Das Darknet zu überwachen, kann Unternehmen dabei unterstützen, Datenschutzverletzungen vorzubeugen. Dazu empfehlen sich diese Monitoring-Tools.
HQuality | shutterstock.com
Im Darknet möchte wohl kein CISO die Daten seines Unternehmens sehen. Es besteht aus Webseiten, die von gängigen Suchmaschinen nicht erfasst werden. Dieser verborgene Teil des Internets dient sowohl legitimen als auch kriminellen Zwecken und umfasst unter anderem Marktplätze für Daten, die im Rahmen von Cyberangriffen gestohlen oder kompromittiert wurden. Diese können von Cyberkriminellen dazu genutzt werden, um weitere Angriffskampagnen zu initiieren, beispielsweise Spear Phishing.
Unternehmen, die feststellen können, ob Daten aus ihren Netzwerken auf solchen Darknet-Plattformen feilgeboten werden, können die daraus resultierenden Angriffsversuche besser abwehren. Zudem eignet sich das Darknet auch hervorragend als Quelle, um Informationen über die Prozesse, Taktiken und Absichten krimineller Hacker zu sammeln. Das funktioniert über Softwarelösungen, die darauf ausgelegt sind, das Darknet auf kompromittierte Daten zu überwachen.
Darknet-Monitoring-Tools – die besten Lösungen
Im Folgenden finden Sie einige der populärsten Darknet-Monitoring-Tools. Diese Auflistung erhebt keinen Anspruch auf Vollständigkeit.
Brandefense ist ein KI-gesteuerter Digital Risk Protection Service, der sowohl das frei zugängliche Web als auch das Darknet scannt, um Details zu Angriffsmethoden oder Datenschutzverletzungen zu sammeln und diese Daten zu korrelieren und zu kontextualisieren. Sobald ein Vorfall als relevant für den jeweiligen Anwender erachtet wird, wird eine Warnmeldung augegeben. Diese Lösung ist außerdem in der Lage, Takedowns gegen Bedrohungsakteure durchzuführen – anstatt erst darauf zu warten, dass der Angriff erfolgt.
Ein weiterer Schwerpunkt liegt bei diesem Tool auf dem Schutz für hochrangige Führungskräfte. Diese stehen schließlich nicht nur direkt mit der Unternehmensmarke in Verbindung, sondern sind auch beliebte Ziele für diverse Angriffe, unter anderem Spear-Phishing-Kampagnen.
Crowdstrike Falcon Adversary OverWatch
CrowdStrike bietet mit Falcon Adversary OverWatch eine rund um die Uhr verfügbare Threat-Hunting-Plattform. Diese kombiniert die Branchenexpertise des Anbieters mit künstlicher Intelligenz, um Bedrohungsakteure proaktiv zu identifizieren und in Echtzeit zu stoppen. Die Lösung liefert zudem weitere Darknet-Einblicke zu Daten, die Bezüge zu Unternehmens-Assets, -Identitäten und -Marken aufweisen.
Dieser Anbieter aus Malaysia hat zwei verschiedene Lösungen im Angebot, die das Darknet überwachen:
- CyberBlindspot fokussiert auf Informationen, die direkt mit Unternehmens-Assets in Verbindung stehen. Das Tool erweitert dabei das Indicators-of-Compromise-Konzept, um Warn- oder Angriffsindikatoren zu identifizieren.
- ThreatCover bietet hingegen ein Toolset für Sicherheitsanalysten, um Threat-Intelligence-Feeds besser zu durchforsten. Auf dieser Grundlage können Incident-Response-Teams eine Reaktion auf Vorfälle einleiten.
DarkOwl verspricht mit Vision UI einen vereinfachten Einblick in relevante Darknet-Daten. Das Tool ermöglicht dazu unter anderem, kuratierte Darkweb-Daten-Feeds nach Standard-Text oder booleschen Logiken zu durchsuchen. Neben interaktiven Suchen bietet dieses Monitoring-Tool auch Benachrichtigungen und Alerts sowie Exposure-Metriken. Letztere versuchen, die Exposure auf Basis diverser Faktoren und Quellen zu quantifizieren.
Bei IBM X-Force Exchange handelt es sich in erster Linie um eine Plattform für die gemeinsame Nutzung von Daten. Diese führt Threat- und Intelligence-Feeds in einer interaktiven, durchsuchbaren Datenbank zusammen und lässt sich über APIs und automatische Warnmeldungen in bestehende Sicherheitssysteme integrieren. Eine Registrierung ist erforderlich, um relevante Suchvorgänge speichern und Feeds tracken sowie individuell anpassen zu können. Für API-Zugang, erweiterte Analysen und Threat-Intelligence-Berichte auf “Premium-Niveau” ist ein Abonnement erforderlich.
Malware Information Sharing Platform (MISP)
MISP ist eine Open-Source-Plattform, die auf der Idee basiert, Threat-Intelligence-Daten gemeinschaftlich zu nutzen. Die quelloffene Software lässt sich im Rechenzentrum oder auf diversen Cloud-Plattformen installieren. Dabei werden Open-Source-Protokolle und -Datenformate genutzt, die mit anderen MISP-Benutzern geteilt sowie in alle gängigen IT-Sicherheits-Tools integriert werden können. Die Threat-Intelligence-Feeds werden bei dieser Lösung zwar nicht auf dieselbe Weise kuratiert wie bei kommerziellen Tools. Aber die Lösung stellt eine kostengünstige Möglichkeit für Unternehmen dar, um internes Darknet-Monitoring zu etablieren.
Mandiant Digital Threat Monitoring
Auch Mandiant bietet mit Digital Threat Monitoring Einblicke darüber, welche Unternehmensdaten oder -geheimnisse im offenen oder verborgenen Teil des Internets kursieren. Diese Daten werden mit Hilfe von Machine Learning kontextbezogen aufbereitet. Im Ergebnis verspricht Mandiant relevante, priorisierte Warnmeldungen, die den Triage-Prozess erleichtern sollen. Neben Brand- und VIP-Monitoring kann diese Lösung auch Partnerunternehmen überwachen. Das kann dabei helfen, die eigene Lieferkette weiter abzusichern und domänenübergreifende Angriffe zu verhindern, die bestehende Sicherheitskontrollen umgehen könnten. Mandiant bietet sein Monitoring-Tool zudem auch als Zusatzmodul an, was es Anwendern ermöglicht, Threat Intelligence um Darknet-Monitoring zu erweitern.
Eine weitere Open-Source-Option, um Threat-Intelligence-Daten zu sammeln und zu verwalten ist OpenCTI. Das Programm wurde von Filigran entwickelt und kann als Docker-Container plattformunabhängig eingesetzt werden. Zudem bietet diese Lösung eine Vielzahl von Konnektoren zu anderen Sicherheitsplattformen und Software-Tools, um den OpenCTI-Datenstrom zu integrieren und weiter anzureichern. Zum Funktionsumfang von OpenCTI gehören rollenbasierte Zugriffskontrollen für Security-Teams, standardisierte Datenmodelle sowie Attribuierungsdaten, die darüber Auskunft geben können, wo die Bedrohungswurzel liegt. Darüber hinaus lassen sich mit dem OpenCTI-Client für Python, den OpenCTI-APIs und einem benutzerfreundlichen Framework das sämtliche Arten von Automatisierungen realisieren.
SOCRadar Advanced Dark Web Monitoring
SOCRadar bietet verschiedene Dienste und Tools für Sicherheitsexperten an, darunter eine Reihe kostenloser Tools. Für eine umfassendere, lückenlose Darknet-Überwachung empfiehlt sich jedoch ein Abonnement dieses Service. Dieser bietet eine Überwachung auf persönlich identifizierbare Informationen, trackt kompromittierte VIP-Konten und bietet ein durchgängiges Reputations- und Phising-Monitoring. Auch Takedown-Services sind über diesen Service verfügbar, kosten aber zusätzlich. Der Umfang der Darknet-Monitoring-Services richtet sich nach der gebuchten Servicestufe.
Auch dieses Tool von ZeroFox zielt darauf ab, Darknet-Risiken einfacher sichtbar zu machen. Die kontinuierliche Überwachung von kompromittierten Zugangsdaten, persönlichen Daten von Mitarbeitern oder sensiblen geistigen Eigentumsrechten ist dabei laut dem Anbieter nur der Anfang: Aus der Analyse von Angriffsmethoden gewonnene Erkenntnisse fließen in Abwehrmaßnahmen ein, um die Anwender besser zu schützen – und Warnmeldungen informieren rechtzeitig über Risiken für Brands. (fm)
Dieser Artikel ist im Original bei unserer Schwesterpublikation CSOonline.com erschienen.
