ESET hat am 12. November 2026 den Dienst Threat Intelligence Investigation Lab vorgestellt. Er verbindet die Abfrage verdächtiger IP-Adressen, Domains, URLs und weiterer Kompromittierungsindikatoren mit einer vertieften Analyse eingereichter Dateien in einer Cloud-Sandbox. Die Funktionen stehen als eigenständiger Dienst im ESET-Threat-Intelligence-Portal und über Schnittstellen zur Verfügung.
Das Angebot richtet sich an Security Operations Center (SOC), CERT-Teams und IT-Sicherheitsdienstleister. Es soll vor allem dann zusätzliche Informationen liefern, wenn Warnmeldungen vorhandener Sicherheitssysteme uneindeutig sind und Analysten vor einer Sperrung, Eskalation oder weiteren Untersuchung eine belastbarere Einschätzung benötigen.
Von der IOC-Abfrage zur Untersuchung einer Datei
Die erste Komponente, IOC Search, gleicht beobachtete Indikatoren mit der Telemetrie und den Bedrohungsdaten von ESET ab. Neben IP-Adressen, Domains und URLs lassen sich unter anderem Datei-Hashes und Hinweise auf Botnet- oder Command-and-Control-Infrastruktur prüfen. Für Sicherheitsteams ist das eine Möglichkeit, aus einem isolierten Alarm zusätzliche Erkenntnisse über bereits bekannte verdächtige Aktivitäten zu gewinnen.
Bleibt die Bewertung nach der Indikatorabfrage offen, kann über Sample Submission eine verdächtige Datei zur Verhaltensanalyse eingereicht werden. Die Cloud-Sandbox untersucht dabei die Ausführung und liefert einen Analysebericht. Beide Komponenten können unabhängig voneinander verwendet werden; eine IOC-Abfrage erfordert also nicht zwangsläufig den Upload einer Datei.
Die Einbindung ist sowohl über das Webportal als auch über eine API vorgesehen. ESET nennt insbesondere bestehende SIEM-, SOAR-, XDR- und Threat-Intelligence-Plattformen als mögliche Einsatzumgebungen. Investigation Lab ersetzt diese Systeme nicht, sondern ergänzt die vorhandene Alarmbearbeitung um weitere Prüf- und Analyseergebnisse.
Zwei Varianten mit unterschiedlichen Kontingenten
ESET bietet Investigation Lab und Investigation Lab Advanced an. In der Standardvariante sind laut Hersteller bis zu 1.000 IOC-Suchabfragen pro Tag beziehungsweise 5.000 pro Woche vorgesehen. Für die Sandbox gelten 50 Dateieinreichungen pro Tag beziehungsweise 250 pro Woche. Die erweiterten Kontingente der Advanced-Variante liegen bei 10.000 IOC-Abfragen pro Tag beziehungsweise 50.000 pro Woche und 500 Dateieinreichungen pro Tag beziehungsweise 2.500 pro Woche.
Beide Varianten besitzen API-Zugriff und Funktionen zur vertieften Verhaltensanalyse. Die Advanced-Ausführung bietet darüber hinaus anpassbare Sandbox-Einstellungen und eine höhere Bearbeitungspriorität. Die genannten Tages- und Wochenwerte sind jeweils eigenständige Grenzen, nicht addierbare Guthaben. Der Hersteller nennt auf der öffentlichen Produktseite keine allgemein gültigen Preise; die Verfügbarkeit und Vertragsbedingungen sind deshalb gesondert zu klären.
Unterschiede beim Umgang mit eingereichten Dateien
Bei der Untersuchung von Dateiproben spielt auch die Vertraulichkeit eine Rolle. Für die Standardvariante beschreibt ESET einen Modus, in dem die eingereichte Datei nach der Bearbeitung gelöscht wird, Bewertung und Hash jedoch erhalten bleiben. Für die erweiterte Variante wird ein höheres Datenschutzniveau angegeben, bei dem zusätzlich Analysebewertung und Hash entfernt werden. Diese Unterschiede sollten Unternehmen vor dem Einreichen interner Dokumente, ausführbarer Dateien oder vertraulicher Untersuchungsergebnisse berücksichtigen.
Die Bereitstellung über einen externen Analysedienst bedeutet nicht, dass jede Datei bedenkenlos übertragen werden darf. Interne Datenschutzvorgaben, Schutzbedarfsbewertungen und gegebenenfalls vertragliche Regelungen zur Verarbeitung müssen weiterhin berücksichtigt werden. Aus der Beschreibung der Löschverfahren lässt sich insbesondere keine generelle Freigabe für sensible Unternehmensdateien ableiten.
Nutzen für Security-Teams und Dienstleister
Für ein SOC oder einen Managed Security Service Provider kann die Kombination aus IOC-Suche und Dateianalyse die Bearbeitung unklarer Vorfälle vereinfachen: Ein Alarm aus dem vorhandenen Monitoring wird zunächst anhand von Bedrohungsdaten eingeordnet; bei verbleibenden Zweifeln liefert eine isolierte Dateiausführung zusätzliche Hinweise auf Netzwerkverbindungen, Folgeschritte oder andere verdächtige Verhaltensweisen.
Eine automatische Erkennung oder Blockierung sämtlicher Angriffe lässt sich daraus nicht ableiten. Die eigentliche Reaktion – etwa das Sperren einer Domain, das Isolieren eines Rechners oder das Schließen eines Fehlalarms – bleibt Teil des Incident-Response-Prozesses. Für private ESET-Anwender ist die Erweiterung kein gewöhnliches Update des installierten Virenschutzes, sondern ein separates Angebot für professionelle Sicherheitsanalysen.
Weitere Informationen
ESET beschreibt die Einführung in seiner Mitteilung vom 12. November 2026. Die offizielle Produktübersicht enthält die Funktionsunterschiede, Kontingente und Angaben zum Umgang mit Dateien. Einzelheiten zur Bedienung stehen in der ESET-Onlinehilfe. Eine gleichwertige aktuelle deutschsprachige Produktankündigung war bei der Recherche nicht auffindbar.
Meroth IT-Service ist Ihr lokaler IT-Dienstleister in Frankfurt am Main für kleine Unternehmen, Selbstständige und Privatkunden
Kostenfreie Ersteinschätzung Ihres Anliegens?
Werbung
(**) UVP: Unverbindliche Preisempfehlung
Preise inkl. MwSt., zzgl. Versandkosten