Digital Risk Protection · Észlelés
Amit nem lát, annak az eltávolítását sem kérheti
Az észlelés minősége a mögötte lévő adatokon múlik. Az új domainregisztrációkat és a keresési találatokat figyelő eszköz megtalálja a feltűnő hasonmásokat, más támadási felületeket viszont könnyen kihagyhat: az aldomaint egy ingyenes oldalépítőn, a fizetett keresőhirdetésen át elért adathalász weboldalt, az ügyfelek belépési adatait árusító zárt Telegram-csoportot. Ez az oldal leírja, mit figyelünk, és hogyan lesz jelek millióiból egy rövid lista, amely megéri egy elemző idejét.
Hatféle forrás
| Forrás | Mit fed le |
|---|---|
| Passzív DNS | Globális passzív DNS-adatok, másodpercenként több millió DNS-feloldási esemény adataival. Megmutatja az új domaineket és aldomaineket, amint feloldódni kezdenek, nem csak az új regisztrációkat. |
| Azonnali üzenetküldés | Több mint 3000 bűnözői csevegőcsoport a Telegramon, a WhatsAppon, a Discordon és az ICQ-n, több mint 12 nyelven. |
| Deep és dark web | Underground fórumok és piacterek, menedzselt elemzői identitásokon keresztül elérve, amelyeknek megvan a hitelük a bejutáshoz. |
| Kapcsolatfelvétel a támadókkal | Havonta több száz alkalom, amikor az elemzők támadókkal lépnek kapcsolatba a szándék megerősítésére és bizonyíték szerzésére. Az Ön szervezete nevében csak egyedi kérésre. |
| Közösségi média | Saját hozzáférés a Facebookhoz, az Instagramhoz, a LinkedInhez, az X-hez, a TikTokhoz és a Bluesky-hoz a megszemélyesítés észlelésére. |
| Adatszivárgási és szkennelési adatok | Személyes adatok több ezer adatszivárgásból, valamint IP-címenként több mint 2000 port aktív szkennelése. |
A mobilalkalmazásokat több mint 300 hivatalos és nem hivatalos alkalmazásáruházban ellenőrizzük.
Miért nem elég a domainnév
A hasonmás domain az a támadás, amelyre mindenki számít, és még mindig gyakori. A legtöbb kárt okozó kampányok azonban egyre inkább elkerülik.
Oldalépítők
Egy adathalász kampány ingyenes oldalépítő-sablonokat használt újra, és több mint 200 amerikai bankot célzott egy megbízható oldalépítő aldomainjeiről. Nem volt új domainregisztráció, amit észlelni lehetett volna.
Keresőhirdetések
A rosszindulatú keresőhirdetéseken át elért adathalász weboldalak 70%-a semmiben sem hasonlított a márka domainjére, a rosszindulatú hirdetések létrehozása pedig 2023-ban 28%-kal nőtt (a BlueVoyant keresőhirdetésekről szóló 2024-es kutatása).
Fizetési márkás készletek
Egy készlet egy fizetési márkát személyesített meg, és az áldozatok több száz bank közül választhatták ki a sajátjukat. A célzott bank neve soha nem jelent meg a domainben.
Ezért indul a gyűjtés a passzív DNS-ből és az oldalak tartalmából, nem csak a regisztrációs adatokból. Az az oldal, amely az Ön logóját viseli, az Ön HTML-jét másolja vagy az Ön bejelentkezési oldalát tölti be, megtalálható, bármilyen is a címe.
Kilenc modell, mielőtt ember nézné
A gyűjtés sokkal több jelöltet termel, mint amennyit bármely csapat el tudna olvasni. Kilenc automatizált komponens pontozza és szűri őket, így az elemzők rangsorolt listából indulnak. A gépi gyűjtés, rangsorolás és bizonyíték-előkészítés után a döntés az elemzőé, a jóváhagyott eltávolítási kérelem benyújtása pedig az Ön szabálya szerint történik.
| Komponens | Mit csinál |
|---|---|
| Hasonlósági pontozás | Egy szöveghasonlósági modell 0-tól 100-ig pontozza, mennyire utánozza egy domain az Önét. |
| Gyanús domainek észlelése | A regisztrációs és infrastruktúra-adatok jelzik a kockázatos profilú domaineket. |
| Domainfigyelés | A parkoltatott és inaktív domaineket rendszeresen újra ellenőrizzük, és riasztunk, ha a viselkedésük megváltozik. |
| Gépi látás | Egy mélytanulási modell felismeri a logóját és annak változatait egy oldalon. |
| HTML-modell | Gépi tanulás találja meg a bejelentkezési oldalakat és a kódját vagy dizájnját újrahasznosító oldalakat. |
| Közösségi média észlelés | A profilokat és oldalakat megvizsgálja és pontozza megszemélyesítésre. |
| Arcfelismerés | A nevesített vezetők megszemélyesítését ismeri fel a fényképeik alapján. |
| Üzenetküldő csoportok figyelése | Lopott hitelesítési és fizetési adatokat keres csevegőcsoportokban és dark web forrásokban. |
| Eltávolítás-automatizálás | Összeállítja a bizonyítékcsomagot, hogy a jóváhagyott eltávolítási kérelmek nagy számban is benyújthatók legyenek. |
Hogyan halad végig egy gyanús domain a feldolgozáson
- Kiindulás. A márkakulcsszavai, hivatalos domainjei, logói és az oldalai tartalma határozza meg, mit keresünk.
- Felderítés. A passzív DNS, az új regisztrációk, a tárhelyplatformok és oldalépítők aldomainjei, valamint a keresőhirdetések adják a jelölteket.
- Pontozás. A hasonlósági pontszám, a gépi látással végzett logóegyezés és a HTML-hasonlóság rangsorolja a kockázatot. Ha egy hasonmás domainhez MX-rekord tartozik — vagyis levelek fogadására van beállítva —, ezt kockázati jelként vesszük figyelembe, és a súlyosság emelkedhet.
- Ellenőrzés. Egy elemző átnézi a tartalmat, kiveszi az ártalmatlan átirányításokat és oldalakat, és rögzíti a bizonyítékot. Hogyan működik az elemzői ellenőrzés →
- Figyelés. A parkoltatott domaineket rendszeresen újra ellenőrizzük. Ha az egyik aktívvá válik, új riasztás születik, és kérhető az eltávolítása.
Közösségi média: egy osztályozó, aztán egy elemző
Minden profilt két dolog alapján pontozunk: mennyire tűnik valódinak, és mennyire hasonlít a hivatalos fiókjaira. A valódiság jelei közé tartozik a követők száma, a megjelenített név és a felhasználónév egyezése, valamint a szokatlan jelek vagy számok a nevekben. A hasonlóság a neveket, a szövegeket és a profilképeket veti össze a hivatalos lábnyomával. A címkézett valódi és hamis profilokon tanított, gradiensnövelt osztályozó hozza az első döntést; a pozitív találatok elemzőhöz, majd a platformhoz kerülnek.
Ezért számít a hivatalos fiókok listája, amelyet a bevezetéskor megad: ehhez mérjük a hasonlóságot.
Három integráció, amely már meglévő adatait használja
| Integráció | Hogyan működik | Mit talál meg |
|---|---|---|
| Webes jelzőkód | Egy rövid JavaScript-részlet a hivatalos bejelentkezési oldalán. Ha az engedélyezett domainjein kívül fut le, rövid API-hívást küld az észlelőrendszernek, így a lemásolt oldal elemzése azonnal elkezdődik. | A bejelentkezési oldala lemásolt példányait, amint betöltődnek. |
| Visszaélés-bejelentő postafiók | A visszaélés-bejelentő postafiókjába érkező adathalász panaszokat automatikusan továbbítjuk. Az URL-eket kinyerjük, és automatizált észlelésen futtatjuk át, majd elemzői ellenőrzés és az eltávolítási szabálya következik. | Adathalász weboldalakat, amelyeket az ügyfelei már láttak, anélkül, hogy a csapatából bárki válogatná a bejelentéseket. |
| Hivatkozási naplók | A weboldala munkamenet-naplói megmutatják, honnan érkeztek a látogatók. | Adathalász weboldalakat, amelyek utólag a valódi oldalára irányítják az áldozatokat, hogy elfedjék a nyomaikat. |
A háromból egyikhez sem kell új licenc vagy új munkatárs. Mindegyik korábbi észlelést ad, a visszaélés-bejelentő postafiók pedig levesz egy kézi feladatot a csapatáról.
A szolgáltatás határai
A zárt közösségek lefedettsége széles, nem teljes. Több ezer csevegőcsoportot és fórumot figyelünk, de mindegyikhez senkinek sincs hozzáférése, és a legzártabb csoportok okkal zártak.
A keresés éjjel-nappal fut; az elemzők nem. A lefedett forrásokat folyamatosan keressük, és riasztunk. Az elemzői ellenőrzés munkaidőben történik, sürgős ügyben hétvégén is.
Az észlelés a lábnyomot követi. A bevezetési listájáról hiányzó márkát, alkalmazást vagy vezetőt a szolgáltatás nem tudja megbízhatóan felismerni.
Gyakran ismételt kérdések
A biztonsági és IT-vezetőktől leggyakrabban kapott kérdések.
Nem találja, amit keres? Kérdezzen tőlünk közvetlenül
Egy domainfigyelő eszköz a regisztrációkat nézi, és jelzi, hogy létezik egy hasonmás. Ez a passzív DNS-t, az oldalak tartalmát, a közösségi médiát, az alkalmazásáruházakat és a bűnözői csatornákat figyeli, így aldomaineket, megbízható platformokon lemásolt oldalakat, hamis profilokat és kiszivárgott hitelesítési adatokat is talál. Amit talál, azt elemző ellenőrzi, és ahol lehet, kérjük az eltávolítását, nem egy listában hagyjuk.
Gyakran igen. Parkoltatott hasonmás domaint is jelezhetünk, és később rendszeresen újra ellenőrizzük, változott-e a használata. Ha aktívvá válik, új riasztás születik. Egy üres, parkoltatott domain eltávolítása általában nem kérhető, ezért figyeljük helyette.
A bűnözői csevegőcsoportokat több mint 12 nyelven figyeljük. Ha egy konkrét ügyben kéri, hogy egy elemző lépjen kapcsolatba a támadóval, az a beszélgetés 24 nyelven folytatható, köztük magyarul és németül.
A szolgáltatás többi része
Bevezetés
Mire van szükségünk az induláshoz, és a megrendeléstől az éles működésig tartó két-három hét.
Elemzői ellenőrzés
Minden találatot elemző ellenőriz: a téves találatok kikerülnek, a bizonyíték és a javasolt intézkedés a riasztásba kerül.
Márkavisszaélés
Hasonmás domainek, adathalász weboldalak, hamis közösségi profilok és hamis alkalmazások felderítése és bejelentése.
Készen áll a kezdésre?
Dolgozzon együtt a Spirity Enterprise-zal, hogy a szervezetéhez illő biztonsági és IT-megoldások valósuljanak meg.