Bedrohungsinformationen: Leak-Seiten und Passwortdiebe
Was die täglichen Prüfungen von Ransomware-Leak-Seiten, Passwortdieben und abuse.ch für Ihre Domains und Lieferanten bedeuten und was zu tun ist.
Einmal am Tag fragt die Karte Bedrohungsinformationen einer Domain drei spezialisierte Quellen, ob die Domain dort auftaucht, wo Angreifer Spuren hinterlassen. Die Karte erscheint nach der ersten Prüfung; eine Quelle zeigt nichts, solange sie auf dem Dienst nicht aktiv ist.
Leak-Seiten von Ransomware-Gruppen
Ransomware-Gruppen veröffentlichen die Namen der Organisationen, die sie angegriffen haben wollen, um sie zum Zahlen zu drängen. Die Quelle ransomware.live sammelt diese Behauptungen. Wir melden eine Behauptung, wenn die Website des Opfers Ihre Domain oder eine ihrer Subdomains ist: Ein Unternehmen, das nur ein Wort mit Ihrem Namen teilt, wird nicht gemeldet.
Eine Behauptung ist kein Beweis: Gruppen lügen manchmal, verwerten alte Daten erneut oder verwechseln Unternehmen. Prüfen Sie es zuerst mit Ihren Teams. Trifft die Behauptung zu, ist es ein erheblicher Vorfall: Eröffnen Sie ihn unter Vorfälle, um die NIS2-Fristen zu verfolgen.
Dieselbe Prüfung läuft einmal am Tag für die Lieferanten, denen Sie folgen: Ein von einer Gruppe beanspruchter Lieferant trägt in der Liste eine rote Markierung. Fragen Sie beim Lieferanten nach, prüfen Sie, welche Daten und Zugänge er für Sie hat, und bereiten Sie sich auf eine Unterbrechung vor, wenn Sie von ihm abhängen.
Von Passwortdieben infizierte Rechner
Manche Schadsoftware stiehlt die im Browser eines Rechners gespeicherten Passwörter, Cookies und offenen Sitzungen und verkauft sie. Die Quelle Hudson Rock zählt die infizierten Rechner von Beschäftigten (Personen, deren Arbeitskonten auf Ihrer Domain liegen) und von Nutzern oder Kunden (Personen mit einem Konto auf Ihren Websites). Wir erhalten Zahlen, Daten und die Namen sensibler Anwendungen aus den gestohlenen Daten, etwa ein VPN oder ein Single-Sign-on-Portal; nie eine Kennung oder ein Passwort.
Für Beschäftigte: Ändern Sie die Passwörter der betroffenen Konten, beenden Sie ihre offenen Sitzungen, verlangen Sie Mehrfaktor-Authentifizierung und lassen Sie die Rechner prüfen. Eine gleichbleibende Zahl ist eine alte Nachricht; die Karte zeigt, wenn eine neuere Infektion auftaucht.
Schädliche Adressen
abuse.ch verzeichnet Adressen, die Schadsoftware verbreiten (URLhaus), und Angriffsindikatoren (ThreatFox). Steht Ihre Domain oder einer ihrer Hosts darin, wurde Ihre Website wahrscheinlich kompromittiert: Prüfen Sie Dateien und Konten des Servers, bereinigen Sie sie und beantragen Sie dann bei abuse.ch die Entfernung des Eintrags. Ein Eintrag, den die Quellen nicht mehr führen, verschwindet von der Karte.
Benachrichtigungen
Ab dem Solo-Tarif geht jede neue Behauptung, neuere Infektion oder neue Erwähnung einmal an Ihre Benachrichtigungskanäle. Im kostenlosen Tarif läuft die Prüfung einmal pro Woche, und die Karte zeigt die Ergebnisse ohne Benachrichtigung.