Graphbasierte Analyse
Maltego basiert auf einem graphbasierten Analysemodell. Die zentrale Benutzeroberfläche besteht aus einem interaktiven Netzwerkdiagramm (Graph), das Entities (Knoten) und deren Beziehungen (Kanten) visuell darstellt. Diese Entities können vielfältiger Natur sein: E-Mail-Adressen, Domänen, IP-Adressen, Personen, Telefonnummern, Social-Media-Accounts, Organisationen oder auch Dokumente.
Transforms – Das Herzstück von Maltego
Die Analyse erfolgt durch sogenannte Transforms, automatisierte Abfragen, die auf einer Entity ausgeführt werden, um weitere Informationen zu generieren. Diese Transforms können:
- DNS-Informationen auflösen (z. B. Domain → IP-Adresse)
- WHOIS-Daten abfragen
- Social-Media-Konten zu einer E-Mail-Adresse identifizieren
- Beziehungen zwischen Domains, Personen und Organisationen aufdecken
- Metadaten aus Dokumenten extrahieren
- Informationen aus Darknet-Quellen aggregieren
Maltego bietet sowohl lokale Transforms (z. B. Metadatenanalyse auf eigenen Dateien) als auch cloudbasierte Transforms, die externe OSINT-Quellen wie Shodan, HaveIBeenPwned, VirusTotal, Twitter, oder verschiedene Whois-Dienste nutzen.
Integration externer Datenquellen
Maltego lässt sich über die Transform Hub-Schnittstelle mit zahlreichen Datenquellen und APIs integrieren. Viele dieser Integrationen sind kommerziell (z. B. mit IBM X-Force, Recorded Future, ThreatConnect), andere kostenlos verfügbar. Über eigene Transform-Skripte (z. B. in Python) können Unternehmen auch interne Datenquellen anbinden und damit hybride Analysemodelle bauen.
Team Collaboration und Maltego CaseFile
Neben der regulären Analyse-Software existiert mit Maltego CaseFile eine Variante zur manuellen Diagrammerstellung ohne automatisierte Transforms – ideal zur Dokumentation und für kollaborative Ermittlungen. Die Teamfunktionen von Maltego erlauben außerdem das Teilen von Graphen, Findings und Transforms über ein zentrales Maltego-Server-Backend (Maltego CE/Enterprise).
Anwendungsbereiche in der Praxis
1. Cyber Threat Intelligence (CTI)
Maltego ermöglicht Analysten, Bedrohungsakteure zu identifizieren, TTPs (Tactics, Techniques and Procedures) zu visualisieren und Verbindungen zwischen kompromittierten Infrastrukturen offenzulegen.
2. Incident Response und Forensik
Bei Sicherheitsvorfällen unterstützt Maltego bei der Nachverfolgung von Angriffsvektoren, Quell-IPs, Phishing-Domains oder kompromittierten E-Mail-Adressen.
3. Penetration Testing und Red Teaming
Red-Teamer nutzen Maltego für umfassendes Reconnaissance – etwa zur Identifikation von Angriffsflächen über Social Engineering (z. B. durch LinkedIn-Analyse, Domain-Strukturen, E-Mail-Ketten).
4. Finanzermittlungen und Fraud-Analyse
Maltego wird genutzt, um Netzwerke zwischen Unternehmen, Transaktionen und Personen sichtbar zu machen – z. B. bei Geldwäsche, Korruptionsfällen oder Compliance-Verstößen.
5. Darknet- und Deep-Web-Analysen
Durch Integration entsprechender Anbieter lassen sich mit Maltego auch nicht-indexierte Inhalte analysieren und Verbindungen zu bekannten Entitäten aufdecken.
Vorteile von Maltego
- Intuitive Visualisierung: Die graphbasierte Darstellung erleichtert das Erkennen komplexer Zusammenhänge.
- Automatisierte OSINT-Analyse: Durch über 100+ Datenintegrationen lassen sich Recherchen massiv beschleunigen.
- Erweiterbarkeit: Eigene Transforms und API-Anbindungen ermöglichen die Integration interner Datenquellen.
- Kollaboratives Arbeiten: Team-Funktionen erleichtern die Zusammenarbeit in größeren Forensik- oder SOC-Teams.
- Umfangreiche Community-Edition: Die kostenlose Version (Maltego CE) bietet bereits viele OSINT-Funktionen für Einsteiger und Schulungszwecke.
Nachteile und Einschränkungen
- Lizenzkosten für Enterprise-Funktionen: Professionelle Features (z. B. API-Zugriffe auf Premiumdaten) sind nur in der kommerziellen Version verfügbar.
- Datenschutzprobleme bei OSINT-Quellen: Durch Abfragen öffentlicher Datenquellen (z. B. Social Media) können datenschutzrechtliche Konflikte entstehen.
- Komplexität bei großen Graphen: Bei sehr umfangreichen Untersuchungen kann die Performance leiden und die Visualisierung unübersichtlich werden.
- Starke Abhängigkeit von Drittanbieterdiensten: Die Qualität der Ergebnisse hängt von der Verfügbarkeit und Genauigkeit externer OSINT-Quellen ab.
Fazit: Maltego als zentrales OSINT-Tool für Sicherheitsanalysten
Maltego ist ein mächtiges Werkzeug für die visuelle Aufklärung digitaler Zusammenhänge. Es kombiniert graphische Analyse mit automatisierten OSINT-Recherchen und ist dadurch sowohl für erfahrene Sicherheitsanalysten als auch für Ermittlungsbehörden von großem Nutzen. Durch die Vielzahl verfügbarer Transforms und die Integration externer Datenquellen lassen sich selbst komplexe Angriffsketten oder Netzwerkverbindungen effizient nachvollziehen.
Trotz Lizenzkosten und gewisser technischer Einstiegshürden bietet Maltego einen hohen Mehrwert in der Cyberabwehr, der digitalen Forensik und im Threat Intelligence Umfeld. Für Unternehmen mit hohem Sicherheitsbedarf oder forensischen Aufgabenstellungen ist Maltego ein unverzichtbares Werkzeug im OSINT-Werkzeugkasten.
Autor
Michael Deinhard
