Reagieren Sie auf Identitätsbedrohungen, bevor sie zu Vorfällen werden

Generische Tools zur Überwachung von Anmeldedaten liefern große Mengen an Datendiebstahl-Datensätzen, sodass Analysten manuell feststellen müssen, bei welchen es sich um aktive Bedrohungen und bei welchen um veraltete Daten handelt. SpyCloud ergänzt jeden Datensatz zu einer Sicherheitslücke um eine Schweregradbewertung, Metadaten zur Quelle der Sicherheitslücke, den Anmeldedaten-Typ (Klartext vs. Hash), den Zeitpunkt der Erfassung sowie – bei Datensätzen, die auf Malware zurückzuführen sind – die Malware-Familie und den Infektionspfad. Anhand dieser Kontextinformationen können SOC-Analysten sofort einschätzen, welche Sicherheitslücken ein aktives Risiko darstellen, und sie an den entsprechenden Reaktions-Workflow weiterleiten, anstatt Zeit mit Datensätzen zu verbringen, die bereits behoben wurden oder historische Daten mit geringem Risiko darstellen.

SpyCloud lässt sich zur SIEM-Anreicherung in Splunk, Microsoft Sentinel, Elastic, Google Chronicle und Devo integrieren und liefert Sicherheitsvorfälle als strukturierte Warnmeldungen mit Angaben zur Quelle des Sicherheitsverstoßes, zur Art der Zugangsdaten und zum Schweregrad. Für SOAR-Plattformen wie Palo Alto Cortex XSOAR, Tines und Swimlane umfassen die SpyCloud-Integrationen einsatzbereite Playbooks für die Reaktion auf Vorfälle. Zu den gängigen automatisierten Workflows gehören das Auslösen erzwungener Passwort-Zurücksetzungen für Mitarbeiter mit bestätigten Zugangsdaten-Expositionen, das Erstellen von Tickets mit hoher Priorität für mit Malware infizierte Benutzer sowie die Eskalation von Sitzungen mit bestätigten gestohlenen Cookies zur sofortigen Sperrung.

SpyCloud liefert bei jeder Infostealer-Infektion detaillierte Informationen auf Geräteebene: die vollständige Liste der aus allen Browserprofilen und Anwendungen exfiltrierten Anmeldedaten, die Anzahl der zusammen mit diesen Anmeldedaten gestohlenen Sitzungs-Cookies, die von der Malware erfassten personenbezogenen Daten (PII), die verantwortliche Malware-Familie sowie den Infektionspfad und die Ziel-URLs. Die Anzahl der Sitzungs-Cookies ist das wichtigste Indiz für die Einstufung. Ein Gerät mit einer hohen Anzahl an Cookies deutet auf einen weitreichenden Kompromittierungsumfang hin, der eine umfassende Untersuchung des Geräts und die Sperrung von Sitzungen in allen betroffenen Anwendungen erfordert – nicht nur eine Passwortzurücksetzung.

SpyCloud Cybercrime Investigations bietet IR-Teams die Möglichkeit zur Identitätskorrelation, um nachzuvollziehen, wie ein Angreifer sich den ersten Zugriff verschafft hat. Ausgehend von einem beliebigen bekannten Indikator – beispielsweise der E-Mail-Adresse eines Mitarbeiters, einem Benutzernamen oder einer IP-Adresse – durchsucht IDLink automatisch Datensätze zu Sicherheitsverletzungen, Protokolle von Infostealern und Phishing-Erfassungen, um die wahrscheinlich verwendeten Anmeldedaten oder Sitzungsartefakte aufzudecken. Bei Ransomware-Vorfällen, bei denen zuvor eine Infostealer-Infektion dokumentiert wurde, kann SpyCloud das spezifische Malware-Protokoll, die Details des infizierten Geräts sowie die Anwendungen aufzeigen, deren Anmeldedaten bei der ursprünglichen Infektion abgezogen wurden.

SpyCloud erfasst jeden Monat kontinuierlich mehr als 25 Milliarden gestohlene Identitätsdaten, wobei neue Daten in der Regel innerhalb von Stunden bis Tagen nach ihrem Erscheinen auf kriminellen Märkten verfügbar sind. Protokolle von Infostealer-Malware werden innerhalb von Stunden bis Tagen nach ihrer Wiederbeschaffung verarbeitet. Daten aus Datenlecks stehen innerhalb von Tagen nach ihrer Veröffentlichung durch Kriminelle zur Verfügung. Das bedeutet, dass SOC-Teams Daten zu Sicherheitslücken im gleichen Zeitraum erhalten, in dem kriminelle Akteure diese erwerben und testen – oft noch bevor sie in einem gezielten Angriff als Waffe eingesetzt werden.