Het idee achter threat feeds is valide. Maar we zouden stellen dat het zijn beste tijd heeft gehad. En met de technologie van vandaag zijn er betere opties.
Threat feeds zijn (vaak) een lijst met community-gedreven beveiligingsinformatie. Wanneer iemand een kwetsbaarheid ontdekt, plaatsen ze handmatig een melding in de threat feed. Die wordt vervolgens opgepikt en verschijnt in de feed, waar beveiligingsprofessionals bij hun respectieve bedrijven het lezen en hun eigen systemen controleren om te zien of ze vatbaar zijn voor potentieel gevaar. Ze hebben een aantal voordelen: de community is vaak vrij groot, waardoor deze feeds gevuld zijn met waardevolle informatie. En preventief werken is altijd goed als het om cybersecurity gaat.
Er zitten echter een aantal flinke zwakke plekken in dit systeem.
Dit hele systeem vereist veel handmatig werk. En handmatig werk is vaak traag en foutgevoelig. Dat is een groot nadeel als het om threat feeds gaat. Een ander groot minpunt is dat deze threat feeds vaak openbaar zijn. Handig voor iedereen om informatie te verkrijgen, maar ook nadelig omdat… iedereen de informatie kan inzien, inclusief kwaadwillenden. Bovendien bevatten de rapporten vaak alleen domeinnamen, die hackers binnen enkele minuten vervangen zonder hun kwaadaardige code te hoeven herschrijven. Het is een wilde achtervolging waarbij de prooi nooit gevangen wordt, alleen een beetje gehinderd. Niet ideaal.
Dat gezegd hebbende, laten we wat dieper ingaan op hoe threat feeds precies werken.
Hoe Verzamelen Threat Feeds Hun Informatie?
- Netwerkverkeersanalyse: Het monitoren van netwerkverkeer helpt bij het identificeren van verdachte patronen, malwarehandtekeningen en communicatie met bekende kwaadaardige IP-adressen.
- Honeypots en lokvallen: Sommige organisaties zetten systemen op die bedoeld zijn om aangevallen te worden, zodat ze informatie kunnen verzamelen over nieuwe bedreigingen en aanvalsmethoden.
- Rapporten en analyse van datalekken: Openbaar gemaakte inbreuken en beveiligingsincidenten bieden waardevolle inlichtingen over de tactieken, technieken en procedures (TTPs) die aanvallers gebruiken.
- Samenwerking en informatie-uitwisseling: Organisaties delen vaak inlichtingen met elkaar en bundelen hun middelen om een breder beeld te krijgen van het cyberdreigingslandschap.
- Dark web- en forummonitoring: Sommige aanbieders van dreigingsinformatie monitoren dark web-forums en -marktplaatsen waar aanvallers tools, diensten en gestolen gegevens verhandelen, om zo inzicht te krijgen in opkomende bedreigingen.
- Threat hunting: Onderzoekers gebruiken externe data van derden (soms ook intern) om nieuwe Indicators of Compromise (IOCs) te ontdekken. Populaire portals van derden zijn onder andere Virustotal, Shodan en Censys.
Wat Doe Je Met Deze Informatie?
Preventieve maatregelen: Door je te abonneren op threat feeds kun je bekende kwaadaardige IP-adressen, domeinen en bestandshandtekeningen op de zwarte lijst zetten, waardoor aanvallen worden voorkomen voordat ze plaatsvinden.
Incidentrespons en forensisch onderzoek: Wanneer er een beveiligingsincident plaatsvindt, wordt dit gerapporteerd en in de threat feed geplaatst.
Dit zijn allemaal goede zaken!
De Nadelen van Threat Feeds
- Zero-day kwetsbaarheden: Als je doelwit bent en gecompromitteerd raakt, helpen threat feeds je niet. Erger nog: je merkt het waarschijnlijk pas dagen later. Het heeft weinig zin om de ophaalbrug op te halen nadat de aanvallers al overgestoken zijn.
- Proces- en menselijke kwetsbaarheden: We hebben het er al over gehad, maar handmatig werk en menselijke invoer zijn foutgevoelig. Zo maken social engineering-aanvallen misbruik van menselijke kwetsbaarheden om mensen te verleiden gevoelige informatie prijs te geven of toegang te verlenen tot beveiligde systemen.
- Patchen en mitigatie: Het patchen van kwetsbaarheden is niet altijd eenvoudig. Vertragingen bij het uitrollen van patches, compatibiliteitsproblemen en de beschikbaarheid van patches kunnen systemen voor langere tijd blootstellen aan risico's.
- Risicobeheer: Organisaties moeten kwetsbaarheden prioriteren op basis van risico, waarbij ze zich richten op het patchen van de kwetsbaarheden die de grootste bedreiging vormen voor hun kritieke bedrijfsmiddelen.
- Onjuiste informatie: Omdat threat feeds open source zijn, kunnen ze vatbaar zijn voor fout-positieven. Iedereen kan misleid worden door valse informatie die er opzettelijk of per ongeluk in is geplaatst. Het is belangrijk om de informatie regelmatig te valideren, anders kan het zijn dat een ooit kwaadaardig domein nu legitiem wordt gebruikt, of andersom.
De Meer Volledige Oplossing
We hebben cside ontwikkeld als het krachtigste tegenmiddel tegen JavaScript-aanvallen. We integreren threat feed-data in onze complete oplossing, die bestaat uit een klein script dat het volgende doet:
- Bronnen van scripts herschrijven om ze via de cside-proxy te routeren en browsergebaseerde detecties uit te voeren. Hierdoor bevindt cside zich in de stroom van het verzoek tussen de gebruiker en het script van derden. Dit biedt volledig inzicht in de geserveerde scripts, gedurende 100% van de sessie. Veel andere leveranciers nemen steekproeven van browsersessies, waardoor aanvallen die zijn gebouwd om slechts op een klein percentage van de gebruikers van toepassing te zijn, lange tijd onder de radar kunnen blijven.
- Inline scripts en verdacht gedrag detecteren dat mogelijk alleen optreedt in de specifieke browser waarmee het script is opgehaald. Dit is onze speciale geheime saus.
We monitoren ook meer dan 60 attributen en gebruiken AI om in realtime indicatoren van kwaadaardige intenties te markeren. Onze oplossing houdt rekening met historische context, wat betekent dat veranderingen in de loop van de tijd worden beoordeeld, waardoor het gemakkelijker wordt om plotselinge overnames te herkennen. Bovendien gebruikt cside AI om de code van het script van derden te analyseren. De combinatie van onze voortdurend evoluerende detectiemechanismen betekent dat we de poging in milliseconden kunnen herkennen en deze kunnen stoppen voordat er kwaadaardige operaties plaatsvinden, of een waarschuwing kunnen geven als er gevaarlijk gedrag optreedt.
Lees hier hoe onze complete oplossing werkt in vergelijking met andere oplossingen.
Per 31 maart 2025 verplicht de PCI DSS 4.0-vereiste 6.4.3 alle websites die online betalingen verwerken om elk script op betaalpagina's te autoriseren, een inventaris bij te houden van alle scripts en de integriteit ervan te waarborgen. Door gebruik te maken van de gratis versie van cside voldoe je aan deze vereisten.
Lees meer over de PCI DSS 4.0-vereisten.
