Was Sie preisgeben: Schwachstellen, Leaks, Websites, Server und Backups

Angriffsfläche

Die Hosts, die Sie im Internet exponieren, jeden Tag neu ermittelt, ohne etwas zu installieren

Für jede Ihrer Domains liest das SOC täglich die in den öffentlichen Certificate-Transparency-Logs veröffentlichten Zertifikate, leitet daraus Ihre Hostnamen ab, löst sie auf und prüft, ob sie im Web antworten. Es vergleicht sie mit dem, was bereits gescannt wird: Ein neuer, aktiver und nicht überwachter Host löst einen Alarm aus.

• Nur öffentliche Quellen: Zertifikate, DNS und eine einzige HEAD-Anfrage, kein Port-Scan
• Die HEAD-Anfrage geht nur an eine Domain, die Ihnen gehört (in Ihrem Microsoft 365 verifiziert oder von LuxGap eingetragen)
• Niemals wird eine private Adresse oder ein Industriesegment geprüft
• Der erste Durchlauf erfasst den Bestand: Nur danach auftauchende Hosts gelten als „neu“
• Nichts wird ohne die Entscheidung eines Analysten zu den Scans hinzugefügt

Einrichtung: Inklusive, sobald das SOC Ihre Domains kennt (DNS-Audit, Microsoft 365). Sichtbar für Ihren Administrator, nie für Konten mit Lesezugriff.

Datenlecks und Lookalike-Domains

Ihre im Umlauf befindlichen Zugangsdaten und die Domains, die Ihre imitieren

Dreizehn Informationsquellen werden für Ihre Domains abgefragt, und ein spezialisierter Dienst listet die Konten Ihrer Organisation auf, die in Zugangsdaten-Leaks gefunden wurden. Jede Nacht werden die Varianten Ihres Domainnamens berechnet, und diejenigen, die wirklich existieren, werden gemeldet.

• Überwachung Ihrer Domains von täglich bis jährlich, standardmäßig wöchentlich; Alarm bei jeder Neuheit
• Exponierte Konten bis zu stündlich geprüft, Alarm ab der Erkennung
• Keine Passwörter gespeichert; Excel- und PDF-Exporte ohne Passwort
• Lookalike-Domains: ähnlich aussehender Buchstabe, auch kyrillisch oder griechisch, Auslassung, Bindestrich, Ergänzung, andere Endung; „Was tun?“ in fünf Schritten bis zur Entfernung
• Für jede aktive Lookalike-Domain: Mailserver, Erstellungsdatum der Domain und ausgestelltes Zertifikat, um zu erkennen, welche einsatzbereit ist
• Von einem Zugangsdaten-Stealer (Infostealer) infizierte Geräte: betroffene Website, Gerät und Kennung so maskiert, wie die Quelle sie liefert, nie ein Passwort; ein Alarm pro Gerät, und das Beenden der Sitzungen wird einem Analysten vorgeschlagen
• Gültigkeit jeder geleakten Kennung: wahrscheinlich noch gültig, seit dem Leak geändert oder nicht prüfbar, anhand des Datums der letzten Passwortänderung in Microsoft 365; das SOC testet nie ein gestohlenes Passwort

Einrichtung: Ihre Domains werden von LuxGap unter Überwachung gestellt. Die Gültigkeit der Zugangsdaten wird in Ihrem angebundenen Microsoft 365 gelesen.

Ransomware

Benachrichtigt, wenn Sie oder einer Ihrer Lieferanten auf der Leak-Site einer Erpressergruppe auftauchen

Erpressergruppen veröffentlichen die Liste ihrer Opfer, um Druck zu machen. Das SOC liest diese Veröffentlichungen alle 30 Minuten und gleicht sie mit Ihren Domains und denen Ihrer Lieferanten ab. Eine Veröffentlichung, die eine Ihrer Domains nennt, löst einen kritischen Alarm aus, die eines Lieferanten einen hohen.

• Kein Kunden- und kein Lieferantenname wird an die Quelle gesendet: Der öffentliche Feed wird vollständig gelesen und dann bei LuxGap abgeglichen
• Ein Abgleich allein über den Namen bleibt eine Hypothese: Ein Analyst qualifiziert ihn vor jedem Alarm
• Eine hinzugefügte Domain oder ein hinzugefügter Lieferant wird mit der gesamten bereits erfassten Historie verglichen
• Der Alarm zu einem Lieferanten sagt, was zu tun ist: ihn kontaktieren, Vertrag und Auftragsverarbeitungsvereinbarung prüfen, gemeinsam genutzte Secrets erneuern
• Bedrohungen im Land: die Veröffentlichungen der letzten 30 oder 90 Tage, nach Gruppe und Land

Einrichtung: Inklusive. Ihre Domains (DNS-Audit) und die Website jedes Lieferanten (Register der Dritten) machen den Alarm automatisch.

Quelle der Veröffentlichungen: RansomLook (www.ransomlook.io), Lizenz CC BY 4.0.

DNS

Ihre Domain in einer Tabelle geprüft: E-Mail, Signatur, Sicherheit

Elf Prüfungen für Ihre Domains: MX, A, AAAA, NS, SPF, DMARC, DKIM, DNSSEC, CAA, MTA-STS und BIMI, jeweils mit dem beobachteten Eintrag und der Empfehlung.

• Bis zu 20 überwachte Domains
• PDF-Export mit der Matrix Domains × Prüfungen
• Kein Konnektor erforderlich

Einrichtung: Ein Domainname genügt.

Backups

Was gesichert wird, wo, und der Alarm, wenn ein Backup fehlschlägt oder verstummt

Datenbanken, Ordner und Volumes werden auf Ihr Synology-NAS gesichert, mit zwei Schlüsseln verschlüsselt. Ein Fehler löst einen Alarm aus, ein Schweigen ebenfalls: Zwei verpasste Zeiträume genügen.

• Zusammenfassung je Server und für jedes Backup erzeugte Wiederherstellungsanleitung
• Externe Kopien, überwacht per Heartbeat
• Alarme Ihres Synology-NAS in die Konsole übernommen

Einrichtung: Ein Synology-NAS, das das SOC erreichen kann.