AUF AUFGABEN AUSGERICHTETER SCHUTZ VOR IDENTITÄTSBEDROHUNGEN

Sowohl das OMB-Memorandum M-22-09 als auch das „Zero Trust Maturity Model“ der CISA verlangen eine kontinuierliche Überwachung und Validierung der Benutzeridentität anstelle einer perimeterbasierten oder nur zum Zeitpunkt der Anmeldung erfolgenden Authentifizierung. SpyCloud liefert die Informationen zu externen Identitätskompromittierungen, die bei Zero-Trust-Implementierungen auf Bundesebene in der Regel fehlen: die kontinuierliche Erkennung von offengelegten Zugangsdaten von Mitarbeitern durch kriminelle Quellen, einschließlich Dateneinbruchsberichten, Protokollen von Infostealer-Malware und Phishing-Aufzeichnungen, die keine internen Signale erzeugen, bis ein Angreifer darauf reagiert. SpyCloud lässt sich in Okta, Active Directory und Entra ID integrieren, um innerhalb von 5 Minuten nach der Erkennung einer bestätigten Kompromittierung automatisierte Abhilfemaßnahmen auszulösen und erfüllt damit die Anforderung der kontinuierlichen Validierung.

SpyCloud ist über die Vertragsmodelle „GSA Multiple Award Schedule“ (MAS) und „SEWP“ (Solutions for Enterprise-Wide Procurement) erhältlich, was den Beschaffungsprozess für Bundesbehörden vereinfacht. SpyCloud unterstützt zudem die Beschaffung über den AWS Marketplace und den Azure Marketplace für Behörden, die cloudbasierte Beschaffungsmodelle nutzen. Bei geheimen oder sensiblen Einsatzanforderungen arbeitet das Bundesvertriebsteam von SpyCloud mit den Vertragsbeauftragten der Behörden zusammen, um geeignete Vereinbarungen auszuarbeiten. SpyCloud ist bereits bei US-Bundesbehörden sowohl im zivilen als auch im Verteidigungsbereich im Einsatz.

Staatlich gestützte Angreifer, die es auf Bundesbedienstete abgesehen haben, setzen Infostealer-Malware, Phishing-Kampagnen und Credential Stuffing gegen die Systeme von Bundesbehörden ein. SpyCloud fängt die gestohlenen Identitätsdaten ab, die diese Akteure generieren und über kriminelle Märkte verbreiten, und deckt so die durch diese Kampagnen offengelegten Zugangsdaten von Bundesbediensteten auf, bevor die Daten für böswillige Zwecke missbraucht werden können. Die Identitätskorrelationsfunktion von SpyCloud unterstützt zudem die Zuordnung von Bedrohungsakteuren: Durch die Verknüpfung von Zugangsdaten-Artefakten aus einer Kampagne mit bekannten Mustern krimineller Infrastrukturen können CTI-Teams der Bundesbehörden Angriffe bestimmten Bedrohungsgruppen zuordnen und der CISA sowie Strafverfolgungsbehörden verwertbare Erkenntnisse liefern.

SpyCloud unterstützt die NIST SP 800-53-Kontrollen für kontinuierliche Überwachung (CA-7) sowie Identifizierung und Authentifizierung (IA-5), die von Behörden die Implementierung automatisierter Mechanismen zum Abgleich von Anmeldedaten mit Listen kompromittierter Zugangsdaten sowie zur Überwachung auf unbefugte Zugriffsversuche verlangen. SpyCloud unterstützt zudem die Funktionen „Erkennung und Reaktion“ des NIST Cybersecurity Framework 2.0 durch die Bereitstellung externer Bedrohungsinformationen, die die internen Erkennungsfähigkeiten ergänzen. Für Behörden, die sich im FedRAMP-Prüfungsverfahren befinden, kann die Implementierungsdokumentation von SpyCloud in die System-Sicherheitspläne und die Aktionspläne integriert werden.

Die Plattform „Cybercrime Investigations“ von SpyCloud wird von Bundesvollzugsbehörden und Nachrichtendiensten zur Identifizierung von Straftätern und zur Ermittlung von Bedrohungsakteuren genutzt. Der von SpyCloud zusammengestellte Datensatz aus Datendiebstahlberichten, Logs von Infostealern und Phishing-Erfassungen liefert Ermittlungsansätze, die mit herkömmlichen OSINT-Methoden nicht erreichbar sind. Die „Investigations API“ lässt sich in bestehende Workflows für Fallmanagement und Informationsanalyse integrieren. Forscher von SpyCloud Labs haben bei mehreren groß angelegten Operationen zur Zerschlagung von Cyberkriminellen mit den Strafverfolgungsbehörden des Bundes zusammengearbeitet und Forschungsergebnisse zur Zuordnung bedeutender krimineller Kampagnen veröffentlicht, darunter große Ransomware-Betreiber und die Infrastruktur von Bedrohungsakteuren aus der DVRK.