Verschaffen Sie sich einen umfassenden Überblick über Ihre Risiken

mit IDLink™ Analytics

Bei der Exact-Match-Überwachung wird geprüft, ob eine bestimmte geschäftliche E-Mail-Adresse oder ein bestimmter Benutzername in einem Datenleck, einem Malware-Protokoll oder einem Phishing-Datensatz auftaucht. Es werden Ergebnisse für genau diesen einen Identifikator zurückgegeben, und damit ist die Überprüfung abgeschlossen. Das Problem ist, dass die meisten Mitarbeiter in ihrem digitalen Alltag mehrere E-Mail-Adressen, private Konten und Benutzernamen verwenden und Passwörter häufig für verschiedene Konten wiederverwenden. Wenn ein privates Konto gehackt wird und die gestohlenen Zugangsdaten ein Passwort enthalten, das mit dem aktuellen Unternehmenspasswort des Mitarbeiters übereinstimmt, liefert ein Exact-Match-Scan der Unternehmens-E-Mail keine Ergebnisse – da die Unternehmensadresse bei dem Datenleck nicht offengelegt wurde. Die Gefährdung besteht zwar, ist für Exaktabgleich-Tools jedoch unsichtbar. SpyCloud IDLink behebt dieses Problem, indem es automatisch Querverweise über alle mit einer Person verbundenen Identitätsmerkmale durchführt: geschäftliche E-Mail-Adressen, private E-Mail-Adressen, Backup-E-Mail-Adressen, Benutzernamen, gemeinsam genutzte Passwörter, personenbezogene Daten (PII), Geräte-Fingerabdrücke und mehr als ein Dutzend weitere Asset-Typen. Es erstellt einen vernetzten Identitätsgraphen, der geschäftliche und private Gefährdungen miteinander verknüpft, und liefert anschließend nur die Ergebnisse, die für das Unternehmensrisiko relevant sind. Im Vergleich zu Exaktübereinstimmungsabfragen findet IDLink durchschnittlich achtmal mehr Identitätsdatensätze pro Benutzer, 14-mal mehr Passwörter im Klartext, fünfmal mehr E-Mail-Adressen und doppelt so viele Malware-Einträge.

Die Wiederverwendung von Passwörtern zwischen privaten und beruflichen Konten ist einer der häufigsten und am schwersten zu erkennenden Einstiegspunkte für ATO-Angriffe. Ein Mitarbeiter, der dasselbe Passwort für sein privates Gmail-Konto und seinen Okta-SSO-Login verwendet, birgt ein Risiko, das kein Überwachungstool des Unternehmens durch eine Erkennung exakter Übereinstimmungen aufdecken kann – da bei der Gmail-Datenschutzverletzung die berufliche E-Mail-Adresse nicht offengelegt wird. IDLink schließt diese Lücke, indem es die berufliche Identität des Mitarbeiters mit seinem gesamten persönlichen Identitätsprofil abgleicht. Wenn die Daten von SpyCloud einen Datenpanne-Eintrag enthalten, der eine offengelegte private E-Mail-Adresse mit einem bestimmten Passwort aufzeigt, und IDLink feststellt, dass diese private E-Mail-Adresse zu einem Mitarbeiter gehört, dessen aktuelles Passwort für das berufliche Konto mit dem offengelegten Passwort übereinstimmt, kennzeichnet es die Gefährdung und löst Abhilfemaßnahmen über Active Directory, Okta oder Entra ID aus. Dadurch können „Identity Guardians“ mit aktiviertem IDLink pro Benutzer 14-mal mehr Klartext-Passwörter finden als bei einer Exact-Match-Überprüfung. Bei einer Überwachung auf exakte Übereinstimmungen bliebe das Konto des Mitarbeiters auf unbestimmte Zeit anfällig, da die Offenlegung niemals die Unternehmensdomäne betrifft.

IDLink verarbeitet mehr als 200 Arten von Identitätsdaten, die aus dem Darknet-Datensatz von SpyCloud gewonnen wurden, darunter aktuelle und historische E-Mail-Adressen, E-Mail-Adressen für Backups und Wiederherstellungen, Benutzernamen bei verschiedenen Diensten, Passwörter im Klartext und als Hash, Telefonnummern, Postanschriften, Geräte-Fingerabdrücke, IP-Adressen, Metadaten zu den Quellen von Datenlecks sowie Telemetriedaten zu Malware-Infektionen. Wenn IDLink eine Abfrage zu einer Unternehmensmitarbeiter- oder Verbraucheridentität durchführt, wertet es im Hintergrund automatisch alle verfügbaren Verbindungen zwischen Identitätsdaten aus und erstellt so einen Identitätsgraphen, der Datensätze aus Datenpannen, Protokollen von Infostealer-Malware und Phishing-Erfassungen über die gesamte digitale Historie dieser Person hinweg miteinander verknüpft. Entscheidend ist, dass IDLink nicht alle gefundenen Ergebnisse zurückgibt. Es wendet Relevanzfilter an, um nicht relevante Identitätsdaten zu entfernen, die keinen Bezug zum jeweiligen Unternehmensrisiko haben. Dadurch bleiben die Ergebnisse umsetzbar und nicht mit irrelevanten Informationen überladen. Das Ergebnis ist eine kuratierte Sammlung von Sicherheitsrisiken, die mit der Identität des jeweiligen Benutzers verknüpft sind – und kein roher Datensatz aller Datensätze, die mit benachbarten Datenpunkten assoziiert sind. Diese Präzision ermöglicht es SOC-Teams, IDLink-gestützte Untersuchungen in großem Maßstab durchzuführen. Ein Kunde berichtete nach der Einführung von einer Steigerung der Analystenproduktivität um 400 %.

Bei Ermittlungen im Bereich der Cyberkriminalität liefert ein einzelner Datenpunkt – eine E-Mail-Adresse, ein Benutzername, eine IP-Adresse – selten das vollständige Bild darüber, wer hinter einem Angriff steckt. Manuelle OSINT-Recherchen über mehrere Quellen hinweg, um verbundene Identitäten, alternative Identitäten und Infrastrukturen zu finden, nehmen Tage an Arbeitszeit der Analysten in Anspruch und führen häufig in eine Sackgasse, wenn die Daten nicht in indexierten öffentlichen Quellen zu finden sind. IDLink automatisiert die Korrelationsschicht. Ausgehend von einem einzigen Suchkriterium durchsucht IDLink automatisch den gesamten Darknet-Datensatz von SpyCloud, um verbundene Benutzernamen, alternative E-Mail-Adressen, für mehrere Konten verwendete gemeinsame Passwörter, Geräte-Fingerabdrücke und Infrastrukturverknüpfungen aufzudecken, die die Zielidentität mit umfassenderen kriminellen Aktivitäten in Verbindung bringen. Da die Daten von SpyCloud aus wiedergewonnenen Infostealer-Protokollen, den Ergebnissen von Phishing-Kits und Daten aus Sicherheitsverletzungen stammen – und nicht aus der Indizierung des Surface-Webs –, deckt das Tool Verbindungen auf, die mit herkömmlichen OSINT-Tools nicht erreichbar sind. IDLink deckt pro Untersuchung achtmal mehr Identitätsdatensätze auf als herkömmliche OSINT-Methoden, und ein Kunde berichtete, dass er eine zweiwöchige Untersuchung auf vier Sekunden verkürzen konnte. Für Analysten, die sich mit der Zuordnung von Ransomware-Angriffen, der Untersuchung von Insider-Bedrohungen oder der Kartierung von Betrugskampagnen befassen, verwandelt IDLink eine OSINT-Sackgasse in eine konkrete Spur, indem es die kontoübergreifenden Verbindungen aufdeckt, die Angreifer nutzen, um unentdeckt zu bleiben.

IDLink ist in die gesamte SpyCloud-Produktsuite integriert und steht zudem als eigenständige API für Teams zur Verfügung, die eine ganzheitliche Identitätskorrelation direkt in ihre eigenen Tools und Arbeitsabläufe integrieren möchten. Im Unternehmenskontext ermöglicht IDLink die erweiterten Scan-Funktionen in Identity Guardians, sodass Active Directory Guardian, Okta Workforce Guardian und Entra ID Guardian die Wiederverwendung von Passwörtern zwischen privaten und Unternehmenskonten erkennen können, anstatt lediglich exakte Übereinstimmungen von Unternehmenszugangsdaten zu melden. Im Ermittlungskontext läuft IDLink automatisch innerhalb des Cybercrime Investigations Module und durchsucht im Hintergrund alle Identitätsdaten, sobald ein Analyst einen Selektor übermittelt. Bei verbraucherorientierten Anwendungen ermöglicht die Consumer IDLink-API Betrugs- und Produktteams, mehrere Identitätsartefakte gemeinsam zu übermitteln und korrelierte Risikohinweise für die Erkennung synthetischer Identitäten, die Überprüfung der Erstellung risikoreicher Konten sowie die Risikobewertung von Transaktionen zu erhalten. Teams, die IDLink als eigenständige API einsetzen, können diese programmgesteuert zusammen mit anderen Datenquellen abfragen und die Ergebnisse in SIEM-Plattformen, benutzerdefinierte Ermittlungsworkflows oder Entscheidungsengines zur Betrugsbekämpfung einspeisen. Allen Einsatzszenarien ist eines gemeinsam: IDLink ersetzt eindimensionale Identitätsprüfungen durch eine vernetzte Sicht auf die gesamte Expositionshistorie einer Person über ihren beruflichen und privaten Identitätsbereich hinweg.