CCNP CyberOps Professional Concentration — Threat Hunting (CBTHD 300-220)

Threat Hunting ist die proaktive Suche nach Angreifern, die klassische Detection-Mechanismen umgangen haben. Cisco CBTHD (Conducting Threat Hunting and Defending using Cisco Technologies for CyberOps, 300-220) ist die Concentration-Spezialisierung im CCNP CyberOps Track. Zusammen mit dem Core-Exam 350-201 CBRCOR führt sie zur CCNP CyberOps Professional. Themen: Threat Hunting-Methodologie — Hunt Maturity Model nach David J. Bianco (HMM0 Initial, HMM1 Minimal, HMM2 Procedural, HMM3 Innovative, HMM4 Leading), Hunting Maturity Assessment. Hypothesis-Driven Hunting (basierend auf Threat Intelligence, MITRE ATT&CK Techniques, abnormalen Patterns). MITRE ATT&CK Framework vertieft — Tactics (TA0001 Initial Access bis TA0040 Impact), Techniques und Sub-Techniques (>600 dokumentierte), Procedures (Real-World-Examples), ATT&CK Navigator für Heatmap-Visualisierungen, ATT&CK Evaluations für Tool-Vergleiche. Cyber Kill Chain (Lockheed Martin), Diamond Model of Intrusion Analysis (Adversary, Capability, Infrastructure, Victim). Pyramid of Pain für IoC-Hierarchie (Hash, IP, Domain, Network/Host Artifacts, Tools, TTPs). Hunting-Datenquellen: Endpoint-Telemetrie (EDR-Logs, Sysmon, Windows Event Logs mit Event-IDs wie 4624 Logon, 4688 Process Creation, 1102 Audit Log Cleared), Network-Telemetrie (NetFlow, IPFIX, PCAP, Zeek/Bro, Suricata, Cisco Stealthwatch, Encrypted Traffic Analysis ETA), Cloud-Logs (CloudTrail, Azure Activity Log, GCP Audit Logs), Identity-Logs (Microsoft Entra ID Audit, Okta System Log), DNS Logs für DNS-Tunneling und DGA Detection. Cisco-Tools vertieft: Cisco Secure Endpoint (ehemals AMP for Endpoints), Cisco Secure Network Analytics (ehemals Stealthwatch) mit Encrypted Traffic Analytics, Cisco Umbrella (DNS-Layer Security mit Threat Intelligence), Cisco SecureX als XDR-Plattform für Integration. Hunting-Use-Cases praktisch: Lateral Movement (Pass-the-Hash, Pass-the-Ticket, WMI/PsExec/PSRemoting Abuse), Persistence (Scheduled Tasks, Run Keys, WMI Subscriptions), Privilege Escalation, Defense Evasion (Process Injection, AMSI Bypass, Living Off The Land Binaries — LOLBins), Exfiltration (DNS Tunneling, Cloud Storage Abuse). Threat Intelligence Integration (MISP, OpenCTI, kommerzielle Feeds wie Recorded Future, Mandiant), IoC-Pivoting (von einem IoC alle related finden). Exam: 90-110 Minuten, ~60 Fragen, kein offizieller Pass-Score (Cisco gibt nicht heraus), erfahrungsgemäß ~825/1000.