Data Leak Detection — Suche in geleakten Daten // MODULE

Data Leak Detection — Suche in geleakten Daten

Suchmaschine über den Bestand geleakter Dokumente, den die Plattform indexiert — Dumps, Combolists, Infostealer-Logs, Forum-Abzüge und Material, das die Kundenorganisation selbst einliefert. Die Abfrage läuft föderiert: Eine Anfrage geht an alle konfigurierten Index-Server, und die Antworten kommen zu einem einzigen Ergebnis verschmolzen zurück.

Überblick

Jedes Dokument wird in Abschnitte zerlegt in den Index aufgenommen. Die Suche gleicht den Begriff gegen den Text des Abschnitts (Gewicht 3), den Dateinamen (Gewicht 2) sowie die Metadaten zu Abschnitt und Titel ab, verzeiht dabei Tippfehler und liefert bis zu drei Fragmente zurück, in denen der Begriff mitten im Satz hervorgehoben ist — die Analystin liest den Kontext, ohne die Datei zu öffnen.

Über dem Ergebnis liegen drei Aggregationen, die zugleich als Filter und als Diagnose des Fundes dienen: nach Dateityp, nach Kategorie und nach Herkunftsquelle. So stellt sich zum Beispiel heraus, dass dieselbe CNPJ in fünfzehn Tabellen einer Quelle und in einer einzigen E-Mail einer anderen auftaucht.

Wie es im Inneren funktioniert

Föderation und Seitenaufteilung. Die Plattform ermittelt die Index-Server aus der Umgebungskonfiguration und fragt sie alle ab. Die Aggregationen werden Schlüssel für Schlüssel summiert, die Treffer im bereits verschmolzenen Gesamtergebnis neu nach Relevanz sortiert und erst dann auf Seiten verteilt. Fällt ein Server aus, antworten die übrigen und der Ausfall wird protokolliert — die Suche ist nicht dem langsamsten Knoten ausgeliefert.

Fail-closed-Isolierung. Der Filter nach Organisation wird für alle, die nicht globale Administratoren sind, immer angewandt — auch dann, wenn das Organisationsfeld bei einem Teil der indexierten Dokumente noch fehlt. Die Wirkung ist beabsichtigt: Ein Dokument ohne dieses Feld trifft nicht zu und erscheint nicht. Die technische Entscheidung bestand darin, das frühere Verhalten — Filter fallen lassen, wenn das Feld fehlt, und alles ausliefern — durch eines zu ersetzen, das im Zweifel zu wenig zeigt. Bei der Suche in geleakten Daten ist ein falsch Negatives ein Ärgernis; ein Datenübertritt zwischen Kunden ist ein Sicherheitsvorfall.

Quellenübergreifender Fingerabdruck. Dieselbe Datei kursiert über mehrere Kanäle. Die Plattform speichert zu jedem Dokument sha256, sha1 und md5, dazu einen Zähler der Vorkommen und die Daten des ersten und des letzten Auftretens. Das beantwortet eine Frage, an der die Volltextsuche scheitert: Ist dieser Dump neu — oder ist es derselbe vom März in neuer Verpackung?

Zuordnung mit ausgewiesener Konfidenz. Jeder Fingerabdruck kann Zuordnungen erhalten: Akteur, Kampagne, Herkunftskanal (Telegram, Forum, Paste-Site, Marktplatz, Stealer-Log, Dark Web, Clear Web, Partner-Feed, manuelle Einlieferung), URL und Handle der veröffentlichenden Person sowie die Begründung. Die Konfidenz hat drei Stufen, und das Kriterium jeder Stufe ist ausdrücklich benannt: niedrig steht für automatische Heuristik, mittel für Korrelation zwischen Quellen, hoch verlangt eine menschliche Prüfung mit mehreren Signalen. Name und Datum der prüfenden Person bleiben im Datensatz.

Funktionen

  • Strukturierte Selektoren: E-Mail, Domain, URL, IPv4, IPv6, Telefon, Bitcoin-Adresse, Ethereum-Adresse, CPF und CNPJ (die brasilianische Steuer-Identifikationsnummer natürlicher Personen bzw. die Registernummer von Unternehmen)
  • Textextraktion aus PDF, DOCX, XLSX, PPTX, HTML, EML sowie aus den Archivformaten ZIP, RAR und 7z
  • Gespeicherte Suchen, die sich innerhalb der Organisation optional teilen lassen; bearbeitbar durch die anlegende Person oder die Administration der Organisation
  • Export als JSON oder CSV, mit einer Obergrenze von 100, 500, 1.000 oder 5.000 Treffern
  • Auditierung von sechs Ereignissen — Suche, Ansicht, Download, Export, Speichern und Löschen einer Suche — mit IP, Abfrage, Filtern, Trefferzahl und Antwortzeit

Anwendungsfälle

  • Prüfen, ob Zugangsdaten des Unternehmens in einem aktuellen Abzug aufgetaucht sind und über welchen Kanal
  • Die Offenlegung von CPF oder CNPJ der eigenen Kundschaft in gehandelten Datenbeständen verfolgen
  • Über den Vorkommenszähler feststellen, ob ein als brandneu angekündigter Dump längst kursierte
  • Den Herkunftsnachweis für eine Vorfallsmeldung oder ein Takedown-Ersuchen zusammentragen

Was das Modul nicht tut

  • Eine gespeicherte Suche löst keinen Alarm aus. Sie bewahrt die Abfrage zur Wiederverwendung auf, sie plant sie nicht ein. Laufende Überwachung mit Benachrichtigung ist Sache von Threat Monitoring, das denselben Bestand abfragt.
  • Es fragt weder HaveIBeenPwned oder DeHashed noch vergleichbare Dienste Dritter ab.
  • Es schreibt nicht in Unternehmensverzeichnisse: Es erzwingt keinen Passwortwechsel und deaktiviert kein Konto in Active Directory oder Entra ID.
  • Es ordnet keine Urheberschaft automatisch mit hoher Konfidenz zu — die höchste Stufe verlangt eine menschliche Unterschrift.
  • Es legt den extrahierten Text nicht in der relationalen Datenbank ab; er lebt im Suchindex.

Integrationen

  • OpenSearch über mehrere Server (Indizes ooda_leaks_*)
  • Airflow, für Dokumente, die vor der Aufnahme in den Index eine OCR benötigen
  • OODA Threat Monitoring (wiederkehrende Suche über denselben Bestand) und OODA EASM (Korrelation eines Leaks mit Assets des Perimeters)

SLA & Garantien

Föderierter Index mit verschmolzenen Aggregationen · Fail-closed-Isolierung je Organisation · jede Abfrage auditiert

Nächste Schritte