt sich an Erkennungssysteme anbinden.
Ausblick & Empfehlung. Threat Intelligence entfaltet ihren Wert erst im Verbund: Ein einzelner Vorfall bei einem Mitglied kann viele andere vorwarnen. Wichtig ist die Disziplin bei Vertraulichkeitsstufen — das TLP-Modell regelt, wie weit eine Information weitergegeben werden darf. MISP-Indikatoren lassen sich in ein SIEM oder eine Intel-Plattform einspeisen und dort mit der eigenen Telemetrie korrelieren.