Erkennen Sie Schwachstellen schneller und beseitigen Sie sie, bevor sie ausgenutzt werden können

Herkömmliche OSINT-Tools greifen auf öffentlich indexierte oder offengelegte Daten zurück. Protokolle von Infostealer-Malware werden über private kriminelle Kanäle verbreitet, die niemals indexiert werden. Mit Phishing-Kits erbeutete Daten werden von den Betreibern zurückgehalten und privat gehandelt, bevor die Anmeldedaten aggregiert und öffentlich gelistet werden. SpyCloud dringt direkt in diese Kanäle ein und erlangt so die tatsächlich gestohlenen Identitätsdaten zurück. Über 80 % der in SpyClouds Datensatz enthaltenen Zugangsdaten bestehen aus Passwörtern im Klartext. Wettbewerber, die auf das Auslesen von Foren angewiesen sind, sehen nur das, was Kriminelle angeblich besitzen. SpyCloud verfügt über die Daten selbst. In Vergleichstests mit Flashpoint, Recorded Future und SOCRadar liegt SpyCloud hinsichtlich der Tiefe der im Klartext vorliegenden Zugangsdaten durchweg an der Spitze.

Ausgehend von einem einzigen übermittelten Selektor – darunter E-Mail-Adresse, Benutzername, IP-Adresse, Telefonnummer oder Passwort-Hash – durchsucht IDLink automatisch den gesamten von SpyCloud zurückgewonnenen Datensatz, um verbundene Benutzernamen, alternative E-Mail-Adressen, kontoübergreifend verwendete Passwörter, Geräte-Fingerabdrücke und Infrastrukturverknüpfungen aufzudecken. Da die Daten aus Infostealer-Protokollen und Datendiebstahlberichten stammen und nicht aus der Indizierung des Surface Webs, deckt das Tool Verbindungen auf, die OSINT-Tools nicht erfassen können. IDLink deckt pro Untersuchung achtmal mehr Identitätsdatensätze auf als herkömmliche OSINT-Methoden. Kunden berichten, dass sie zweitägige Untersuchungen auf vier Sekunden verkürzen konnten.

Die manuelle Korrelation über mehrere Datenquellen hinweg, um miteinander verbundene Identitäten von Bedrohungsakteuren zu ermitteln, nimmt Analysten in der Regel mehrere Tage in Anspruch. SpyCloud AI Insights automatisiert diese Korrelationsebene: Die Lösung wendet IDLink an, um miteinander verbundene Identitätsdaten aufzudecken, führt Musterabgleiche im von SpyCloud neu erfassten Datensatz durch, um Attributionssignale zu identifizieren, und generiert fertige Erkenntnisse mit Infrastrukturverknüpfungen und Verbindungen zu kriminellen Profilen, ohne dass eine manuelle Überprüfung jedes einzelnen Datensatzes erforderlich ist. Ein CTI-Leiter bei einem Fortune-100-Finanzdienstleistungsunternehmen berichtete, dass er pro Untersuchung mindestens 10 Minuten einsparen konnte. Ein SOC-Manager bei einer globalen Fluggesellschaft berichtete, dass er den Arbeitsaufwand im SOC von zwei Stunden auf wenige Minuten reduzieren konnte.

SpyCloud Cybercrime Investigations lässt sich nativ in Maltego integrieren und ermöglicht so eine visuelle Verknüpfungsanalyse mithilfe von mehr als 80 vorgefertigten Maltego-Transformationen. Dadurch können CTI-Analysten direkt aus einer aktiven Maltego-Untersuchung heraus in den Identitätsgraphen von SpyCloud wechseln. Für die in SIEM-Systeme eingebettete Anreicherung lässt sich SpyCloud in Splunk und Sentinel integrieren. Für benutzerdefinierte Analyse-Workflows bietet SpyCloud vorgefertigte Jupyter-Notebooks, die Abfrageergebnisse in einem Format liefern, das für Detailanalysen, Datenexporte und flexible Diagramme ausgelegt ist. Die Investigations-API ermöglicht es CTI-Teams, benutzerdefinierte Pipelines zu erstellen, die SpyCloud-Korrelationsergebnisse in jede beliebige Threat-Intelligence-Plattform einbinden.

Die Identitätskorrelationsdaten von SpyCloud wurden von CTI-Teams genutzt, um Ransomware-Betreiber, Mitglieder von Betrugsringen, staatlich gestützte Cyber-Agenten und nordkoreanische IT-Betrüger zu identifizieren. Forscher von SpyCloud Labs haben Identifizierungsergebnisse zu mehreren großen kriminellen Kampagnen veröffentlicht, darunter „Tycoon 2FA“ und andere Betreiber von AitM-Phishing-Kits. Die Fallstudie zur professionellen Networking-Plattform beschreibt einen Kunden, der mithilfe von SpyCloud Investigations Hunderte von Konten identifiziert hat, die mit Akteuren aus der DVRK in Verbindung standen, und deren Zugriffsrechte entzogen hat. Der von SpyCloud über einen Zeitraum von 10 Jahren neu erfasste Data Lake erfasst Muster der Identitätswiederverwendung über Operationen hinweg, die durch Monate oder Jahre voneinander getrennt sind und von neueren oder enger gefassten Datensätzen übersehen werden.