Loading...

PODCAST

ZweiOnCTI

Jan Dubs-Banholzer, Elias Schneider

ZweiOnCTI — CTI geschüttelt, nicht gerührtDer CTI-Podcast für den DACH-Raum. Operativ. Technisch. Evidenzbasiert.Cyber Threat Intelligence ohne Vendor-Lärm und ohne Lagebild-Routine. ZweiOnCTI nimmt sich pro Folge ein Konzept vor und zerlegt es bis dorthin, wo es im Alltag trägt — was funktioniert, was nicht, und warum. Keine Hersteller-Folien, keine Panik-Zahlen ohne Methodenfussnote, keine Frameworks-Bingo-Karten. Stattdessen: Pyramid of Pain, Intelligence Cycle, IOC-Halbwertszeit, Diamond Model,

technology

All Episodes

00:47:26

Dark Web Intelligence

ZweiOnCTI ·

2026/09/28

Die Quelle statt der Zahl — Dark-Web-Intelligence, ohne der Leak-Seite zu glauben.Im Januar taucht eine Erpressergruppe auf, die niemand kennt, und steht bis Ende März bei 253 Opfern: Krankenhäuser, Banken, Industrie. Dann bricht ein Bandenkrieg aus, eine rivalisierende Gruppe übernimmt die Infrastruktur und stellt die internen Protokolle ins Netz — es gab nie einen Einbruch. Keinen einzigen. Opferliste erfunden, Beweisdaten erzeugt, der Betrieb lief von einem Mobiltelefon. 253 Geister, aufgenommen

de

00:48:07

Malware Intelligence

ZweiOnCTI ·

2026/09/07

Das Verhalten statt der Byte-Folge — Malware-Intelligence, ohne dem Fingerabdruck zu glauben.Hundert Prozent Übereinstimmung, null Überschneidung mit irgendeiner anderen Datei: der Rich Header von Olympic Destroyer zeigte im Februar 2018 auf eine bekannte Lazarus-Komponente. Sauberer geht ein Beweis nicht. Er war hineingelegt — Feld für Feld nachgebaut, aufgeflogen nicht durch ein besseres Werkzeug, sondern durch manuelles Nachzählen. Dafür brauchte es ein echtes Sample der Gruppe, die belastet

de

00:52:47

OSINT-Methodik

ZweiOnCTI ·

2026/08/24

Der Grundriss statt der Fassade — OSINT, ohne an der Tür zu klingeln.„Senior ICS-Engineer, Erfahrung mit Siemens S7-1500" — ein Satz aus der Personalabteilung, und der Angreifer hält Port 102, S7comm, per s7-info Modell und Firmware, dazu das CISA-Advisory mit den bekannten Schwachstellen. Bevor ein Paket fliegt. Der Reflex, jetzt Anzeigen zu entschärfen, greift daneben: die Anzeige ist nicht die Lücke, sie ist der Zeitvorsprung — wer sie unpräzise macht, bekommt die falschen Bewerbungen. Dieselbe

de

00:49:48

C2-Infrastruktur

ZweiOnCTI ·

2026/08/10

Einzelschicht-Detektion ist tot, Layering lebt — C2 richtig jagen.Fünf Tage lebt ein Cobalt-Strike-Server im Median — die meisten lesen daraus die falsche Lektion: schneller Blocklisten pflegen. Das Fenster ist nicht das Problem, die Schicht ist es. Gemessen wird (Censys 2025) nur Scan-Sichtbarkeit, nicht Detektionstempo, nicht Operationsdauer: 11,2 Tage Mittel, 5,0 Median, und nur für Cobalt-Strike-Teamserver — Viper liegt bei 17,4/18,5, fast das Vierfache. Was das operativ heisst, zeigt LockBit

de

00:50:36

Passive DNS & Certificate Transparency

ZweiOnCTI ·

2026/08/04

Die unsichtbaren Zeugen — was das Internet über Angreifer speichert.Vierundneunzig Lookalike-Domains auf einer IP (45.79.222.138, AS63949 Akamai-Linode), quer durch elf Marken — Instagram und TikTok mit je zwölf, dazu FedEx, Zurich, Credit Suisse, Migros Bank — und jede löst auf openresty mit Reverse-Eintrag parklogic.net auf, Score null bei urlscan: Parking-Infrastruktur der .ph-Registry, kein Live-Phishing. 24 Stunden Maximum Merge Delay: kein Zertifikats-Eintrag ist älter als einen Tag. 33,5

de

00:54:26

Das Diamond Model

ZweiOnCTI ·

2026/07/13

Wenn die Karikatur das Modell ersetztElf. Vier. Sechs. Elf Bestandteile hat das Diamond Model von Caltagirone, Pendergast und Betz aus dem Jahr 2013 — vier Knoten, sechs Kanten, zwei Meta-Features, sieben Axiome. Vier davon kennt jede Vendor-Folie. Sechs der elf Bestandteile fallen in der Industrie-Lesart regelmässig unter den Tisch. Das ist die Karikatur, vor der Caltagirone selbst im Summary-Paper von 2020 warnt.In der fünften Sach-Folge zerlegen wir das Werkzeug in seiner vollen Tiefe — vier

de

01:05:35

Threat Actor Profiling — jenseits der APT-Namen

ZweiOnCTI ·

2026/06/29

Vier Probe-Fragen trennen ein Profil von einer IOC-Sammlung mit Briefkopf.Achtundzwanzig für Deutschland relevante APT-Gruppen meldet das BSI im Lagebericht 2025, zweiundzwanzig waren es im Lagebericht 2024 — und im Achtseiter steht offen, dass die Differenz keine Vollzählung ist, sondern eine Sichtbarkeitszählung auf Basis einer einzigen Vendor-Stichprobe plus Bundesbehörden-Telemetrie. Sieben Namen führt die MITRE-ATT&CK-Groups-Bibliothek für ein einziges Activity-Cluster: APT29, Cozy Bear,

de

00:54:18

Intelligence Requirements — PIRs die tatsächlich...

ZweiOnCTI ·

2026/06/15

Roberts-Kriterien, GIR-PIR-SIR-Hierarchie, drei DACH-Sektor-Builds liveDrei Worte heisst die meistgenannte Priority Intelligence Requirement in DACH-CTI-Programmen 2026: „Monitor Ransomware Threats." Vier Kriterien hat Scott Roberts 2016 für eine echte PIR formuliert — Singular, Atomic, Decision Centric, Timeliness. Hundertachtzig Anforderungs-Templates listet das Intel-471-CU-GIR-Framework, das in der DACH-Industrie regelmässig als PIR-Set missverstanden wird. Drei Worte, null Roberts-Kriterien

de

00:58:52

Der Intelligence Cycle — und wo er bricht

ZweiOnCTI ·

2026/06/01

Sechs Phasen, drei strukturelle Bruchpunkte, ein DACH-LehrstückVierunddreissig Tage liegen zwischen dem Initial Access bei der Landesverwaltung Kärnten am 21. April 2022 und der Detection am 24. Mai. Sechs Phasen umfasst der klassische Intelligence Cycle, der in jedem CTI-Lehrgang als kanonische Lehrform hängt. Sechsunddreissig Prozent der Programme messen laut SANS-CTI-Umfrage 2024 ihre Effektivität — vierundsechzig Prozent nicht. Drei Zahlen, die zusammengenommen die These der Folge tragen: der

de

00:49:35

Was ist CTI, wirklich?

ZweiOnCTI ·

2026/05/18

S1E01 — Was ist CTI, wirklich?Die Demontage der Gleichung „Feed gleich Intelligence"50.000. 5. 4. Fünfzigtausend Indikatoren verspricht die Sales-Folie pro Tag. Fünf Tage misst Censys als Median-Lebensdauer eines kommerziellen Cobalt-Strike-Command-and-Control-Servers. Vier Prozent Overlap haben zwei Premium-Threat-Intelligence-Feeds laut der bislang sauberen USENIX-Messung. Drei Zahlen, die zusammengenommen erklären, warum „mehr Feeds gleich mehr Breite" ein Vendor-Slogan ist, kein empirischer

de

00:38:39

Zahlen, die niemand hinterfragt

ZweiOnCTI ·

2026/04/29

S1E00 — Zahlen, die niemand hinterfragtMethodenkritik im DACH-Cybersecurity-Diskurs309.000. 280.000. 202 Milliarden. Drei Zahlen, die in jeder zweiten Vorstandspräsentation auftauchen — und drei Zahlen, deren Methodikseiten kaum jemand gelesen hat.In dieser Zwischenfolge legen wir die Quelldokumente nebeneinander: die BSI-Malware-Statistik, den Bitkom-Wirtschaftsschutzbericht, die BACS-Halbjahresberichte. Was misst eine „neue Malware-Variante" eigentlich? Ein veränderter Hashwert. Auch wenn an der

de

11 results

Similar Podcasts

Lead With AI

Tamara Nall

The Paul Barron Crypto Show

Paul Barron Network

Double Tap

Steven Scott, Shaun Preece, Steven...

The Interface

BBC

The Lunduke Journal of Technology

Bryan Lunduke