Inloggegevens

De sectie Inloggegevens geeft je een speciaal overzicht van alles wat Stoïk heeft gevonden met betrekking tot gelekte inloggegevens en gecompromitteerde apparaten voor jouw organisatie.

Hoe het werkt

Stoïk Protect is verbonden met drie externe inlichtingenproviders:

• LeakCheck houdt openbare datalekken in de gaten — incidenten waarbij de gebruikersdatabase van een bedrijf werd gehackt en online werd gelekt.

• Hudson Rock en Flare verzamelen infostealer-logs — gegevens die stilletjes zijn weggenomen van apparaten van medewerkers die met malware zijn geïnfecteerd.

Op basis van de assets die je hebt opgegeven in External Scan (domeinnamen, IP-adressen), raadpleegt Stoïk deze providers continu op alles wat verband houdt met jouw organisatie. Resultaten stromen door naar twee tabbladen: Blootgestelde gegevens en Waarschuwingen.

Blootgestelde gegevens

Blootgestelde gegevens is de volledige intelligence-feed — elk stukje data dat Stoïk online over jouw organisatie als gelekt heeft gevonden.

Het is onderverdeeld in drie subtabs:

Subtab	Wat het bevat
Ruwe logs	Elk lekrecord, alle gegevenstypen (inloggegevens, cookies, e-mails, telefoonnummers, IP-adressen, …)
Inloggegevens	Alleen lekken van het type inloggegevens: URL + login + wachtwoord
Cookies	Sessiecookies die zijn geëxfiltreerd van geïnfecteerde apparaten

Voor elke vermelding toont het zijpaneel de intelligenceprovider die deze heeft gevonden, de geschatte lekdatum, het gegevenstype en eventuele gekoppelde waarschuwing.

Wat te doen: Bekijk nieuwe vermeldingen en bevestig ze zodra ze zijn onderzocht. Bevestigde vermeldingen blijven zichtbaar maar tellen niet meer als nieuw.

Een vermelding in Blootgestelde gegevens betekent niet noodzakelijk dat de inloggegevens vandaag nog werken. Als we hebben bevestigd dat dat zo is, verschijnt deze als een waarschuwing voor Geldige inloggegevens in het tabblad Waarschuwingen.

Waarschuwingen

Waarschuwingen zijn zaken waarvan Stoïk actief heeft bevestigd dat ze onmiddellijke actie vereisen. Er zijn twee types:

Geldige inloggegevens

Een waarschuwing voor Geldige inloggegevens betekent dat Stoïk in Blootgestelde gegevens een gelekte URL + login + wachtwoord heeft gevonden en heeft bevestigd dat deze nog steeds toegang geeft tot een van je diensten vandaag (Microsoft 365, Fortinet VPN, Citrix, blootgestelde webpanelen en andere).

Dit is geen historisch lek. Het is een werkend inloggegeven dat een aanvaller nu meteen kan gebruiken.

Wat te doen:

1. Stel onmiddellijk het wachtwoord van het getroffen account opnieuw in.

2. Schakel multifactorauthenticatie (MFA) in voor dat account als dat nog niet actief is.

3. Controleer of hetzelfde wachtwoord op andere diensten wordt hergebruikt — wijzig die ook.

4. Markeer de waarschuwing als opgelost zodra dit is gedaan. Stoïk verifieert de remediëring.

Geïnfecteerd apparaat

Een waarschuwing voor een geïnfecteerd apparaat betekent dat een van de apparaten van je medewerkers door Hudson Rock of Flare is geïdentificeerd als gecompromitteerd door infostealer-malware. Het apparaat exfiltreert actief gegevens — wachtwoorden, cookies, browserautovullen, opgeslagen inloggegevens — totdat het volledig is gewist.

Wat te doen:

1. Isoleer het apparaat onmiddellijk van het netwerk (verbreek de verbinding met wifi en LAN).

2. Wis het apparaat volledig en installeer het vanaf nul opnieuw. Alleen een virusscan is niet voldoende.

3. Dwing een wachtwoordreset af voor alle accounts die op dat apparaat zijn gebruikt.

4. Maak actieve sessies op die accounts ongeldig (meld overal af) om eventuele gestolen sessiecookies onschadelijk te maken.

5. Schakel MFA in voor de getroffen accounts.

Persoonlijke apparaten Stoïk detecteert geïnfecteerde apparaten op basis van activiteit van zakelijke accounts — het kan niet bepalen of het apparaat zelf een door het bedrijf verstrekte machine is of een persoonlijk apparaat. Het is daarom mogelijk dat een persoonlijk apparaat (een telefoon of laptop waarop een medewerker een zakelijk account heeft gekoppeld) als een waarschuwing voor een geïnfecteerd apparaat verschijnt. Als je vaststelt dat een waarschuwing betrekking heeft op een persoonlijk apparaat, kun je het apparaattype rechtstreeks aanpassen vanuit het zijpaneel van de waarschuwing:

1. Open de waarschuwing.

2. Wijzig de Apparaattype van Zakelijk naar Persoonlijk.

De waarschuwing krijgt de status Afgewezen status. Hij blijft zichtbaar in de lijst maar wordt standaard eruit gefilterd en telt niet langer als een actieve waarschuwing.

Zelfs op een persoonlijk apparaat blijven de zakelijke accounts die erop zijn gebruikt risicovol. Voordat je de waarschuwing afwijst, moet je ervoor zorgen dat de medewerker de wachtwoorden heeft gereset en actieve sessies ongeldig heeft gemaakt voor elk zakelijk account dat hij of zij op dat apparaat heeft gebruikt.

Als je denkt dat een waarschuwing een vals positief is, kun je rechtstreeks vanuit het zijpaneel om verwijdering vragen. Stoïk beoordeelt het verzoek voordat het wordt gesloten.

Hoe Alerts en Exposed Data met elkaar verbonden zijn

Waarschuwingen voor Geldige inloggegevens worden opgebouwd uit Exposed Data: Stoïk haalt gelekte inloggegevens uit de feed en test ze tegen je diensten. Wat nog werkt, wordt doorgezet naar Alerts.

Waarschuwingen voor Geïnfecteerd apparaat werken andersom: elk gecompromitteerd apparaat levert doorgaans een payload met gestolen gegevens op (wachtwoorden, cookies, browsergegevens) die in Exposed Data terechtkomt. Wanneer je een waarschuwing voor een geïnfecteerd apparaat opent, zie je de bijbehorende vermeldingen in Exposed Data.

Frequentie van gegevensvernieuwing

Stoïk raadpleegt elke provider volgens een vast schema:

• Flare: Elke 24 uur

• Hudson Rock: Elke 72 uur

• LeakCheck: Elke 7 dagen

Exposed Data en waarschuwingen voor een geïnfecteerd apparaat volgen hetzelfde schema als hun respectieve provider.

Waarschuwingen voor geldige inloggegevens worden getest zodra nieuwe blootgestelde inloggegevens worden gedetecteerd. Stoïk test ze daarna elke 3 dagen opnieuw totdat het inloggegeven niet langer werkt, zodat de waarschuwing automatisch wordt opgelost zodra het wachtwoord is gewijzigd.

Gerelateerde artikelen

• Hoe je de Stoïk External Scan configureert