网络犯罪分析清单

核心观点与关键数据

SOC团队需要更好的数据和方法来应对威胁员工数字身份和企业数据的安全挑战。为了最大化SOC资源并改善安全结果，团队必须拥有更好的、更具行动指导性的暴露数据。

SpyCloud的方法

SpyCloud的网络犯罪分析方法将原始的、未结构化的暗网数据转化为可行动的见解，帮助快速识别和响应泄露的密码、cookies以及身份数据的确切匹配暴露，从而更好地保护业务免受有针对性的网络攻击。

建立可操作数据的基础

1. 数据来源可靠性：确保数据来自可信赖来源，而非仅从表面级论坛抓取或重新打包成组合列表。
2. 数据处理：数据应被解析、规范化和去重复，转换为机器可读的信息。
3. 数据速度：数据发布速度需足够快，以便在犯罪分子使用之前采取行动。
4. 数据丰富度：数据应包括关键细节，如漏洞来源和描述、恶意软件感染路径、IP地址和目标URL，并确保记录中包含明文密码。
5. 数据关联性：能够将凭证关联到多个泄露和恶意软件记录中，按优先级分类处理。
6. 犯罪策略覆盖：数据需涵盖被盗会话cookie、API密钥、Webhooks等日益成为攻击目标的资产。
7. 风险敞口检测：检测领导客户、第三方供应商和供应链中的风险敞口。

将可操作数据集成到自动化工作流

1. 自动扫描暴露凭据：在目录服务中每日运行扫描，检查活跃员工使用的任何暴露凭据，通过对比明文密码消除误报。
2. 自动强制重置密码：找到匹配项后，自动强制重置密码或禁用账户，防止针对特定账户的接管。
3. SIEM自动化分析：持续向SIEM输入漏洞和恶意软件记录，推动有成效的调查并缩短攻击窗口。
4. SOAR自动化工作流：在SOAR中自动创建事件，自动化重置暴露的应用凭证或关闭低严重性事件，并通过检索额外的丰富和分析后的身份数据集成到剧本中。

研究结论

防范下一代威胁需要连接网络犯罪数据的点。了解身份暴露的全部广度，防止全面的针对性攻击，意味着使用升级的数据和自动化基础组件。高保真数据可减少警报疲劳，通过可操作的数据和自动化节省SOC团队60%的时间和资源。

客户案例

安东尼·布鲁森（安全运营经理，LendingTree）表示：“我知道如果我收到SpyCloud警报，这是可行的。我们认为SpyCloud是值得信赖的资源，对于可能影响的任何类型的事件，我们的消费者或员工。”