Информационная корпоративная служба

Возможно, Вы знаете что такое OSINT и пользовались поисковиком Shodan, или уже используете Threat Intelligence Platform для приоритизации IOC от разных фидов. Но иногда необходимо постоянно смотреть на свою компанию с внешней стороны и получать помощь в устранении выявленных инцидентов. Digital Shadows позволяет отслеживать цифровые активы компании и её аналитики предлагают конкретные действия.

По сути Digital Shadows гармонично дополняет существующий SOC или полностью закрывает функционал отслеживания внешнего периметра. Построение экосистемы идёт с 2011 года и под капотом реализована масса интересных вещей. DS мониторит Интернет, соц. сети и darknet и выявляет из всего потока информации только важное. 
В своей еженедельной рассылке IntSum компания приводит табличку, которую Вы можете использовать в своей повседневной жизни для оценки источника и полученной информации. С табличкой вы также можете ознакомиться в конце статьи.

Digital Shadows способна обнаружить и погасить фишинговые домены, поддельные аккаунты в социальных сетях; найти скомпрометированные учетные данные сотрудников и утекшие данные, выявить информацию о готовящихся кибератаках на компанию, постоянно отслеживать публичный периметр организации и даже регулярно анализировать мобильные приложения в песочнице.
 

Выявление цифровых рисков

Каждая компания в процессе своей деятельности обрастает цепочками связей с клиентами и партнерами, и данные, которые она стремится защитить, становятся все более уязвимыми, их количество только растёт.
 

Чтобы начать управлять этими рисками, компания должна начать смотреть за пределы своего периметра, контролировать его и получать оперативную информацию об изменениях.

Data Loss Detection (чувствительные документы, доступны сотрудников, техническая информация, интеллектуальную собственность).
Представьте, что ваша интеллектуальная собственность была раскрыта в Интернете или в GitHub репозиторий случайно попал внутренний конфиденциальный код. Злоумышленники могут использовать эти данные для запуска более целенаправленных кибератак.

Online Brand Security (фишинговые домены и профили в соцсетях, имитирующее компанию мобильное ПО).
Поскольку сейчас трудно найти компанию без социальной сети или подобной платформы для взаимодействия с потенциальными клиентами, злоумышленники пытаются выдать себя за бренд компании. Киберпреступники делают это путем регистрации поддельных доменов, учетных записей социальных сетей и мобильных приложений. В случае успеха фишинга / мошенничества, это может повлиять на доход, лояльность и доверие клиентов.

Attack Surface Reduction (уязвимые сервисы на периметре с Интернетом, открытые порты, проблемные сертификаты).
По мере роста ИТ-инфраструктуры продолжает расти поверхность атаки, количество информационных объектов. Рано или поздно внутренние системы могут оказаться случайно опубликованы во внешнем мире, например, база данных.

DS_ оповестит о проблемах раньше, чем ими сможет воспользоваться атакующий, выделит наиболее приоритетные, аналитики порекомендуют дальнейшие действия и тут же можно будет сделать takedown.
 

Интерфейс DS_

Можно использовать непосредственно веб-интерфейс решения или воспользоваться API. 

Как можно заметить, аналитическая сводка представлена в виде воронки, начиная от количества упоминаний и заканчивая реальными инцидентами полученных из разных источников.
 

Многие используют решение как википедию с информацией об активных атакующих, проводимых ими кампаниях и событиях в сфере ИБ.

Digital Shadows легко интегрировать в любую внешнюю систему. Поддерживаются как уведомления, так и REST API для интеграции в свою систему. Можно назвать IBM QRadar, ArcSight, Demisto, Anomali и другие.
 

Как управлять цифровыми рисками — 4 основных шага

Шаг 1: Определение критичных для бизнеса активов

Этот первый шаг, конечно же, заключается в понимании того, о чем организация заботится больше всего и что хочет защитить. 

Можно разделить на ключевые категории:
 

• Люди (заказчики, сотрудники, партнёры, поставщики);
• Организации (родственные и обслуживающие компании, общая инфраструктура);
• Системы и операционные критические приложения (веб-сайты, порталы, базы данных с данными клиентов, системы обработки платежей, системы доступа сотрудников или ERP приложения).

При составлении этого списка рекомендуется следовать простой идее — активы должны быть вокруг критичных бизнес-процессов или экономически важных функций компании.

Обычно добавляют сотни ресурсов, в том числе:
 

• названия компаний;
• бренды / торговые марки;
• диапазоны IP-адресов;
• домены;
• ссылки на социальные сети;
• поставщиков;
• мобильные приложения;
• номера патентов;
• маркировки документов;
• идентификаторы DLP;
• подписи email-писем.

Адаптация сервиса под себя гарантирует получение только релевантных оповещений. Это итеративный цикл, и пользователи системы будут добавлять активы по мере их появления, такие как новые названия проектов, предстоящие слияния и поглощения или обновленные веб-домены.
 

Шаг 2: Понимание потенциальных угроз

Чтобы наилучшим образом подсчитать риски, необходимо понимать потенциальные угрозы и цифровые риски компании.
 

1. Техники, тактики и процедуры злоумышленников (TTP)
   Фреймворк MITRE ATT&CK и другие помогают найти общий язык между защитой и нападением. Сбор информации и понимание поведения по широкому кругу злоумышленников дает очень полезный контекст при защите. Это позволяет понимать следующий шаг в наблюдаемой атаке, либо выстраивать общую концепцию защиты исходя из Kill Chain.
2. Возможности злоумышленников
   Атакующий будет использовать наиболее слабое звено или кратчайший путь. Различные векторы атак и их комбинации — почта, веб, пассивный сбор информации и т.д.

Шаг 3: Мониторинг нежелательных появлений цифровых активов

Чтобы выявлять активы, необходимо регулярно отслеживать большое количество источников, такие как:
 

• Git репозитории;
• Плохо настроенные облачные хранилища;
• Paste сайты;
• Соц. медиа;
• Криминальные форумы;
• Dark web.

Чтобы начать с чего-то, вы можете использовать бесплатные утилиты и техники, ранжированные по степени сложности в руководстве ‘A Practical Guide to Reducing Digital Risk’.
 

Шаг 4: Принятие мер по защите

После получения уведомления необходимо предпринять конкретные действия. Можно выделить Тактические, Операционные и Стратегические.

В Digital Shadows каждое предупреждение включает в себя рекомендуемые действия. Если это фишинговый домен или страница в соцсети, то отслеживать статус выполнения погашения можно в разделе “Takedowns”.
 

Доступ к демо-порталу в течение 7 дней

Сразу оговорюсь, что это не полноценное тестирование, а лишь временный доступ к демо порталу для ознакомления с его интерфейсом и поиска по некоторой информации. Полноценное тестирование будет содержать актуальные для конкретной компании данные и предполагает работу аналитика. 

Демо-портал будет содержать:
 

• примеры предупреждений для фишинговых доменов, открытые учетные данные и слабые места в инфраструктуре;
• поиск по darknet страницам, криминальным форумам, фидам и многом другом;
• 200 профилей киберугроз, инструментов и кампаний.

Получить доступ можно по этой ссылке.
 

Еженедельные рассылки и подкаст

В еженедельной рассылке IntSum можно получать краткую сводку оперативной информации и последних событий за последнюю неделю. Также можно послушать подкаст ShadowTalk.

Для оценки источника Digital Shadows используя качественные утверждения из двух матриц, оценивая достоверность источников и достоверность информации, полученной от них.
 

Статья написана по мотивам ‘A Practical Guide to Reducing Digital Risk’.

Если решение Вас заинтересовало, Вы можете обращаться к нам — компанию Фактор груп, дистрибьютору Digital Shadows_. Достаточно написать в свободной форме на digitalshadows@fgts.ru.

Авторы: popov-as и dima_go.