Methodik
SecBoard kombiniert Quellen, Schwachstelleninformationen, Exploit-Signale, Community-Indikatoren und KI-gestützte Analysen, um aus vielen Einzelmeldungen ein priorisiertes Cyber-Lagebild zu erstellen.
Wie SecBoard arbeitet
1.Quellen sammeln
RSS-Feeds, Hersteller-Advisories, NVD, CISA, GitHub Advisories und Reddit werden kontinuierlich abgerufen.
2.Inhalte normalisieren
Rohdaten werden bereinigt, dedupliziert und in ein einheitliches Format gebracht.
3.Entitäten erkennen
CVEs, Hersteller, Produkte, Branchen, Technologien und Angriffsarten werden automatisch identifiziert.
4.Signale anreichern
CVSS, EPSS, KEV-Status, Quellenhäufigkeit, Reddit-Score und GitHub-Aktivität werden zusammengeführt.
5.Relevanz bewerten
Ein gewichtetes Scoring-Modell berechnet die operative Relevanz jedes Signals.
6.Inhalte zusammenfassen
KI erstellt kompakte Zusammenfassungen und Handlungsempfehlungen.
7.Lagebilder erzeugen
Artikel, Hottest Signals, Insights und Newsletter werden aus den priorisierten Signalen generiert.
Wie der Risk-Signal-Score gerechnet wird
Jedes Signal erhält einen Risk-Signal-Score von 0–100. Er summiert sich additiv aus den Komponenten unten (gedeckelt bei 100); CVSS und EPSS werden dabei linear bis zu ihrem Maximum skaliert (z. B. CVSS 8.0 → 20 Punkte, EPSS 40 % → 12 Punkte). Ab 75 Punkten gilt ein Signal als kritisch, ab 50 als hoch, ab 25 als mittel.
| Komponente | Punkte |
|---|---|
| KEV-Status – im CISA-Katalog aktiv ausgenutzt | +30 |
| EPSS – Ausnutzungswahrscheinlichkeit (linear skaliert) | +30 |
| CVSS – Schweregrad des Fehlers (linear skaliert) | +25 |
| Aktualität – jünger als 24 Stunden (7 Tage: +5) | +10 |
| Exploit-Hinweise – PoC, Metasploit, aktive Ausnutzung, Ransomware | +5 |
Wie Quellen bewertet werden
Eine Quelle wird nicht mit einer Zahl beschrieben, sondern mit vier unabhaengigen Angaben. Sie beantworten verschiedene Fragen und duerfen nicht gleichgesetzt werden: eine behoerdliche Warnung ist zugleich hoch gewichtet und oeffentlich beschafft, ein oeffentlich zugaenglicher Community-Beitrag kann trotzdem nichts belegen.
| Achse | Beantwortet |
|---|---|
| Vertrauensgewicht (0–1) | Wie schwer wiegt die Quelle bei der Sortierung? |
| Art | Behoerde, Herstellerforschung, Nachrichten, Community-Signal oder Exploit-Datenbank? |
| Verwendung | Taugt sie als Primaerbeleg, technischer Beleg, Kontext — oder nur zur Frueherkennung? |
| Herkunftsklasse | Auf welchem Weg wurde die Information beschafft: oeffentlich, kommerziell bezogen, eigene Erhebung oder Experteneinschaetzung? |
Zuverlaessigkeitsgrad
Zusaetzlich tragen Quellen einen Zuverlaessigkeitsgrad nach dem Admiralty-Schema (A bis F). Vergeben wird er nur dort, wo er begruendbar ist — nutzergetriebene Sammlungen bleiben bewusst ohne Grad, weil ihre Zuverlaessigkeit je Beitrag wechselt. Ein erfundener Buchstabe waere schaedlicher als keiner.
Zwei Ebenen, die aus den Signalen abgeleitet werden
Teilsektoren
Unter jeder Branche liegt eine zweite Ebene: Finanzen zerfaellt in Kreditinstitute, Versicherer, Finanzmarktinfrastruktur und Zahlungsdienstleister, Energie und Transport entsprechend. Die Zuordnung ist regelbasiert und nachvollziehbar; laesst sich eine Meldung nicht eindeutig zuordnen, wird das als solches ausgewiesen statt geraten.
Kill-Chain-Phase
Erkannte MITRE-ATT&CK-Techniken werden zusaetzlich einer Phase der Cyber Kill Chain zugeordnet — von Auskundschaften bis Zielhandlung. ATT&CK beschreibt, was ein Angreifer tut; die Kill Chain, wie weit er gekommen ist. Beides wird getrennt gefuehrt, weil es verschiedene Fragen beantwortet.
Rolle von KI
KI wird genutzt, um Inhalte zu verdichten, Signale zu strukturieren, Zusammenfassungen zu erstellen und mögliche Handlungsempfehlungen zu formulieren. KI ersetzt keine offizielle Sicherheitsbewertung und keine Hersteller-Advisories. Kritische Veröffentlichungen sollten immer mit offiziellen Quellen (CISA, Hersteller-Bulletins, CERTs) abgeglichen werden.
Transparenz und Grenzen
SecBoard ist eine Priorisierungshilfe, keine Garantie auf Vollständigkeit.
Offizielle Herstellerinformationen, CISA/KEV, CERTs und interne Asset-Daten bleiben entscheidend.
KI-generierte Inhalte sollten bei hoher Kritikalität durch eigene Recherche validiert werden.
SecBoard ist keine Rechtsberatung, keine Incident-Response-Beratung und kein Ersatz für eigene Risikoanalyse.