Features
Bestätigt über unabhängige Beobachtungspunkte
Wie Cybora mehrere Beobachtungspunkte kombiniert, um aus einzelnen Hinweisen belastbarere Feed-Entscheidungen zu machen.
Zuletzt aktualisiert: 26. Juni 2026
Auf dieser Seite
Ein einzelner Indikator ist oft nur ein Hinweis. Ein Feed wird besser, wenn Signale miteinander korreliert werden: über Quellen, Verhalten, Zeit, Kategorien und unabhängige Beobachtungspunkte. Cybora nutzt diese Korrelation, um lokale Zufälle, einmalige Treffer und echte Kampagnen besser voneinander zu trennen.
Dabei geht es nicht darum, möglichst viele Quellen blind zu addieren. Entscheidend ist, ob unterschiedliche Signale dasselbe Risiko plausibel stützen.
Der Grundsatz ist einfach: Ein einzelner fehlgeschlagener Login, ein einzelner Firewall-Hit oder ein einzelner Listentreffer kann Rauschen sein. Wenn dieselbe Infrastruktur aber über mehrere unabhängige Umgebungen, Quellen oder Verhaltensmuster hinweg auffällt, steigt die Confidence deutlich.
Was korreliert werden kann
Typische Korrelationsachsen sind:
- dieselbe IP oder Domain taucht in mehreren unabhängigen Quellen auf
- ähnliche Aktivität wird über mehrere Zeitpunkte gesehen
- ein Indikator passt zu einer bekannten Verhaltenskategorie
- OSINT, kommerzielle Feeds, Sensorik und reale Firewall-Signale stützen sich gegenseitig
- Identity-Signale wiederholen sich über unabhängige Umgebungen
Je mehr unabhängige, frische und verhaltensnahe Evidenz zusammenkommt, desto stärker kann die Confidence werden.
Warum unabhängige Umgebungen zählen
Unabhängigkeit ist wichtig, weil sie lokale Fehlinterpretationen reduziert. Ein Treffer in einer einzelnen Umgebung kann durch Fehlkonfiguration, legitime Nutzung, NAT, VPNs, Shared Hosting oder eine einmalige Kampagne gegen genau dieses Ziel entstehen. Wiederholt sich dieselbe Quelle dagegen in mehreren voneinander unabhängigen Umgebungen, ist die Wahrscheinlichkeit höher, dass es sich um breit eingesetzte Angreifer-Infrastruktur handelt.
Diese Logik ist besonders wertvoll bei Signalen aus produktiven Firewalls und Identity-Systemen. Dort entscheidet nicht ein Rohereignis allein, sondern das Muster über mehrere Beobachtungspunkte.
Was intern bleibt
Die öffentliche Dokumentation beschreibt das Prinzip, nicht die Formel. Konkrete Quellgewichtungen, Schwellenwerte, Zeitfenster, Partnerquellen und Scoring-Details bleiben intern. Das schützt die Qualität des Feeds und verhindert, dass Angreifer die Aufnahme- und Entfernungskriterien ausnutzen.
Warum Korrelation für Admins zählt
Admins müssen einem Feed vertrauen können. Korrelation hilft, weil sie eine bessere Begründung liefert als ein einzelner Listentreffer. Sie unterstützt auch konservativere Entscheidungen bei riskanter Infrastruktur: Wenn ein Indikator nur schwach oder widersprüchlich auffällt, gehört er nicht automatisch in harte Block-Policies.