Roman Borovits, Senior Systems Engineer bei F5, erklärt, wie Unternehmen Betrug, Cyberangriffe und andere verdächtige Aktivitäten aufdecken können
9 Wege, wie man über Device-IDs Angriffe erkennt
Jedes mobile Gerät besitzt eine eindeutige Identifikationsnummer. Diese Device-ID lässt sich für verschiedene Zwecke nutzen. So können Betreiber von Webseiten damit die Aktivitäten einzelner Nutzer verfolgen und analysieren. Dies dient nicht nur zur Ermittlung von Nutzungsproblemen oder zum Anzeigen personifizierter Werbung, sondern auch zum Schutz des Unternehmens vor Angriffen, Betrugsversuchen und Spionage.
Letztlich können Tools für die Geräteidentifizierung auf 9 verschiedenen Wegen die Sicherheit erhöhen.
1. Angreifer, Betrüger und Bots erkennen:
Mit Hilfe der eindeutigen Device-ID lässt sich nachvollziehen, bei wie vielen Konten sich jedes Gerät anmeldet. Im Durchschnitt greift nur eines von 1.000 legitimen Geräten auf mehr als drei Konten zu – und nur eines von 10.000 auf mehr als 10 Konten. Wenn ein Gerät also auf mehr als drei oder sogar mehr als 10 Konten zugreift, handelt es sich wahrscheinlich um einen Angriff.
2. Bekannte legitime Nutzer durchlassen:
Wenn Stammkunden auf Schwierigkeiten bei der Anmeldung stoßen, sind sie unter Umständen frustriert und geben auf. Das führt zu verlorenem Geschäft und entgangenen Einnahmen. Die Erkennung bekannter legitimer Nutzer durch die Geräte-ID reduziert Hürden bei der Anmeldung, so dass sie schneller und zuverlässiger auf die Website zugreifen können.
3. VPN kann nicht mehr täuschen:
Das Fälschen von IP-Adressen ist einer der ältesten Tricks von Cyberkriminellen. So können sie über VPNs IP-basierte Identifikationssysteme leicht täuschen – hochwertige Geräte-Identifikatoren, die eine große Anzahl von Datenpunkten untersuchen, dagegen nicht.
4. Proxy-Netzwerke erkennen:
Cyberkriminelle verbergen ihre Identität auch mit Hilfe von Proxy-Netzwerken. Eine zuverlässige und eindeutige Gerätekennung deckt diese Verschleierungstaktik auf. Damit können Unternehmen feststellen, ob ein Gerät ihre Website von vielen verschiedenen IP-Adressen aus über Proxy-Netzwerke besucht.
5. Anzahl der Transaktionen messen:
Wenn ein Gerät ungewöhnlich viele Transaktionen durchführt, ist dies selten legitim. Durch das Prüfen der Anzahl der Transaktionen pro Gerät und Zeit kann ein Unternehmen verdächtige oder bösartige Aktivitäten entdecken.
6. Menge der eingesetzten Geräte prüfen:
Die meisten legitimen Nutzer verwenden nur wenige Geräte, um eine Website aufzurufen – ein Mobiltelefon, ein Tablet und vielleicht einen oder zwei Computer. Wenn ein Nutzer über eine große Anzahl verschiedener Geräte auf sein Konto zugreift, weist dies auf Betrug hin.
7. Spoofing der Umgebung:
Auch legitime Nutzer aktualisieren ihre Browser oder wechseln ihre Geräte – aber nicht allzu häufig. Viele Nutzer-Agenten auf einem einzigen Gerät bedeutet, dass ein Angreifer wohl Environment Spoofing betreibt.
8. Session Hijacking:
Manche Angreifer kapern Sitzungen legitimer Nutzer. Wenn viele eindeutige Gerätekennungen in einer Sitzung beobachtet werden, handelt es sich wahrscheinlich um böswillige Aktivitäten wie Man-in-the-Browser-Angriffe (MitB).
9. Probleme bei der Anmeldung / Credential Stuffing:
Jede Unternehmens-Website hat einen durchschnittlichen Prozentsatz an erfolgreichen und fehlgeschlagenen Anmeldungen über Passwort-Eingabe oder Multifaktor-Authentifizierung. Das Berechnen dieses Durchschnitts pro Gerät über einen längeren Zeitraum zeigt signifikante Schwankungen, entweder durch Probleme bei der Anmeldung für legitime Nutzer oder Credential Stuffing durch Angreifer und Betrüger.
