Cybersicherheit

Verteidigungs-Cybersicherheit adressiert Bedrohungen durch staatliche Akteure, muss in air-gapped oder klassifizierten Netzwerken arbeiten, erfordert freigabebewusste Zugangskontrollen, folgt spezifischen Rahmenwerken (NIST RMF, DoD CYBERSAFE) und muss Missionssysteme schützen, in denen Verfügbarkeit so kritisch ist wie Vertraulichkeit.

Eine CTI-Plattform sammelt, korreliert und operationalisiert Informationen über Cyberbedrohungen — Indikatoren für Kompromittierung, TTPs von Angreifern, Schwachstellen, OSINT-Signale — um Verteidigungsmaßnahmen zu informieren, Analysten zu alarmieren und SIEM/SOAR-Systeme zu speisen.

SIEM (Security Information and Event Management) aggregiert und korreliert Sicherheitsereignisse zur Erkennung und Untersuchung. SOAR (Security Orchestration, Automation and Response) automatisiert Reaktions-Playbooks — beide werden in modernen Verteidigungs-SOCs typischerweise zusammen eingesetzt.

Ein air-gapped Security Operations Center überwacht klassifizierte oder isolierte Netzwerke ohne direkte Verbindung zum öffentlichen Internet. Bedrohungsfeeds und Signaturen werden über Cross-Domain-Lösungen oder manuellen Import übertragen, und Tools laufen vollständig in der geschützten Enklave.

OSINT-Monitoring (Open Source Intelligence) für die Cyberverteidigung umfasst die systematische Sammlung und Analyse öffentlich verfügbarer Daten — Bedrohungsforen, Telegram-Kanäle, Paste-Sites, Social Media und Dark-Web-Marktplätze — zur Identifizierung von Kompromittierungsindikatoren und Angriffsplanungssignalen. Die Corvus.Sense-Plattform von Corvus Intelligence nutzt LLMs zur Automatisierung dieser Analyse und reduziert den manuellen Aufwand für das Monitoring hoher Volumina von Telegram-Bedrohungskanälen in mehreren Sprachen.

DevSecOps integriert Sicherheitskontrollen direkt in die Software-Lieferpipeline, anstatt Sicherheit als letzte Instanz zu behandeln. Im Verteidigungskontext bedeutet dies automatisches SAST/DAST-Scanning, SBOM-Generierung bei jedem Build, Tracking von Abhängigkeitsschwachstellen, Infrastructure-as-Code-Sicherheitsscannen und kontinuierliche Compliance-Nachweiserstellung gemäß ISO 27001 und NIST SP 800-53.

Eine SBOM ist ein maschinenlesbares Inventar jeder Softwarekomponente — Bibliotheken, Abhängigkeiten und deren Versionen — eines gelieferten Systems. Verteidigungsbeschaffung verlangt zunehmend SBOMs, da sie Sicherheitsteams ermöglichen, die Exposition bei einer neuen Schwachstelle schnell zu bewerten. In NATO- und US-DoD-Kontexten werden SBOM-Anforderungen in RFPs und Vertragslieferungen eingebettet.

Zero-Trust setzt voraus, dass kein Benutzer, Gerät oder Netzwerksegment implizit vertrauenswürdig ist — jede Zugriffsanfrage muss kontinuierlich authentifiziert, gegen Richtlinien autorisiert und protokolliert werden. Für Militärnetzwerke bedeutet dies kryptografische Identität (STANAG 4774/4778 Klassifizierungsmarkierungen, PKI-Zertifikate), Mikrosegmentierung und kontinuierliches Monitoring — auch innerhalb klassifizierter Enklaven.

Operative Technologie (OT) und industrielle Steuerungssysteme (ICS) in Verteidigungseinrichtungen — Stromversorgung, HLK, Zugangskontrolle, Waffensystemschnittstellen — werden zunehmend von Gegnern angegriffen. Anders als IT-Systeme kann OT nicht häufig gepatcht werden und muss Verfügbarkeit vor allem anderen sicherstellen. OT-Sicherheit in der Verteidigung basiert auf passivem Monitoring, Netzwerksegmentierung nach dem Purdue-Modell und unidirektionalen Gateways.

Corvus Intelligence entwirft und entwickelt militärische Cybersicherheitsplattformen einschließlich LLM-gestützter Bedrohungsintelligenz-Pipelines, SOC-Dashboards, SIEM-Integrationen, automatisierter Incident-Response-Systeme und Cross-Domain-Lösungen. Das Team hat direkte operative Erfahrung im Betrieb eines SOC unter aktiven Kampfbedingungen in der Ukraine — Erkennung gegen reale staatliche Akteure.

Verteidigungs-Cybersicherheit operiert unter Bedrohungen durch staatliche Akteure, mit Anforderungen an klassifizierte Netzwerke, air-gapped-Infrastruktur, strengen Akkreditierungsrahmenwerken (ISO 27001, AQAP 2110, NIST SP 800-53) und der Einschränkung, dass Abwehrmaßnahmen die operative Einsatzfähigkeit nicht beeinträchtigen dürfen. Kommerzielle Cybersicherheitspraktiken müssen – obwohl auf technischer Ebene anwendbar – für den Umgang mit Verschlusssachen, Cross-Domain-Lösungen und die Realität angepasst werden, dass Verteidigungsnetzwerke aktive Ziele hochentwickelter Angreifer sind.

Ein SIEM (Security Information and Event Management) aggregiert Protokolle und Sicherheitsereignisse aus dem gesamten Netzwerk, normalisiert sie und wendet Erkennungsregeln an, um Alarme auszulösen. Eine SOAR-Plattform (Security Orchestration, Automation, and Response) nimmt SIEM-Alarme und automatisiert den Reaktions-Workflow – Abfragen von Bedrohungs-Feeds, Isolierung von Endpunkten oder Eskalation zu Analysten. In klassifizierten Verteidigungsumgebungen müssen SOAR-Playbooks obligatorische menschliche Bestätigungsschritte vor jeder Aktion enthalten, die operative Systeme beeinflussen könnte.