Identitätsrisiken erkennen

& Den Angriffspfad automatisch unterbinden

SpyCloud Workforce Threat Protection überwacht die Anmeldedaten von Mitarbeitern und Auftragnehmern aus vier verschiedenen Datenquellen, die aus kriminellen Infrastrukturen zurückgewonnen wurden. Die Daten zu Datenschutzverletzungen von Drittanbietern umfassen Anmeldedaten aus Datenschutzverletzungen bei Unternehmen, bei denen sich Mitarbeiter mit ihren geschäftlichen E-Mail-Adressen registriert hatten, einschließlich Details zur Quelle der Datenschutzverletzung und Passwörtern im Klartext. Protokolle von Infostealer-Malware umfassen Anmeldedaten, die von infizierten Geräten von Mitarbeitern und Auftragnehmern exfiltriert wurden, sowie Sitzungs-Cookies, Geräte-Fingerabdrücke und Anwendungszugriffsdaten, die im Rahmen derselben Infektion erfasst wurden. Daten aus Phishing-Angriffen umfassen Anmeldedaten, die bei erfolgreichen Phishing-Angriffen auf Mitarbeiterkonten gesammelt wurden und aus den erfassten Ausgaben von Phishing-Kits stammen, bevor diese Anmeldedaten auf kriminellen Märkten weit verbreitet werden. Kombinationslisten umfassen neu zusammengestellte Anmeldedaten-Sätze, die mehrere Datenlecks und Malware-Quellen zu neuen, angreifbereiten Listen zusammenfassen. SpyCloud erfasst und verarbeitet kontinuierlich mehr als 25 Milliarden gestohlene Identitätsdaten pro Monat, wobei neue Daten in der Regel innerhalb weniger Tage nach ihrem Erscheinen auf kriminellen Märkten veröffentlicht werden – lange bevor sie Datenleck-Benachrichtigungsdienste oder öffentliche Indizes erreichen. Der praktische Unterschied besteht darin, dass SpyCloud-Kunden Datenlecks innerhalb von Stunden bis Tagen erkennen, anstatt erst nach Wochen oder Monaten, wie es bei den üblichen Zeitabläufen für die Offenlegung von Datenlecks der Fall ist.

Herkömmliche Dienste zur Überwachung des Dark Webs und zur Benachrichtigung bei Datenschutzverletzungen identifizieren offengelegte Zugangsdaten, indem sie indexierbare Bereiche von Dark-Web-Foren und -Marktplätzen scannen oder Benachrichtigungen erhalten, wenn eine Datenschutzverletzung öffentlich bekannt wird. Beide Ansätze stützen sich auf Daten, die bereits öffentlich oder halböffentlich verfügbar sind – was bedeutet, dass sie bereits Wochen oder Monate vor der Entdeckung durch den Überwachungsdienst auf kriminellen Märkten aufgetaucht sind. SpyCloud dringt direkt in kriminelle Communities ein und gewinnt gestohlene Identitätsdaten direkt an der Quelle zurück, bevor sie in das breitere kriminelle Ökosystem gelangen. Dazu gehören Protokolle von Infostealer-Malware, die über private kriminelle Kanäle verbreitet und von Dark-Web-Scannern selten indexiert werden, sowie die Ergebnisse von Phishing-Kits, die erfasst werden, bevor Anmeldedaten aus einer Phishing-Kampagne zusammengefasst und weiterverkauft werden. Der von SpyCloud zurückgewonnene Datensatz umfasst mittlerweile 65,7 Milliarden eindeutige Identitätsdatensätze. Über die Aktualität und den Umfang der Daten hinaus erweitern die „ IDLink “-Analysen von SpyCloud die Überwachung auf die persönlichen Identitätsspuren von Mitarbeitern – und decken so Sicherheitslücken auf, die mit persönlichen E-Mail-Adressen und privaten Konten zusammenhängen, deren Passwortmuster mit denen von Unternehmenskonten übereinstimmen. Dadurch werden pro Benutzer 14-mal mehr Klartext-Passwörter ermittelt als bei einer reinen Überwachung auf exakte Übereinstimmungen mit der Unternehmensdomain allein. So wird der Angriffspfad durch die Wiederverwendung von Passwörtern aufgedeckt, den Dienste zur Meldung von Datenschutzverletzungen strukturell nicht erkennen können.

Workforce Threat Protection ist eine Intelligence- und Erkennungsschicht und kein Ersatz für IAM-Tools. Okta und Azure AD verwalten den Identitätslebenszyklus, die Zugriffsrichtlinien und die Authentifizierung. Sie stützen sich auf interne Signale – Anmeldevorgänge, Zugriffsanfragen und Richtlinienverstöße innerhalb der Unternehmensumgebung. Sie haben keinen Einblick in das Geschehen auf kriminellen Märkten, auf denen Zugangsdaten von Mitarbeitern außerhalb der Unternehmensgrenzen gehandelt werden. „ Workforce Threat Protection “ schließt diese Lücke, indem es kriminelle Quellen kontinuierlich auf Sicherheitslücken im Zusammenhang mit Mitarbeiteridentitäten überwacht und umsetzbare Warnmeldungen zu solchen Sicherheitslücken liefert. Diese Warnmeldungen fließen dann direkt in die IAM-Workflows ein: „ Workforce Threat Protection “ lässt sich in Okta, Entra ID und Active Directory integrieren, um bei Bestätigung einer Übereinstimmung automatisierte Abhilfemaßnahmen auszulösen. Für Unternehmen, die „ Identity Guardians “ nutzen, besteht die automatisierte Reaktion in einer erzwungenen Passwortzurücksetzung oder einem Sitzungsabbruch, die innerhalb weniger Minuten nach der Erkennung ausgeführt werden. Für Unternehmen, die SIEM oder SOAR einsetzen, bereichern die Daten zu Sicherheitslücken die Warnungswarteschlangen und speisen automatisierte Playbooks. Die Beziehung ist komplementär: IAM-Tools verwalten die Authentifizierungsebene, während „ Workforce Threat Protection “ den kriminellen Untergrund daraufhin überwacht, was Angreifer bereits über diese Ebene wissen.

Workforce Threat Protection Sowohl Endpoint Threat Protection als auch Endpoint Threat Protection nutzen die von SpyCloud zurückgewonnenen Darknet-Daten, befassen sich jedoch mit unterschiedlichen Aspekten des Problems der Identitätsgefährdung. Workforce Threat Protection überwacht die Anmeldedaten von Mitarbeitern und Auftragnehmern innerhalb der Unternehmensdomäne im Hinblick auf Datenlecks, Malware und Phishing-Daten und deckt die Gefährdung auf Anmeldedatenebene auf: Welche Mitarbeiter haben kompromittierte Passwörter, aus welcher Quelle stammen diese und wie aktuell ist die Gefährdung? Die Lösung beantwortet die Frage, wer gefährdet ist, und löst Maßnahmen zur Wiederherstellung der Anmeldedatenhygiene aus. befasst sich speziell mit den Auswirkungen von Infostealer-Infektionen auf Geräteebene. Wenn ein Gerät infiziert ist, entwendet ein Infostealer nicht nur Anmeldedaten, sondern auch Sitzungs-Cookies, Daten aus der automatischen Ausfüllfunktion des Browsers, personenbezogene Daten (PII), Geräte-Fingerabdrücke sowie das vollständige Verzeichnis aller Anwendungen, auf die von diesem Gerät aus zugegriffen wurde. Endpoint Threat Protection zeigt die Anzahl der Cookies, den Umfang der Anwendungsgefährdung und die personenbezogenen Daten (PII) jedes infizierten Geräts an – also den gesamten Ausbreitungsradius der Infektion und nicht nur den Teil, der die Anmeldedaten betrifft. Die meisten Sicherheitsprogramme profitieren von beidem. „ Workforce Threat Protection “ sorgt für eine kontinuierliche Anmelde-Hygiene in der gesamten Belegschaft. „ Endpoint Threat Protection “ übernimmt die eingehendere Untersuchung und Reaktion, wenn eine spezifische Infostealer-Infektion bestätigt wird und der volle Umfang der exfiltrierten Daten ermittelt werden muss, bevor die Behebung abgeschlossen ist.

Die Datenverarbeitungs-Pipeline von SpyCloud ist darauf ausgelegt, die Zeitspanne zwischen dem Auftauchen gestohlener Anmeldedaten in kriminellen Quellen und dem Zeitpunkt, zu dem Sicherheitsteams darauf reagieren können, so kurz wie möglich zu halten. Daten zu Sicherheitsverletzungen und Phishing-Angriffen werden in der Regel innerhalb weniger Tage nach ihrer Rückgewinnung aus kriminellen Quellen auf der SpyCloud-Plattform veröffentlicht. Protokolle von Infostealer-Malware, die über eher private kriminelle Kanäle zirkulieren, werden innerhalb von Stunden bis Tagen nach ihrer Rückgewinnung durch SpyCloud verarbeitet. In der Praxis bedeutet dies, dass Sicherheitsteams von der Offenlegung von Mitarbeiterzugangsdaten in demselben Zeitrahmen erfahren, in dem kriminelle Akteure diese Daten erlangen und testen – oft noch bevor die Daten bei einem gezielten Angriff missbraucht wurden. Ein Finanzdienstleistungsunternehmen, das „ Workforce Threat Protection “ einsetzt, berichtete, dass es in Spitzenzeiten zwischen 3.000 und 11.000 direkte Übereinstimmungen von Zugangsdaten pro Stunde entdeckt habe. Jede dieser Übereinstimmungen steht für ein Konto, das zu einer Kontoübernahme hätte führen können, bevor „ Workforce Threat Protection “ die Sicherheitslücke aufdeckte. Die Alternative – das Warten auf eine Benachrichtigung über einen Datenverstoß, die erst Wochen oder Monate nach dem Zugriff der Kriminellen auf die Daten eintrifft – lässt ein langes Zeitfenster offen, in dem Angreifer mit Zugriff auf dieselben Daten Anmeldedaten an Unternehmensportalen testen können, ohne entdeckt zu werden.