Den Ausgangspunkt bildet die Erkennung. In vielen SOCs beginnt sie erst, wenn ein Alarm ausgelöst wird — zu einem Zeitpunkt, an dem ein Angreifer bereits Fuß gefasst oder Persistenz erlangt haben kann. ANY.RUN beschreibt, wie reife Teams mit den Threat Intelligence Feeds laufend frische Indikatoren aus realen Angriffen aufnehmen und mit der eigenen Telemetrie abgleichen. Verdächtige Infrastruktur lasse sich so kennzeichnen, bevor sie klassische Alarme auslöst; die Erkennung verlagert sich nach vorn.

Die zweite Stelle ist die Triage. In weniger reifen Umgebungen werde daraus oft eine kleine Untersuchung: Analysten springen zwischen Werkzeugen, suchen Kontext und eskalieren vorsorglich. Mit TI Lookup reichern reife Teams Indikatoren laut ANY.RUN sofort an und ziehen dabei Verhaltenskontext aus echten Malware-Ausführungen heran. Als Beispiel nennt das Unternehmen die Abfrage einer am Perimeter aufgefallenen Domain, die sich unmittelbar der Infrastruktur des MacSync-Stealers zuordnen lässt.

Beschleunigt werde dieser Schritt zusätzlich durch eine KI-gestützte Suche innerhalb von TI Lookup. Statt exakter Syntax und komplexer Filter können Analysten beschreiben, wonach sie suchen; die Anfrage wird in strukturierte Abfragen übersetzt. Das mache nicht nur erfahrene Fachkräfte schneller, sondern auch weniger erfahrene Analysten wirksamer, sodass Tier-1-Kräfte mehr eigenständig bearbeiten.

Die dritte Stelle ist die Untersuchung — laut ANY.RUN der Bereich, in dem sich Zeit am stärksten dehnen kann, wenn Logs, Reputationsabfragen und Verhaltensvermutungen mühsam zusammengesetzt werden. Im Threat-Intelligence-Ökosystem von ANY.RUN seien Indikatoren keine bloßen Etiketten, sondern mit realen Ausführungsdaten, Angriffsketten und beobachtbaren Verhaltensweisen verknüpft. Diese Verhaltensdaten stützen sich nach Angaben des Unternehmens auf Echtzeitdaten von über 15.000 Organisationen und 600.000 Analysten, die täglich Live-Proben von Malware und Phishing detonieren.

Die vierte Stelle ist die Reaktion. Selbst bei erkannter Bedrohung verzögern manuelle Schritte und uneinheitliche Playbooks die Reaktion. Durch die Integration der Threat Intelligence Feeds in SIEM- und SOAR-Plattformen lösen bekannte schädliche Indikatoren laut ANY.RUN unmittelbare Maßnahmen wie Blockieren oder Isolieren aus, sodass die Zeitspanne zwischen Erkennung und Eindämmung auf Sekunden schrumpft.

Die fünfte Stelle betrifft die Arbeit zwischen den Vorfällen. Reaktive Teams bewegen sich von Alarm zu Alarm und treffen dabei oft auf Varianten desselben Angriffs, ohne es zu bemerken. Mit den Threat Reports und fortlaufend aktualisierten Feeds verfolgen reife SOCs nach Darstellung von ANY.RUN aufkommende Kampagnen, verstehen die Techniken der Angreifer und passen ihre Verteidigung vorab an.

Quer durch alle fünf Bereiche, so das Fazit des Beitrags, entstehen Verzögerungen selten aus einem dramatischen Einzelversagen, sondern aus kleinen, wiederkehrenden Ineffizienzen — einem fehlenden Kontext hier, einer zusätzlichen Abfrage dort. Reife SOCs lösten dies nicht, indem sie Menschen beschleunigen, sondern indem sie den Informationsfluss neu gestalten.