Sichern Sie Ihre Lieferkette auf der Identitätsebene ab

Herkömmliche Plattformen für das Lieferantenrisikomanagement (VRM) und das Risikomanagement bei Drittanbietern (TPRM) basieren auf der Bewertung des Sicherheitsstatus. Sie versenden Fragebögen, scannen die öffentlich zugänglichen Webressourcen von Lieferanten und führen punktuelle Überprüfungen der Sicherheitskontrollen durch. Diese Ansätze erfassen lediglich, was ein Lieferant über seine Sicherheitspraktiken angibt – nicht jedoch, ob Anmeldedaten von Lieferantenmitarbeitern oder Gerätezugriffsdaten derzeit aktiv auf kriminellen Märkten gehandelt werden. Ein im letzten Quartal ausgefüllter Fragebogen kann Ihnen nicht sagen, ob ein Mitarbeiter eines Lieferanten letzte Woche mit Infostealer-Malware infiziert wurde oder ob seine Anmeldedaten über Nacht in einer neuen Datenpanne oder einer Comboliste aufgetaucht sind. Die Beteiligung von Drittanbietern an Datenpannen hat sich im Jahresvergleich von 15 % auf 30 % der Vorfälle verdoppelt. Der Angriffsweg ist in den allermeisten dieser Fälle keine falsch konfigurierte Firewall, die ein Scan aufdecken würde, sondern kompromittierte Identitätsdaten, die Angreifern vertrauenswürdigen Zugriff verschafften. SpyCloud Supply Chain Threat Protection überwacht die Domains von Lieferantenmitarbeitern kontinuierlich anhand von wiedergewonnenen Daten aus Sicherheitsverletzungen, Protokollen von Infostealer-Malware, Phishing-Erfassungen und Combolisten und deckt so aktive Identitätsbedrohungen auf, anstatt lediglich Indikatoren für den Sicherheitsstatus zu liefern.

Der Identity Threat Index ist SpyClouds zusammengesetzte Risikobewertung für jeden überwachten Anbieter, die sich aus dem Umfang, der Aktualität und der Art der Quelle der Identitätsrisiken ergibt, die in den Mitarbeiterdomänen dieses Anbieters festgestellt wurden. Er kombiniert Signale aus vier Bedrohungskategorien: Diebstahl von Anmeldedaten, Infektionen mit Infostealer-Malware, aufgedeckte Phishing-Kampagnen und Combolisten. Der Index bietet Sicherheitsteams einen normierten, vergleichbaren Überblick über die Risiken in ihrem gesamten Anbieterportfolio – im Gegensatz zu reinen Risikozahlen, die sich nur schwer in einen Kontext einordnen lassen. Ein Anbieter mit einer großen Belegschaft wird naturgemäß mehr Gesamtvorfälle akkumulieren als ein kleiner Anbieter; der Index berücksichtigt dies, indem er die Vorfälle relativ zum Überwachungsumfang gewichtet. Die Beobachtung des Index im Zeitverlauf zeigt, ob sich die Sicherheitshygiene eines Anbieters verbessert oder verschlechtert. Ein steigender Trend bei Malware-Infektionen über einen Zeitraum von 60 Tagen stellt ein anderes Risikoprofil dar als ein einmaliger Sicherheitsvorfall vor drei Monaten. Sicherheitsteams können den Index als Triage-Ebene für die Reaktion vor dem Eintreten eines Vorfalls nutzen: Anstatt darauf zu warten, dass SIEM-Warnmeldungen zu Vorfällen eskalieren, können sie erkennen, bei welchen Anbietern sich ein erhöhtes Risiko abzeichnet, und Maßnahmen ergreifen, bevor dieses Risiko auf ihre Umgebung übergreift.

Anbieter und Managed-Service-Provider verfügen in der Regel über privilegierten oder vertrauenswürdigen Zugriff auf Unternehmensumgebungen: Sie stellen Verbindungen zu Unternehmensanwendungen her, greifen auf gemeinsam genutzte Infrastruktur zu oder sind Teil derselben SSO-Föderation. Wenn die Anmeldedaten eines Mitarbeiters eines Anbieters durch Infostealer-Malware, eine Phishing-Kampagne oder einen Datenverstoß bei einem Drittanbieter gestohlen werden, können diese Anmeldedaten direkten Zugriff auf dieselben Anwendungen ermöglichen, die der Anbieter nutzt, um den Unternehmenskunden zu bedienen. Angreifer, die Anmeldedaten von Mitarbeitern eines Anbieters über kriminelle Marktplätze erwerben, können diese an Unternehmens-Login-Portalen testen, gestohlene Sitzungs-Cookies nutzen, um die Authentifizierung vollständig zu umgehen, oder die vertrauenswürdige Netzwerkpräsenz des Anbieters nutzen, um Perimeterkontrollen zu umgehen, die unbekannte IP-Adressen blockieren. Dies ist kein theoretischer Angriffsweg. Er gehört durchweg zu den häufigsten Ursachen für Sicherheitsverletzungen in Unternehmen. SpyCloud deckt kompromittierte Lieferantenidentitäten auf – darunter nicht nur die Anmeldedaten selbst, sondern auch die exponierten Anwendungen, die in den Protokollen von Infostealer-Malware aufgezeichnet sind. So wird genau sichtbar, auf welche Anwendungen ein Mitarbeiter des Lieferanten von einem infizierten Gerät aus zugegriffen hat und ob eine dieser Anwendungen auch in der Unternehmensumgebung genutzt wird.

SpyCloud überwacht die Domains von Mitarbeitern von Lieferanten anhand von vier verschiedenen Risikoquellen. Bei Anmeldedaten-Lecks werden Benutzernamen und Passwörter aus Datenlecks bei Drittanbietern offengelegt, bei denen Mitarbeiter von Lieferanten ihre geschäftlichen E-Mail-Adressen zur Registrierung für Dienste verwendet haben. Protokolle von Infostealer-Malware erfassen alles, was von infizierten Geräten der Anbieter abgezogen wurde: gespeicherte Passwörter, aktive Sitzungs-Cookies, im Browser gespeicherte Anmeldedaten, Geräte-Fingerabdrücke und eine Liste aller Anwendungen, auf die das Gerät zugegriffen hat. Aufzeichnungen von Phishing-Kampagnen decken Anmeldedaten und Sitzungsartefakte auf, die bei erfolgreichen Phishing-Angriffen auf Mitarbeiter der Anbieter gestohlen wurden. Kombilisten decken Anmeldedatenpaare auf, die aus mehreren Quellen von Datenlecks aggregiert und weiterverbreitet wurden und die Angreifer für automatisiertes Credential Stuffing in großem Maßstab nutzen. Bei der Standardüberwachung des Dark Webs werden indexierbare Bereiche von Darknet-Foren und -Marktplätzen nach Erwähnungen von E-Mail-Adressen oder Domains durchsucht. SpyCloud erfasst die zugrunde liegenden Daten direkt aus kriminellen Quellen, anstatt Forenbeiträge zu indexieren. Das bedeutet, dass es Protokoll-Daten von Infostealern und Ergebnisse von Phishing-Kits aufdeckt, die in durchsuchbaren Dark-Web-Foren niemals erscheinen. Das Ergebnis ist eine deutlich breitere Abdeckung, insbesondere für die Malware- und Phishing-Vektoren, die heute die primären Angriffspfade in der Lieferkette darstellen.

Wenn SpyCloud feststellt, dass die Identität eines Mitarbeiters eines Lieferanten offengelegt wurde, hat das Sicherheitsteam zwei Möglichkeiten, auf diese Information zu reagieren. Es kann die Informationen intern nutzen, um die eigenen Kontrollmaßnahmen anzupassen: beispielsweise durch eine strengere Authentifizierung bei Verbindungen aus der Domäne dieses Lieferanten, durch die Einschränkung des Zugriffs auf sensible Systeme während des Zeitraums der Offenlegung oder durch die Kennzeichnung der Lieferantenbeziehung zur beschleunigten Überprüfung. Es kann die Nachweise für die Offenlegung auch direkt an das Sicherheitsteam des Lieferanten weiterleiten, um Abhilfemaßnahmen auf Seiten des Lieferanten zu ermöglichen. SpyCloud unterstützt dies durch ein Zulassungsmodell für Lieferanten, das es Unternehmenskunden ermöglicht, Lieferanten Einblick in ihre eigenen Daten zur Sicherheitslücke zu gewähren, ohne dabei den breiteren Überwachungskontext des Unternehmens offenzulegen. Dadurch wird aus einer ansonsten einseitigen Bewertung der Sicherheitslage eine evidenzbasierte Sicherheitspartnerschaft. Lieferanten, die ihre eigenen Daten zur Sicherheitslücke einsehen können, sind in der Lage, direkt Maßnahmen zu ergreifen: sie können Passwort-Resets für betroffene Mitarbeiter erzwingen, infizierte Geräte untersuchen und sicherstellen, dass der Einfallspunkt in das Unternehmen geschlossen wurde. Die Samsonite-Fallstudie auf der Website von SpyCloud beschreibt dieses Modell anschaulich: Dank der „Supply Chain Threat Protection“ von SpyCloud konnte das Sicherheitsteam von Samsonite Lücken in der Lieferkette aufdecken und beheben, von denen es andernfalls nichts gewusst hätte, und durch gemeinsame Fakten statt durch den Druck von Fragebögen höhere Sicherheitsstandards im gesamten Lieferanten-Ökosystem durchsetzen.