Dark Web Intelligence Assessment

Dark Web Intelligence Assessment คือการสืบสวนข้อมูลเกี่ยวกับองค์กรของคุณที่หมุนเวียนอยู่ในแหล่งข้อมูลของอาชญากรและแหล่งใต้ดินอยู่แล้ว ครอบคลุม Credential ของพนักงานที่ถูกขโมย ข้อมูลองค์กรที่ถูกนำออกไป ความเคลื่อนไหวของ Ransomware และการเรียกค่าไถ่ การเข้าถึงเครือข่ายโดยไม่ได้รับอนุญาตที่ถูกประกาศขาย บันทึกจากมัลแวร์ Infostealer และบทสนทนาของผู้ไม่ประสงค์ดีที่กล่าวถึงธุรกิจของคุณ Vantage Point Security เก็บรวบรวมข่าวกรองเหล่านี้ผ่าน Intelligence Partner เฉพาะทาง นำมาเชื่อมโยงกับตัวตนและโครงสร้างพื้นฐานจริงขององค์กรคุณ ตรวจสอบว่าหลักฐานสนับสนุนข้อสรุปใดได้บ้าง แล้วรายงานว่าคุณควรจัดการเรื่องใดก่อน การประเมินนี้ตอบคำถามที่เครื่องมือภายในองค์กรตอบไม่ได้ นั่นคือไม่ใช่ "เครือข่ายของเราปลอดภัยหรือไม่" แต่เป็น "อาชญากรไซเบอร์มีข้อมูลอะไรของเราอยู่ในมือแล้วบ้าง"

เราตรวจสอบเว็บไซต์เผยแพร่ข้อมูลของกลุ่ม Ransomware แพลตฟอร์มเรียกค่าไถ่ ข่าวกรองเหตุการณ์ในอดีต และความเคลื่อนไหวของพันธมิตร RaaS เพื่อหาการอ้างอิงถึงองค์กรของคุณ แล้วนำทุกการอ้างอิงมาเทียบกับหลักฐานประกอบ มีข้อแตกต่างสำคัญที่เรายึดถือตลอดการรายงาน นั่นคือเหตุการณ์ที่ยืนยันแล้วพร้อมข้อมูลที่ถูกเผยแพร่ ต่างอย่างสิ้นเชิงจากการที่ผู้ไม่ประสงค์ดีเพียงกล่าวอ้างว่าเจาะระบบได้ กลุ่มอาชญากรมักระบุเหยื่อผิดพลาด นำข้อมูลรั่วไหลเก่ามาใช้ซ้ำ และเอ่ยชื่อองค์กรที่ตนไม่เคยเข้าถึงจริง เราจะรายงานว่าข้อค้นพบแต่ละรายการอยู่ในประเภทใดและมีหลักฐานใดรองรับ

เราตรวจสอบประกาศของ Initial Access Broker และประกาศในตลาดใต้ดินที่ดูเกี่ยวข้องกับองค์กรของคุณ ประกาศขายช่องทางเข้าถึงมักถูกปกปิดตัวตน โดยผู้ขายจะระบุเป็นกลุ่มอุตสาหกรรม ประเทศ ช่วงรายได้ และประเภทของการเข้าถึง แทนที่จะระบุชื่อบริษัท การเชื่อมโยงกลับมาที่องค์กรจึงต้องอาศัยการเทียบคุณลักษณะที่ประกาศระบุไว้กับสภาพแวดล้อมจริงของคุณ และเราจะระบุระดับความเชื่อมั่นของการเชื่อมโยงนั้นไว้อย่างชัดเจนเสมอ ทั้งนี้การไม่พบประกาศสาธารณะไม่ได้พิสูจน์ว่าไม่มีการซื้อขายช่องทางเข้าถึงเกิดขึ้น เพราะกิจกรรมส่วนใหญ่เกิดในช่องทางปิดและการเจรจาโดยตรง

ระบุได้บางส่วน โดยมีข้อจำกัดที่ต้องเข้าใจ ข่าวกรองจาก Infostealer มักบันทึกว่าอุปกรณ์ที่ติดมัลแวร์เข้าถึงแอปพลิเคชันและ URL ใดบ้าง ดังนั้นเมื่อมีหลักฐานเพียงพอ เราสามารถระบุแอปพลิเคชันขององค์กรที่ปรากฏในบันทึกเหล่านั้นพร้อม Credential ที่เกี่ยวข้องได้ สิ่งที่ไม่สามารถยืนยันได้เสมอไปคืออุปกรณ์ที่ติดมัลแวร์นั้นเป็นทรัพย์สินขององค์กรที่อยู่ภายใต้การบริหารจัดการ เป็นอุปกรณ์ส่วนตัวของพนักงาน หรือเป็นเครื่องของผู้รับเหมา เราจะแยกแยะให้เมื่อหลักฐานเอื้ออำนวย และระบุไว้ชัดเจนเมื่อทำไม่ได้ การยืนยันว่าระบบใดถูกเจาะจริงมักต้องอาศัยการสืบสวนภายใน ซึ่งสามารถกำหนดขอบเขตแยกต่างหากได้

ไม่ต้อง การให้บริการมาตรฐานขับเคลื่อนด้วยข่าวกรองและไม่รุกล้ำระบบ เราตรวจสอบเฉพาะข้อมูลที่สังเกตได้จากภายนอก และไม่ทดสอบ ไม่สแกน และไม่เข้าถึงระบบของคุณ สิ่งที่เราต้องการคือข้อมูลสำหรับกำหนดขอบเขต ได้แก่ โดเมน บริษัทในเครือ ชื่อแบรนด์ และโดเมนอีเมลของคุณ แต่ไม่ต้องใช้ Credential และไม่ต้องเข้าถึงเครือข่าย หากข้อค้นพบบ่งชี้ว่าจำเป็นต้องตรวจสอบภายในเพิ่มเติมหรือต้องทำ Incident Response งานส่วนนั้นสามารถกำหนดขอบเขตแยกต่างหากได้ และเราจะแจ้งให้ทราบอย่างชัดเจนเมื่อเห็นว่าจำเป็น

การประเมินนี้ให้ข่าวกรอง ณ ช่วงเวลาหนึ่ง เป็นการสืบสวนอย่างละเอียดที่สะท้อนสิ่งที่ค้นพบได้ในช่วงเวลาที่ดำเนินการ เนื่องจากความเสี่ยงเปลี่ยนแปลงตลอดเวลา องค์กรจำนวนมากจึงทำซ้ำเป็นระยะ โดยทั่วไปปีละครั้งหรือทุกครึ่งปี หรือหลังเกิดเหตุการณ์ การเข้าซื้อกิจการ และการเปลี่ยนแปลงสำคัญ ส่วนการเฝ้าระวังต่อเนื่องสามารถหารือได้ในฐานะบริการแบบ Managed Service แยกต่างหาก ขึ้นอยู่กับความพร้อมในเชิงพาณิชย์ ซึ่งเป็นรูปแบบการให้บริการและโครงสร้างราคาที่ต่างออกไป

ข้อค้นพบในการประเมินนี้มีความอ่อนไหวโดยธรรมชาติ เพราะอาจรวมถึง Credential เอกสารลับ และรายละเอียดของการถูกเจาะระบบ การเข้าถึงข้อมูลจึงจำกัดเฉพาะที่ปรึกษาที่ทำงานในโครงการนั้น หลักฐานถูกจัดเก็บอย่างปลอดภัย ข้อมูลที่อ่อนไหวจะถูกลดทอนและปกปิดในรายงานเท่าที่ยังทำให้เข้าใจข้อค้นพบได้ และรายละเอียดฉบับเต็มจะส่งมอบผ่านช่องทางที่ควบคุมให้แก่ผู้รับที่คุณระบุชื่อไว้ ข้อตกลงเรื่องการจัดเก็บ ระยะเวลาเก็บรักษา และการทำลายข้อมูล จะตกลงกันในขั้นตอนกำหนดขอบเขตและบันทึกไว้ในเอกสารโครงการ