Identitätsrisiken erkennen

& Den Angriffspfad automatisch unterbinden

SpyCloud Workforce Threat Protection überwacht die Anmeldedaten von Mitarbeitern und Auftragnehmern anhand von vier verschiedenen Datenquellen, die aus kriminellen Infrastrukturen gewonnen wurden. Die Daten zu Sicherheitsverletzungen von Drittanbietern umfassen Anmeldedaten aus Sicherheitsverletzungen bei Unternehmen, bei denen sich Mitarbeiter mit ihren beruflichen E-Mail-Adressen registriert haben, einschließlich Details zur Quelle der Sicherheitsverletzung und Passwörtern im Klartext. Protokolle von Infostealer-Malware umfassen Anmeldedaten, die von infizierten Geräten von Mitarbeitern und Auftragnehmern exfiltriert wurden, sowie Sitzungs-Cookies, Geräte-Fingerabdrücke und Anwendungszugriffsdaten, die im Rahmen derselben Infektion erfasst wurden. Daten aus Phishing-Angriffen umfassen Anmeldedaten, die bei erfolgreichen Phishing-Angriffen auf Mitarbeiterkonten gesammelt wurden und aus den erfassten Ausgaben von Phishing-Kits stammen, bevor diese Anmeldedaten auf kriminellen Märkten weit verbreitet sind. Kombinationslisten umfassen neu zusammengestellte Anmeldedaten-Sätze, die mehrere Datenlecks und Malware-Quellen zu neuen, angreifbereiten Listen zusammenfassen. SpyCloud erfasst und verarbeitet jeden Monat kontinuierlich mehr als 25 Milliarden gestohlene Identitätsdaten, wobei neue Daten in der Regel innerhalb weniger Tage nach ihrem Erscheinen auf kriminellen Märkten veröffentlicht werden – lange bevor sie bei Datenleck-Benachrichtigungsdiensten oder öffentlichen Indizes eintreffen. Der praktische Unterschied besteht darin, dass SpyCloud-Kunden Datenexpositionen innerhalb von Stunden bis Tagen erkennen, anstatt erst nach Wochen oder Monaten, wie es bei den üblichen Zeitabläufen zur Offenlegung von Datenlecks der Fall ist.

Herkömmliche Dienste zur Überwachung des Dark Webs und zur Benachrichtigung bei Datenschutzverletzungen identifizieren offengelegte Zugangsdaten, indem sie indexierbare Bereiche von Dark-Web-Foren und -Marktplätzen scannen oder Benachrichtigungen erhalten, wenn eine Datenschutzverletzung öffentlich bekannt wird. Beide Ansätze stützen sich auf Daten, die bereits öffentlich oder halböffentlich verfügbar sind – was bedeutet, dass sie bereits Wochen oder Monate, bevor der Überwachungsdienst sie entdeckt hat, auf kriminellen Märkten aufgetaucht sind. SpyCloud dringt direkt in kriminelle Communities ein und gewinnt gestohlene Identitätsdaten direkt an der Quelle zurück, bevor sie in das breitere kriminelle Ökosystem gelangen. Dazu gehören Protokolle von Infostealer-Malware, die über private kriminelle Kanäle verbreitet und von Dark-Web-Scannern selten indexiert werden, sowie die Ergebnisse von Phishing-Kits, die erfasst werden, bevor Anmeldedaten aus einer Phishing-Kampagne zusammengefasst und weiterverkauft werden. Der von SpyCloud zurückgewonnene Datensatz enthält nun 65,7 Milliarden einzelne Identitätsdatensätze. Über die Aktualität und den Umfang der Daten hinaus erweitern die IDLink-Analysen von SpyCloud die Überwachung auf die persönlichen Identitätsspuren der Mitarbeiter – und decken so Sicherheitslücken auf, die mit persönlichen E-Mail-Adressen und privaten Konten verbunden sind, deren Passwortmuster mit denen von Unternehmenskonten übereinstimmen. Dadurch werden pro Benutzer 14-mal mehr Klartext-Passwörter ermittelt als bei einer reinen Überwachung auf exakte Übereinstimmungen mit der Unternehmensdomain allein. So wird der Angriffspfad durch die Wiederverwendung von Passwörtern aufgedeckt, den Dienste zur Benachrichtigung über Datenschutzverletzungen strukturell nicht erkennen können.

Workforce Threat Protection ist eine Ebene für Informationsgewinnung und Erkennung und kein Ersatz für IAM-Tools. Okta und Azure AD verwalten den Identitätslebenszyklus, die Zugriffsrichtlinien und die Authentifizierung. Sie stützen sich auf interne Signale – Anmeldevorgänge, Zugriffsanfragen und Richtlinienverstöße innerhalb der Unternehmensumgebung. Sie haben keinen Einblick in das Geschehen auf kriminellen Märkten, auf denen Zugangsdaten von Mitarbeitern außerhalb des Unternehmensperimeters gehandelt werden. Workforce Threat Protection schließt diese Lücke, indem es kriminelle Quellen kontinuierlich auf Risiken im Zusammenhang mit Mitarbeiteridentitäten überwacht und umsetzbare Warnmeldungen ausgibt. Diese Warnmeldungen fließen dann direkt in die IAM-Workflows ein: Workforce Threat Protection lässt sich in Okta, Entra ID und Active Directory integrieren, um bei Bestätigung eines Treffers automatisierte Abhilfemaßnahmen auszulösen. Für Unternehmen, die Identity Guardians einsetzen, besteht die automatisierte Reaktion in einer erzwungenen Passwortzurücksetzung oder dem Widerruf der Sitzung, die innerhalb weniger Minuten nach der Erkennung durchgeführt werden. Für Unternehmen, die SIEM oder SOAR nutzen, bereichern die Daten zu Sicherheitslücken die Warnwarteschlangen und speisen automatisierte Playbooks. Die Beziehung ist komplementär: IAM-Tools verwalten die Authentifizierungsebene, während Workforce Threat Protection den kriminellen Untergrund daraufhin überwacht, was Angreifer bereits über diese Ebene wissen.

Sowohl „Workforce Threat Protection“ als auch „Endpoint Threat Protection“ nutzen die von SpyCloud zurückgewonnenen Darknet-Daten, befassen sich jedoch mit unterschiedlichen Aspekten des Problems der Identitätsgefährdung. „Workforce Threat Protection“ überwacht die Anmeldedaten von Mitarbeitern und Auftragnehmern innerhalb der Unternehmensdomäne auf Datenlecks, Malware und Phishing-Daten und deckt die Gefährdung auf Anmeldedatenebene auf: Welche Mitarbeiter haben kompromittierte Passwörter, aus welcher Quelle stammen diese und wie aktuell ist die Gefährdung? Die Lösung beantwortet die Frage, wer gefährdet ist, und leitet Maßnahmen zur Wiederherstellung der Anmeldedatenhygiene ein. „Endpoint Threat Protection“ befasst sich speziell und tiefergehend mit den Auswirkungen von Infostealer-Infektionen auf Geräteebene. Wenn ein Gerät infiziert ist, exfiltriert ein Infostealer nicht nur Anmeldedaten, sondern auch Sitzungs-Cookies, Daten aus der automatischen Ausfüllfunktion des Browsers, personenbezogene Daten (PII), Geräte-Fingerabdrücke sowie das vollständige Verzeichnis aller Anwendungen, auf die von diesem Gerät aus zugegriffen wurde. „Endpoint Threat Protection“ deckt die Anzahl der Cookies, den Umfang der Anwendungsgefährdung und die personenbezogenen Daten jedes infizierten Geräts auf – also den gesamten Ausbreitungsradius der Infektion und nicht nur den Teil, der die Anmeldedaten betrifft. Die meisten Sicherheitsprogramme profitieren von beiden Komponenten. „Workforce Threat Protection“ sorgt für eine kontinuierliche Anmeldedatenhygiene in der gesamten Belegschaft. „Endpoint Threat Protection“ übernimmt die eingehendere Untersuchung und Reaktion, wenn eine bestimmte Infostealer-Infektion bestätigt wird und der volle Umfang der exfiltrierten Daten ermittelt werden muss, bevor die Behebung abgeschlossen ist.

Die Datenverarbeitungs-Pipeline von SpyCloud ist darauf ausgelegt, die Zeitspanne zwischen dem Auftauchen gestohlener Zugangsdaten in kriminellen Quellen und dem Zeitpunkt, zu dem Sicherheitsteams darauf reagieren können, so kurz wie möglich zu halten. Daten zu Sicherheitsverletzungen und Phishing-Angriffen werden in der Regel innerhalb weniger Tage nach ihrer Rückgewinnung aus kriminellen Quellen auf der SpyCloud-Plattform veröffentlicht. Protokolle von Infostealer-Malware, die über eher geschlossene kriminelle Kanäle zirkulieren, werden innerhalb von Stunden bis Tagen nach ihrer Rückgewinnung durch SpyCloud verarbeitet. In der Praxis bedeutet dies, dass Sicherheitsteams von der Offenlegung von Mitarbeiterzugangsdaten in demselben Zeitrahmen erfahren, in dem kriminelle Akteure diese Daten erwerben und testen – oft noch bevor die Daten in einem gezielten Angriff missbraucht werden. Ein Finanzdienstleistungsunternehmen, das „Workforce Threat Protection“ einsetzt, berichtete, dass es in Spitzenzeiten zwischen 3.000 und 11.000 direkte Übereinstimmungen von Zugangsdaten pro Stunde entdeckt habe. Jede dieser Übereinstimmungen steht für ein Konto, das zu einer Kontoübernahme hätte führen können, bevor „Workforce Threat Protection“ die Sicherheitslücke aufdeckte. Die Alternative – das Warten auf eine Benachrichtigung über einen Datenverstoß, die erst Wochen oder Monate nach dem Zugriff der Kriminellen auf die Daten eintrifft – lässt ein langes Zeitfenster offen, in dem Angreifer mit Zugriff auf dieselben Daten Anmeldedaten an Unternehmensportalen testen können, ohne entdeckt zu werden.