In der Fertigungsindustrie fallen hohe Ausfallkosten an, die bei großen Betrieben oft mehrere Millionen Dollar pro Stunde übersteigen. Dies führt dazu, dass Hersteller sehr motiviert sind, Lösegeld zu zahlen, und somit äußerst attraktive Ziele für Ransomware-Betreiber darstellen. Der erste Zugangsweg für die meisten Ransomware-Angriffe auf Hersteller verläuft über gestohlene Anmeldedaten von Mitarbeitern: Eine Infostealer-Infektion auf dem Gerät eines Mitarbeiters oder Auftragnehmers erfasst Anmeldedaten, die den Zugriff auf Unternehmenssysteme ermöglichen; diese Anmeldedaten werden auf kriminellen Märkten verkauft, und Ransomware-Betreiber erwerben und nutzen sie für den ersten Zugriff, bevor sie sich lateral auf OT-nahe Systeme ausbreiten. SpyCloud unterbricht diesen Weg, indem es die gestohlenen Anmeldedaten von den kriminellen Märkten zurückerobert, bevor die Betreiber sie nutzen können.

Anbieter aus dem Fertigungsbereich, darunter Ingenieurdienstleister, Wartungsunternehmen und Anbieter von Industrieautomationslösungen, verfügen häufig über einen VPN- oder Fernzugriff auf Anlagen- und OT-Netzwerke. Werden die Zugangsdaten eines Lieferantenmitarbeiters durch Infostealer-Malware oder Phishing gestohlen, können diese Zugangsdaten direkten Zugriff auf OT-Umgebungen in der Fertigung ermöglichen. Der „Supply Chain Threat Protection“ von SpyCloud überwacht die Domänen von Lieferantenmitarbeitern anhand wiedergewonnener krimineller Daten und deckt kompromittierte Lieferantenidentitäten auf – einschließlich der zugehörigen Anwendungszugriffsdaten, aus denen hervorgeht, auf welche Systeme der betreffende Mitarbeiter von seinem infizierten Gerät aus zugegriffen hat. Dadurch erhalten Sicherheitsteams in der Fertigung evidenzbasierte Informationen zu Lieferantenrisiken anstelle von auf Fragebögen basierenden Sicherheitsbewertungen.

Geistiges Eigentum im Fertigungsbereich, darunter Konstruktionsdateien, Prozessparameter und firmeneigene Rezepturen, ist ein hochkarätiges Ziel sowohl für böswillige Insider als auch für staatlich geförderte Industriespionage. SpyCloud deckt Insider-Risikosignale anhand krimineller Daten auf: einen Mitarbeiter, dessen persönlicher Identitäts-Fußabdruck Verbindungen zu krimineller Infrastruktur aufweist, dessen Anmeldedaten in Malware-Protokollen erscheinen, die mit Angriffstools in Verbindung stehen, oder dessen Geräte-Fingerabdruck mit der Infrastruktur bekannter Bedrohungsakteure korreliert. Im Falle staatlich gelenkter Angriffe deckt SpyCloud anhand der zurückgewonnenen Daten von Infostealern Infektionsmuster auf, die mit staatlich gelenkten Kampagnen gegen Industriezweige in Verbindung stehen. So erhalten Sicherheitsteams eine Frühwarnung vor gezielten Zugriffsversuchen, noch bevor es zum Diebstahl geistigen Eigentums kommt.

SpyCloud arbeitet auf der Ebene der IT-Identitäten und nicht auf der Ebene des OT-Netzwerks. Es vergleicht die Anmeldedaten von Mitarbeitern und Lieferanten, Sitzungstoken und Identitätsartefakte mit Daten aus kriminellen Quellen. Wird eine Kompromittierung erkannt, löst SpyCloud automatisierte Abhilfemaßnahmen über die IT-Infrastruktur (Active Directory, Okta, Entra ID) aus, um den Zugriffspfad des Angreifers zu unterbinden, bevor dieser von kompromittierten IT-Anmeldedaten aus eine Brücke zu OT-verbundenen Systemen schlagen kann. SpyCloud erfordert keine Integration in OT-Systeme, Netzwerke industrieller Steuerungssysteme oder die Infrastruktur der Fertigungsanlage. Der Schutz erfolgt an der IT-Identitätsgrenze, an der Ransomware-Angreifer in der Regel einen ersten Zugriff herstellen, bevor sie versuchen, sich seitlich in das OT-Netzwerk zu bewegen.

SpyCloud Supply Chain Threat Protection überwacht die Domains von Lieferantenmitarbeitern kontinuierlich anhand von wiedererlangten Datendiebstahlsdatensätzen, Protokollen von Infostealer-Malware, Phishing-Erfassungen und Kombolisten. Der „Identity Threat Index“ liefert für jeden überwachten Lieferanten eine zusammengesetzte Risikobewertung, die die Entwicklung der Sicherheitsrisiken im Zeitverlauf nachverfolgt. So können Sicherheitsteams in der Fertigungsindustrie erkennen, bei welchen Lieferanten sich die Offenlegung von Anmeldedaten häuft, noch bevor diese gegen Fertigungssysteme ausgenutzt werden. Bei risikoreichen Lieferanten mit umfangreichem OT-Zugriff kann SpyCloud die spezifischen Anwendungen aufzeigen, auf die ein Mitarbeiter des Lieferanten von einem infizierten Gerät aus zugegriffen hat, und so Sicherheitsteams dabei unterstützen, festzustellen, ob an OT angrenzende Systeme gefährdet sind.