VERHINDERN SIE KOSTSPIELIGE KONTOÜBERNAHMEN UND RANSOMWARE

Hochschuleinrichtungen weisen drei Merkmale auf, die das Risiko im Zusammenhang mit Zugangsdaten verstärken. Erstens eine große, stark wechselnde Studierendenschaft, die in großem Umfang private Geräte nutzt, Passwörter für Bildungs- und Privatkonten wiederverwendet und sich weniger an Sicherheitsmaßnahmen hält als geschulte Unternehmensmitarbeiter. Zweitens hochwertige Forschungsdaten, Verwaltungssysteme und Unterlagen zur Studienfinanzierung, die die Einrichtungen zu attraktiven Zielen für Ransomware machen. Drittens offene Netzwerkumgebungen und föderierte Identitätssysteme, die die Angriffsfläche über das hinaus erweitern, was mit herkömmlichen Unternehmenssicherheitsmaßnahmen bewältigt werden kann. Fast jedes dritte Ransomware-Opfer wies zuvor eine Infektion mit einem Infostealer auf, und Hochschuleinrichtungen sind überproportional häufig Ziel von Ransomware-Angriffen.

SpyCloud ist nicht auf Geräte-Agenten oder Endpunkt-Telemetrie angewiesen. Das Programm gewinnt Protokolle von Infostealer-Malware aus kriminellen Quellen zurück, in denen diese Protokolle verbreitet werden. Wenn das Gerät eines Studierenden oder eines Fakultätsmitglieds mit Infostealer-Malware infiziert wird und dessen institutionelle Zugangsdaten abgezogen werden, tauchen diese Zugangsdaten auf kriminellen Märkten auf – unabhängig davon, ob das Gerät im institutionellen MDM-System registriert war oder über einen Endpunktschutz verfügte. Durch die Überwachung institutioneller E-Mail-Domänen durch SpyCloud anhand dieser wiedergewonnenen kriminellen Daten werden Sicherheitslücken bei privaten und nicht verwalteten Geräten aufgedeckt, die für die Endpunktsicherheitstools des Campus völlig unsichtbar sind.

Hochschuleinrichtungen nutzen in der Regel Active Directory für lokale Systeme und Okta oder Azure AD für cloudbasiertes SSO zur Bereitstellung von Studentenportalen, Lernmanagementsystemen und Forschungsanwendungen. Sowohl SpyClouds „Active Directory Guardian“ als auch „Okta Workforce Guardian“ unterstützen diese gemischte Umgebung: ADG läuft lokal auf Domänencontrollern und löst automatische erzwungene Zurücksetzungen für kompromittierte Anmeldedaten im lokalen Verzeichnis aus, während „Okta Workforce Guardian“ die Cloud-Identitäten verwaltet und Sitzungssperren kaskadierend auf alle nachgelagerten Anwendungen in der SSO-Instanz übertragen kann. Beide Lösungen arbeiten kontinuierlich und nicht nach einem festgelegten Scan-Zeitplan – was für eine Einrichtung wichtig ist, in der sich die Offenlegung von Zugangsdaten in stressigen Phasen wie der Prüfungszeit und den Fördermittelzyklen rasch häufen kann.

NIST SP 800-63B, Abschnitt 5.1.1.2, schreibt eine kontinuierliche Überwachung anhand von Listen kompromittierter Anmeldedaten mit automatisierten erzwungenen Zurücksetzungen vor. Hochschuleinrichtungen, die den Vorschriften von FERPA, HIPAA (für Gesundheitssysteme auf dem Campus) und PCI DSS (für die Zahlungsabwicklung) unterliegen, müssen proaktive Identitätssicherheitsmaßnahmen nachweisen, die über Passwortrichtlinien und MFA hinausgehen. Die kontinuierliche Überwachung und automatisierte Behebung von Sicherheitslücken durch SpyCloud erfüllen die Anforderungen von NIST 800-63B und liefern die Audit-Dokumentation, die Compliance-Prüfer und institutionelle Auditoren benötigen. Penn State Health gehört zu den repräsentativen Kundenbeispielen, die SpyCloud im weiteren Bereich des Hochschulwesens und des Gesundheitswesens betreut hat.

Die Überwachung durch SpyCloud erfolgt domänenbasiert und nicht auf der Grundlage einzelner Konten. Das bedeutet, dass kontinuierlich nach offengelegten Anmeldedaten gesucht wird, die mit E-Mail-Domänen von Bildungseinrichtungen in Verbindung stehen, unabhängig von der Fluktuation der Konten. Neue Studentenkonten werden automatisch erfasst, sobald sie mit E-Mail-Adressen der Einrichtung eingerichtet werden. Absolventen oder Studienabbrecher, deren Zugangsdaten weiterhin auf kriminellen Märkten im Umlauf sind, werden so lange überwacht, bis ihre Konten vollständig deaktiviert sind. Die IDLink-Analysen von SpyCloud decken zudem Risiken durch die Wiederverwendung von Zugangsdaten auf: Ein Student, der sein Passwort der Einrichtung für ein persönliches Konto wiederverwendet hat, das später gehackt wurde, verursacht eine Sicherheitslücke, die bei der Überwachung auf exakte Domain-Übereinstimmungen übersehen wird, von IDLink jedoch erkannt wird.