Verbinden Sie die Zusammenhänge bei Cyberkriminalität schneller mit

SpyCloud-Ermittlungen

Standardmäßige OSINT-Abfragen liefern eindimensionale Ergebnisse – eine E-Mail-Adresse wird einem Satz von Datensätzen aus einer einzigen Quelle zugeordnet. SpyCloud Cybercrime Investigations nutzt die Identitätsanalyse von IDLink, um automatisch alle Artefakte zu durchforsten, aus denen sich eine digitale Identität zusammensetzt: E-Mail-Adressen, Backup-E-Mails, Benutzernamen, Telefonnummern, gemeinsam genutzte Passwörter, personenbezogene Daten (PII), Geräte-Fingerabdrücke und mehr als ein Dutzend weiterer Asset-Typen – und diese gleichzeitig mit Datendiebstahl-Datensätzen, Protokollen von Infostealer-Malware und Daten aus Phishing-Kampagnen zu korrelieren. Wenn ein Analyst einen einzelnen Selektor übermittelt, führt IDLink alle Abfragen im Hintergrund durch und liefert nur neue, hochrelevante Ergebnisse, wobei Identitätsmerkmale, die außerhalb des Untersuchungsbereichs liegen und die Analyse verlangsamen, entfernt werden. Das Ergebnis ist ein ganzheitlicher Identitätsgraph – keine bloße Liste von Datensätzen –, der Verbindungen zu alternativen Identitäten, krimineller Infrastruktur und Mitverschwörern aufdeckt, die bei Abfragen aus einer einzigen Quelle völlig übersehen werden. Die IDLink-Analysen von SpyCloud liefern pro Untersuchung achtmal mehr Identitätsdatensätze als herkömmliche OSINT-Methoden.

Wenn kriminelle Datensätze von kommerziellen Threat-Intelligence-Plattformen oder Aggregatoren für Datenlecks aufgedeckt werden, werden Passwörter in der Regel als Hash-Werte – SHA-1, MD5 oder bcrypt – bereitgestellt, die erst geknackt werden müssen, bevor sie für die Zuordnung oder Musteranalyse verwendet werden können. Das Knacken in großem Maßstab erfordert Zeit und Infrastruktur, über die die meisten Ermittlungsteams nicht verfügen, und viele Hashes lassen sich überhaupt nicht knacken. SpyCloud gewinnt Identitätsdaten direkt aus kriminellen Quellen zurück und knackt Passwörter im Rahmen des Erfassungsprozesses in Klartext. Mehr als 80 % der offengelegten Anmeldedaten im von SpyCloud zurückgewonnenen Datensatz enthalten Passwörter im Klartext, was eine sofortige Musteranalyse ermöglicht – beispielsweise die Identifizierung gemeinsam genutzter Passwörter bei verschiedenen Personen, die Korrelation der Passwortwiederverwendung mit bekannten Profilen von Bedrohungsakteuren oder die Verfolgung des Verhaltens eines Akteurs über mehrere Konten und Kampagnen hinweg, ohne auf das Knacken eines Hashs warten zu müssen. In Vergleichstests gegen Flashpoint, Recorded Future und SOCRadar wird die Tiefe der Klartext-Anmeldedaten von SpyCloud durchweg als die Funktion genannt, die den Test entscheidet.

Bei der aktiven Reaktion auf Vorfälle werden Zeiträume für die Zuordnung in Stunden und nicht in Wochen gemessen. Der typische DFIR-Workflow – das manuelle Durchsuchen von OSINT-Quellen, das Abgleichen von Anmeldedaten-Datenbanken, das Überprüfen von Malware-Protokoll-Aggregatoren und das Erstellen eines Profils des Angreifers – nimmt in der Regel mehrere Tage der Arbeitszeit eines Analysten in Anspruch. SpyCloud Cybercrime Investigations verkürzt diesen Zeitrahmen durch die Automatisierung der Korrelationsschicht. IDLink führt Identitätsabfragen automatisch im Hintergrund durch, sobald ein einzelner Selektor übermittelt wird, und AI Insights wandelt die Rohdaten zur Gefährdung in fertige Erkenntnisse um – analytische Zusammenfassungen mit Zuordnungssignalen, Indikatoren für Verhaltensmuster und Infrastrukturverknüpfungen –, ohne dass der Analyst jeden Datensatz manuell überprüfen und interpretieren muss. SpyCloud-Kunden berichten, dass sie mehrstündige SOC-Untersuchungen auf Minuten verkürzt haben; ein CAB-Kunde gab an, eine zweiwöchige Untersuchung auf vier Sekunden verkürzt zu haben. Für DFIR-Teams, die unter dem Druck der Reaktion auf Sicherheitsvorfälle arbeiten, besteht der operative Unterschied zwischen einer alarmbasierten Anreicherung und automatisiertem Identity Pivoting darin, ob die Zuordnung vor oder nach dem Abschluss des Vorfalls erfolgt.

Sowohl ein böswilliger Insider als auch ein Mitarbeiter, dessen Anmeldedaten durch Infostealer-Malware kompromittiert wurden, können ähnliche äußere Anzeichen aufweisen: ungewöhnliche Zugriffe, Übereinstimmungen von Anmeldedaten auf kriminellen Märkten oder markierte Konten bei einem Identitätsanbieter (IdP). Der Unterschied liegt in der Tiefe und Art der verfügbaren Identitätsdaten. SpyCloud Cybercrime Investigations gleicht die berufliche Identität eines Mitarbeiters mit dessen persönlichem Identitäts-Fußabdruck ab – einschließlich offengelegter Daten im Zusammenhang mit privaten E-Mail-Adressen, privaten Geräten und nicht-unternehmensbezogenen Konten, die in denselben Malware-Protokollen oder Datendiebstahl-Aufzeichnungen auftauchen. Ein kompromittierter, aber unschuldiger Mitarbeiter weist in der Regel ein konsistentes Identitätsprofil auf, das auf durch Malware offengelegte Anmeldedaten hinweist, jedoch keine Verbindung zu krimineller Infrastruktur aufweist. Ein böswilliger Insider oder ein aus Nordkorea stammender Remote-IT-Mitarbeiter, der sich als legitimer Mitarbeiter ausgibt, zeigt andere Muster – Identitätsmerkmale, die Verbindungen zu kriminellen Foren aufweisen, betrügerische Bewerbungen, bei denen bekannte Identitäten wiederverwendet werden, oder Querverweise auf bekannte feindliche Infrastrukturen. Die KI-gestützte ganzheitliche Identitätsplattform von SpyCloud wurde speziell entwickelt, um diese Muster im Rahmen von Ermittlungen zu unterscheiden, und ist damit das wichtigste Werkzeug für Untersuchungen zu Insider-Bedrohungen, bei denen zwischen krimineller Zugehörigkeit und Opferstatus unterschieden werden muss.

SpyCloud Cybercrime Investigations ist sowohl als No-Code-Analysemodul als auch als programmatische API verfügbar, sodass es in bestehende Ermittlungsworkflows integriert werden kann, ohne diese zu ersetzen. Die Investigations-API bietet direkten, abfragbaren Zugriff auf den von SpyCloud zurückgewonnenen Darknet-Datensatz – mit Unterstützung für Abfragen nach E-Mail-Adressen, Benutzernamen, IP-Adressen, Domains und anderen Selektoren – und lässt sich nativ in Maltego für die visuelle Verknüpfungsanalyse, in Splunk für die SIEM-integrierte Anreicherung sowie in Jupyter Notebook für benutzerdefinierte Analyse-Workflows integrieren. Analysten, die bereits Maltego nutzen, können die Maltego-Transformation von SpyCloud installieren, um mitten in einer Untersuchung direkt in den Identitätsgraphen von SpyCloud zu wechseln, ohne das Tool zu wechseln oder Daten zu exportieren. Die API unterstützt zudem die Korrelation mit externen Quellen wie VirusTotal und Whois und ermöglicht so die Anreicherung aus mehreren Quellen innerhalb einer einzigen Untersuchungssitzung. Für Teams, die einen UI-basierten Workflow ohne Programmieraufwand bevorzugen, bietet das Investigations-Modul dieselben IDLink-Pivoting- und AI Insights-Funktionen über eine Oberfläche, die für Analysten aller Erfahrungsstufen konzipiert ist.