Wie findet und verfolgt Recorded Future Cyberbedrohungen? Der Leiter der Datenwissenschaft erklärt es.

Matt Kodama, Leiter der Datenwissenschaft beim Cybersicherheitsunternehmen Recorded Future, vergleicht seine Arbeit mit der Arbeit im Küchenbereich eines Restaurants. Sein Team kauft die Lebensmittel ein, entwirft Rezepte, kocht und richtet das Essen an. 

Die Komponenten, mit denen sein Team arbeitet, sind Datenfragmente, die sie aus dem gesamten Web zusammentragen und anschließend analysieren, um nützliche Informationen für die Kunden herauszufiltern. Diese Informationen werden dann in die Softwareplattform von Recorded Future eingespeist, die von großen Finanzinstitutionen, Regierungen und vielen anderen genutzt wird, um potenzielle Bedrohungen für ihre Organisationen in Echtzeit zu verfolgen – sowohl online als auch in der realen Welt. 

Das Mastercard-Newsroom-Team besuchte kürzlich den Hauptsitz von Recorded Future, das im Dezember Teil von Mastercard wurde, und hatte die Gelegenheit, sich mit Kodama zusammenzusetzen und mehr über seine Arbeit zu erfahren. 

Das folgende Fragen-und-Antworten-Gemisch wurde aus Gründen der Länge und Klarheit bearbeitet. 

Es deckt das gesamte Spektrum ab, angefangen bei vielen Arten von Daten, die öffentlich zugänglich sind. Am anderen Ende des Spektrums haben wir einige clevere und ausgeklügelte Methoden entwickelt, um auf Daten aus schwerer zugänglichen Quellen zuzugreifen, die häufig von Cyberkriminellen genutzt werden. 

Für Cyberkriminelle ist der Diebstahl von Informationen von den Computern einzelner Personen derzeit eines der wichtigsten Geschäfte. Jetzt haben die Angreifer Ihre Anmeldedaten, Ihre Passwörter, Ihre Cookies, alle Informationen darüber, wie Ihr Computer aussieht. Mit diesen Daten kann der Angreifer eine gefälschte Maschine erstellen, die wie Ihr Computer aussieht, und den Browserverkehr dieser gefälschten Maschine so manipulieren, dass er aus Ihrer Stadt zu kommen scheint. 

Wenn Sie als Angreifer im Bereich Enterprise -Ransomware tätig sind, sind das hervorragende Informationen, um in das Netzwerk einzudringen, das Sie anvisieren. Die Anzahl der Dateien von infizierten Computern wie diesem, die zum Verkauf angeboten werden, ist wahnsinnig. Das ist ein großes Geschäft.

Es ist eine verrückte, verrückte Welt. Es ist wie ein Flohmarkt. 

Vielen Kunden ist wichtig, ob sie so schnell wie möglich erfahren können, dass ein riskantes Login, beispielsweise zu ihrem VPN, kompromittiert wurde. Sie können sehr spezifische Sicherheitsmaßnahmen ergreifen. Falls eine Anmeldesitzung besteht, beenden Sie diese. Setzen Sie das aktuell für diesen Login verwendete Passwort zurück. Denn im Grunde ist es ein Wettlauf: Wie schnell werden diese Informationen von Angreifern genutzt, und wie schnell können die Verteidiger das Problem entdecken und beheben? 

Alle Computer, die versuchen, Nachrichten über das Internet zu senden, benötigen diese Tabellen, die besagen: „Wenn Sie versuchen, mit dieser Domain online zu kommunizieren, senden Sie eine Nachricht an diese IP-Adresse.“ Es ist wie das Telefonbuch für das Internet. 

Eine wirklich einfache, aber tatsächlich ziemlich effektive Analysemethode besteht darin, all diese Informationen zu nehmen und zu fragen: „Was ist heute da, was gestern noch nicht da war?“ Es werden ständig neue Unternehmen gegründet, und natürlich scheitern viele davon. Es ist also völlig normal, dass neue Domains auftauchen, dann niemandem schaden und anschließend wieder verschwinden. Ich kann also nicht einfach allen sagen: „Hey, das ist eine neue Domain, blockiert sie.“ Wir können stattdessen jede einzelne dieser neuen Domains durchgehen und versuchen, eine Verbindung zu ihr herzustellen. Und wenn das Sicherheitszertifikat, das mir zurückgesendet wird, ein neues Zertifikat ist und seltsam aussieht, dann handelt es sich um riskante Zertifikate. 

Im Grunde möchte der Kunde am Ende nur sagen: „Könnten Sie mir bitte eine sehr kurze Liste von Domainnamen geben, die ich in meinen [Domain Name System]-Filter einfügen soll, um sicherzustellen, dass keiner meiner Mitarbeiter diese Domain aufruft?“ Wenn sie es blockieren können, ist das der Goldstandard. 

Im Idealfall ja. Die Bösen müssen erst ihre Infrastruktur aufbauen, bevor sie sie nutzen können. Die Idee besteht darin, extrem schnell zu erkennen, wann Infrastruktur aufgebaut wird, und dann korrekt herauszufinden, welche neue Infrastruktur von Bedrohungsakteuren betrieben wird und welche von normalen und harmlosen Systemen.

Das Problem in der Welt ist, dass es so viele böse Männer gibt. Wenn ich einem Unternehmen auf magische Weise eine Liste aller Domainnamen liefern könnte, die mit sehr, sehr hoher Wahrscheinlichkeit ein hohes Risiko darstellen und die es blockieren sollte – es verfügt nicht über Sicherheitskontrollen, die für eine solche Anzahl von Domains skalierbar sind. Es gibt einfach zu viel Schlechtes. Die Kunden sind sehr, sehr an jeglichen Erkenntnissen interessiert, die wir ihnen geben können – nicht nur daran, dass dieser Domainname riskant ist, sondern auch daran, wen sie ins Visier nehmen und welche Anzeichen darauf hindeuten, dass sie es auf Leute wie mich abgesehen haben. Denn dann würde ich der Nutzung dieser Information für meine Sicherheit Priorität einräumen, gegenüber, ehrlich gesagt, wahrscheinlich 90 % ähnlicher Bedrohungen, die fast genauso aussehen, aber es auf jemand anderen abgesehen haben. 

Die Kunden stehen vor einem sehr schwierigen Optimierungsproblem, beispielsweise der begrenzten Kapazität ihrer Sicherheitskontrollen. Worauf werden sie sich konzentrieren? Es ist zu viel. Und so sind sie sehr daran interessiert, von uns Erkenntnisse zu erhalten, die ihnen bei diesem Optimierungsproblem helfen.