Echte Angriffe simulieren

mit wiedergewonnenen Darknet-Daten

Synthetische Anmeldedaten und Wortlisten, die bei herkömmlichen „Credential Stuffing“-Angriffen im Rahmen von Penetrationstests verwendet werden, basieren auf Mustern, gängigen Passwörtern und Daten aus früheren Datenlecks, die Sicherheitsteams bereits bekannt sind. Abwehrmaßnahmen, die auf diese bekannten Datensätze abgestimmt sind, schneiden in Tests gut ab, können jedoch bei neuen, unternehmensspezifischen Anmeldedaten versagen, die noch nie in einer veröffentlichten Wortliste enthalten waren. Der von SpyCloud neu erfasste Datensatz enthält Anmeldedaten, Sitzungs-Cookies und Identitätsartefakte, die direkt aus aktiven kriminellen Märkten, Protokollen von Infostealer-Malware und aus Phishing-Kits stammen. Es handelt sich dabei um dieselben Anmeldedaten und Artefakte, die echte Angreifer kaufen und bei gezielten Angriffen einsetzen. Wenn ein Penetrationstester SpyCloud-Daten nutzt, um zu prüfen, ob Mitarbeiter Anmeldedaten für private und berufliche Konten wiederverwendet haben oder ob aktive Sitzungs-Cookies, die mit Unternehmensanwendungen in Verbindung stehen, auf kriminellen Märkten im Umlauf sind, simuliert der Test genau den Angriffsvektor, den echte Angreifer verfolgen würden. Das Team von TrollEye Security beschrieb dies ganz direkt: Die Einbeziehung von SpyCloud-Daten in ihre Penetrationstests verkürzte die Zeit bis zur Kompromittierung erheblich und steigerte den Nutzen für die Kunden drastisch.

Die API von SpyCloud stellt über 200 Datenfelder aus vier primären Kategorien krimineller Datenquellen bereit. Daten aus Datenlecks liefern Benutzernamen, Passwörter im Klartext und als Hash, E-Mail-Adressen sowie zugehörige personenbezogene Daten (PII) aus Datenlecks bei Drittanbietern, bei denen sich Mitarbeiter der Zielorganisation mit ihren beruflichen E-Mail-Adressen registriert hatten. Protokolldaten von Infostealer-Malware liefern Telemetriedaten auf Geräteebene von infizierten Endgeräten, darunter alle im Browser gespeicherten Anmeldedaten für alle Anwendungen, zum Zeitpunkt der Infektion aktive Sitzungs-Cookies, Geräte-Fingerabdrücke sowie eine vollständige Liste der Anwendungen, auf die das Gerät Zugriff hatte. Phishing-Erfassungsdaten liefern Anmeldedaten, die direkt aus erfolgreichen Phishing-Angriffen auf Mitarbeiter oder Domänen der Organisation gewonnen wurden; diese sind in der Regel aktueller als Daten aus Datenlecks und enthalten Sitzungsartefakte. Kombinationslisten liefern aggregierte Anmelde-Paare, die mehrere Daten aus Sicherheitsverletzungen und Malware-Quellen zu angreifbereiten Formaten zusammenführen, die der Vorgehensweise krimineller Akteure beim Erwerb und der Nutzung von Identitätsdaten entsprechen. Für Red-Team-Einsätze sind Sitzungscookie-Daten besonders wertvoll, da sie die Simulation einer Authentifizierungsumgehung ermöglichen, ohne dass ein gültiges Anmelde-Paar erforderlich ist – so lässt sich testen, ob die Abwehrmaßnahmen der Organisation einen Session-Replay-Angriff abfangen würden, der die MFA vollständig umgeht.

SpyCloud liefert alle Daten über eine REST-API mit JSON-Ausgabe, wodurch sich die Lösung in jedes Tool integrieren lässt, das externe Dateneingaben akzeptiert. Zu den gängigen Integrationsmustern gehört das direkte Abrufen von durch SpyCloud abgeglichenen Anmeldedaten für eine Zieldomäne in Burp Suite oder benutzerdefinierte Credential-Stuffing-Frameworks, um die Widerstandsfähigkeit von Anmeldeportalen gegen reale Password-Spray- und Stuffing-Angriffe zu testen. Red Teams nutzen die Session-Cookie-Daten von SpyCloud, um zu testen, ob die Webanwendungen, SSO-Systeme und Cloud-Anwendungen ihres Unternehmens eine wiederholte, gestohlene Sitzung erkennen oder ablehnen würden. CTI-gestützte Red Teams verwenden IDLink, um vor einem Einsatz einen vollständigen Identitätsgraphen der Zielmitarbeiter zu erstellen, dabei exponierte persönliche Konten zu identifizieren, deren Anmeldedatenmuster mit denen von Unternehmenskonten übereinstimmen, und diese als erste Zugangsvektoren zu nutzen. Die API-Dokumentation von SpyCloud enthält Abfrageparameter zum Filtern nach Domain, Datumsbereich, Quelle der Sicherheitsverletzung und Datentyp, sodass Pentester ihre Abfragen präzise auf das Ziel des Einsatzes ausrichten können, ohne irrelevante Daten abzurufen. Für Teams, die eigene Tools entwickeln, bietet der Technical Account Manager von SpyCloud praktische Unterstützung bei der API-Implementierung und der Optimierung von Abfragen.

Die meisten Datenquellen zu Datendiebstählen liefern Passwörter als Hash-Werte, die erst geknackt werden müssen, bevor sie bei „Credential Stuffing“- oder „Password-Spray“-Angriffen verwendet werden können. Das Knacken verlängert die Dauer eines Einsatzes, erfordert Rechenressourcen und liefert bei stärkeren Hash-Algorithmen unvollständige Ergebnisse. SpyCloud liefert im Rahmen seiner Pipeline zur Rückgewinnung und Verarbeitung über 80 % der offengelegten Anmeldedaten im Klartext. Das bedeutet, dass Pentester sofort verwertbare Anmeldedaten erhalten, die ohne einen Knack-Schritt an Zielsystemen getestet werden können, wodurch sich der Zeitrahmen von der Erkundung bis zum Angriff erheblich verkürzt. Die Verfügbarkeit im Klartext verändert zudem, was überhaupt getestet werden kann. Muster bei der Wiederverwendung von Passwörtern, Trends zur Passwort-Hygiene unter den Mitarbeitern eines Unternehmens sowie das Vorhandensein von Unternehmenszugangsdaten auf kriminellen Märkten werden sofort sichtbar, anstatt erst nach dem Knacken analysiert werden zu müssen. Für Red Teams, die bewerten, wie schnell ein Angreifer mithilfe gestohlener, auf kriminellen Märkten erworbener Zugangsdaten einen ersten Zugriff erlangen könnte, simuliert die Bereitstellung im Klartext durch SpyCloud den tatsächlichen Arbeitsablauf eines Angreifers am genauesten.

Kostenlose Dienste zur Benachrichtigung über Datenschutzverletzungen wie „HaveIBeenPwned“ dienen einem anderen Zweck: Sie teilen Einzelpersonen und Organisationen mit, ob eine E-Mail-Adresse in einer bekannten, öffentlich bekannt gewordenen Datenschutzverletzung auftaucht. Sie sind auf Aufklärung und Benachrichtigung ausgelegt, nicht auf aktive Sicherheitstests. Die Penetrationstest-Daten von SpyCloud unterscheiden sich in drei für ein Testprojekt relevanten Punkten. Erstens die Aktualität: SpyCloud erfasst Daten aus kriminellen Quellen, bevor diese öffentlich bekannt werden. Das bedeutet, dass die SpyCloud-Daten aktuelle Datenlecks enthalten, die noch in keinem öffentlichen Dienst zur Benachrichtigung über Datenschutzverletzungen aufgetaucht sind. Zweitens die Datentypen: HaveIBeenPwned und ähnliche Dienste indexieren E-Mail-Adressen und optional gehashte Passwörter aus bekannt gewordenen Datenlecks. SpyCloud umfasst Passwörter im Klartext, Sitzungs-Cookies, Geräte-Fingerabdrücke, personenbezogene Daten (PII) sowie vollständige Telemetriedaten aus den Protokollen von Infostealer-Malware, die diese Dienste nicht erfassen. Drittens der Umfang: Kostenlose Dienste decken öffentlich bekannte Datenlecks ab. SpyCloud deckt Daten zu Datenlecks sowie Vertriebskanäle von Infostealer-Malware und erfasste Phishing-Kits ab, die niemals öffentlich bekannt gegeben und daher auch nie von Datenleck-Benachrichtigungsdiensten indexiert werden.