Digital Risk Protection · Validierung
Analysten prüfen die Treffer vor der Benachrichtigung
Ein Threat-Intelligence-Feed liefert Treffer, die den Suchkriterien entsprechen, und überlässt Ihnen das Sortieren. Hier ist das Sortieren die Arbeit. Maschinelle Bewertung entfernt das offensichtliche Rauschen, dann bestätigt ein Analyst jeden Fund, streicht die Fehlalarme, klärt, was es tatsächlich ist, und ergänzt Nachweise und eine Handlungsempfehlung. Was Sie erreicht, ist ein Fall, kein Treffer. Die Ausnahme sind die Zeiten außerhalb der Geschäftszeiten: Suche und Alarmierung laufen weiter, eine nächtliche Warnmeldung kommt also vor der Prüfung, die am nächsten Arbeitstag folgt, bei Dringlichkeit früher.
Unter 1 % Fehlalarme
Die erste Frage der meisten Teams ist, wie viele Warnmeldungen das einer ohnehin vollen Warteschlange hinzufügt. Die Antwort: wenige, und geprüfte. Nach Messung von BlueVoyant liegt die Fehlalarmquote der Warnmeldungen, die seine Kunden erreichen, über einen Messzeitraum von 12 Monaten unter 1 %.
Diese Zahl entsteht aus drei Dingen, die zusammenwirken. Ihre eigenen Domains und Assets stehen seit dem Onboarding auf der Freigabeliste, so können wir bekannte legitime Treffer bei der Prüfung auf Markenimitation ausfiltern. Die ersten 14 Tage dienen der Feinabstimmung der Suchen mit Ihrem Feedback. Und während der Geschäftszeiten geht jeder Fund durch einen Analysten, bevor er zugestellt wird; Warnmeldungen außerhalb dieser Zeiten werden danach geprüft. Weiterleitungen auf Ihre eigene Seite, harmlose Seiten mit zufällig ähnlichem Namen und geparkte Domains ohne Inhalt werden aussortiert, bevor Sie sie sehen, nicht danach.
Jede Warnmeldung kommt als Fall mit Nachweisen
| Feld | Was es Ihnen sagt |
|---|---|
| Status und Kategorie | Wo der Fall steht (etwa „Ihre Aktion erforderlich“ oder „in Bearbeitung“) und um welche Art von Bedrohung es geht: Nachahmung im Web, in sozialen Medien oder per App, kompromittierte Zugangsdaten, Zahlungskarten. |
| Lookalike-Score | 0 bis 100: wie genau die Domain Ihre nachahmt, und welche Ihrer Schlüsselwörter sie trifft. |
| Infrastruktur | Die aufgelöste IP-Adresse, die erste DNS-Aktivität, der WHOIS-Eintrag, und ob für die Domain ein MX-Eintrag (Mail) besteht. |
| Nachweis | Ein Screenshot der Seite, wie die Analysten sie festgehalten haben. |
| Maßnahme | Die empfohlene Maßnahme, und ein Button, um den Takedown anzufordern. |
Jeder Fall hat eine eindeutige ID, die in der E-Mail-Benachrichtigung, im Portal und im Takedown mitgeführt wird, damit die Geschichte einer Bedrohung an einem Ort bleibt.
Was der Status einer Website bedeutet
Eine verdächtige Domain kann in vielen Zuständen sein, und der Zustand entscheidet sowohl über die Schwere als auch darüber, ob sich etwas entfernen lässt. Der Status wird aus DNS-Einträgen und aktiver Auflösung, HTTP-Statuscodes, automatischer Prüfung auf Phishing-Merkmale, Logo-Erkennung und einem HTML-Vergleich mit Ihren eigenen Seiten bestimmt.
| Status | Schwere | Entfernbar? |
|---|---|---|
| Aktives Phishing, das auf Sie zielt | Hoch | Ja, nach Ihrer Freigabe |
| Weiterleitung auf eine aktive Phishing-Seite | Hoch | Ja, nach Ihrer Freigabe; die Erfolgsquote ist bei weiterleitenden Domains niedriger |
| Aktiv und verdächtig: verwendet Varianten Ihrer Marke | Mittel | Ja, nach Ihrer Freigabe |
| Weiterleitung auf Ihre eigene Website, möglicherweise Teil einer E-Mail-Kampagne | Mittel | Ja, nach Ihrer Freigabe; die Erfolgsquote ist niedriger |
| Verwendet Ihren eigenen Code oder Ihr Design | Mittel | Ja, nach Ihrer Freigabe |
| Geparkt, leer, zu verkaufen, im Aufbau, nicht erreichbar | Mittel oder niedrig | Nein; wird beobachtet und neu gemeldet, sobald sie aktiv wird |
| Aktiv, aber ohne Bezug zu Ihrer Marke | Mittel oder niedrig | Nein |
Hat eine Domain einen MX-Eintrag, vermerkt die Warnmeldung das, und die Schwere kann von niedrig auf mittel steigen. Ein MX-Eintrag gibt Auskunft über die Zustellung eingehender E-Mails; bei einer Lookalike-Domain kann er ein zusätzliches Risikosignal sein.
Wenn die Antwort nicht an der Oberfläche liegt
Manche Funde brauchen mehr als eine Prüfung. Zwei Dinge gehen über den Standardablauf hinaus.
Untersuchungsanfragen
Sie können den Analysten über eine Serviceanfrage im Portal eine Frage zu einem Fund, einer Domain oder einer Kampagne stellen, von der Sie gehört haben. Die Antwort finden Sie im zugehörigen Fall, und die Zahl der Anfragen ist nicht begrenzt.
Kontakt zum Bedrohungsakteur
Wo es hilft zu wissen, was tatsächlich angeboten wird — etwa ob ein Zugangsdaten-Dump aktuell ist oder ein Verkäufer wirklich hat, was er behauptet —, können Analysten mit dem Akteur Kontakt aufnehmen. Sie tun das nur für einen konkreten Fall, dem Sie vorher zugestimmt haben, nie als Dauererlaubnis.
Ihr Feedback macht die nächste Warnmeldung genauer
Ihre Rückmeldung ist ein eigener Schritt neben der Prüfung durch die Analysten: Bestreiten oder präzisieren Sie einen Fund, prüfen die Analysten ihn erneut, und was Sie ihnen sagen, fließt in die Suchen zurück. Markieren Sie eine Domain als Ihre, kommt sie auf die Freigabeliste. Bestätigen Sie, dass ein Fund echt war, wissen die Analysten, dass dieses Muster für Sie zählt. Der Service wird in den ersten Monaten ruhiger und schärfer, und der Grund ist diese Rückkopplung.
Grenzen des Dienstes
Unter 1 % ist eine Quote, kein Versprechen für jede einzelne Warnmeldung. Gelegentlich werden Sie einen Fund sehen, der sich als harmlos erweist. Markieren Sie ihn dann, und er wird zur Feinabstimmung der Suchen verwendet.
Die Analysten schreiben auf Englisch. Fallnotizen, Empfehlungen und Berichte sind auf Englisch. Ihr Ansprechpartner bei Spirity erklärt Ihnen jeden davon auf Deutsch oder Ungarisch.
Häufig gestellte Fragen
Die Fragen, die uns Sicherheits- und IT-Verantwortliche am häufigsten stellen.
Ihre Frage ist nicht dabei? Fragen Sie uns direkt
Ein Feed liefert Indikatoren und überlässt Ihnen die Sichtung. Hier entscheidet ein Analyst, ob ein Fund echt ist, was er ist und was damit zu tun ist — während der Geschäftszeiten, bevor er Sie erreicht, bei einer Warnmeldung außerhalb dieser Zeiten danach. Sie bekommen auch die Person hinter dem Fund: jemanden, den Sie fragen können, woher er stammt und ob er Teil von etwas Größerem ist.
Sagen Sie es den Analysten im Fall, und sie prüfen ihn erneut. Ist er keine Bedrohung, wird der Fall geschlossen und zur Feinabstimmung der Suchen verwendet. War der Fund eines Ihrer eigenen Assets, kommt es auf die Freigabeliste, damit es nicht wiederkommt.
Ja. Eine Serviceanfrage im Portal oder über die API geht an die Analysten oder den Customer Success Manager, und die Antwort kommt im selben Fall zurück.
Der Rest des Service
Erkennung
Passive DNS, kriminelle Chatgruppen, das Dark Web, App-Stores und Datenleck-Sammlungen, bewertet, bevor ein Analyst hinsieht.
Takedown
Drei Ebenen der Entfernung, unbegrenzte Takedowns und ein Median von 18 Stunden bei Phishing-Seiten.
Berichte
Warnmeldungen zu Phishing und Zugangsdaten innerhalb von 30 Minuten nach der Erkennung, wöchentliche Indikatorlisten, Lageüberblicke und monatliche KPIs.
Bereit anzufangen?
Arbeiten Sie mit Spirity Enterprise zusammen, um die passenden Sicherheits- und IT-Lösungen für Ihr Unternehmen umzusetzen.