Threat Intelligence — Schutz der digitalen Marke
Die Steuerungsebene des Markenschutzes. Hier erklärt die Organisation, was überwacht werden soll und wo — sieben eigenständige Felder, jedes mit seinen eingetragenen Quellen —, und dieser Bestand lenkt die Erfassung, die die Erkennungsmodule leisten.
Überblick
Die sieben Felder sind Domain Intelligence, Network Intelligence, Phishing Monitor, Brand Monitor, Fake Apps, Social Network und Fraud Intelligence. Sie lassen sich gemeinsam oder einzeln lizenzieren und teilen dasselbe Modell: Jeder Eintrag ist eine Quelle oder ein Überwachungsziel, mit Name, URL, Typ, Branche, verantwortlicher Person, Beschreibung und — wenn die Quelle eine Anmeldung verlangt — den Zugangsdaten.
Die Aufteilung in sieben ist nicht kosmetisch. Es gibt sie, weil die Felder beim Kunden verschiedene Eigentümer haben — wer sich um gefälschte Apps im Store kümmert, ist selten die Person, die IP-Bereiche betreut — und weil die Lizenz je Feld läuft, was erlaubt, mit einem zu beginnen und zu wachsen.
Wie es im Inneren funktioniert
Zugangsdaten von Quellen liegen nie im Klartext. URL, E-Mail, Passwort und Beschreibung jedes Eintrags werden in verschlüsselten Feldern abgelegt. Das Passwort der Quelle ist das schutzwürdigste Datum des Moduls: Es öffnet ein geschlossenes Forum, ein Marktplatz-Backend oder ein Überwachungskonto. Es wird verschlüsselt geschrieben und verschlüsselt gelesen.
Fail-closed-Mandantentrennung. Die sieben Felder arbeiten mit fortlaufenden Primärschlüsseln, was zum Durchzählen über die URL einlädt. Jeder Lesezugriff über eine Kennung durchläuft denselben Organisationsfilter — auch in den Ansichten für Detail, Bearbeitung und Löschung, nicht nur in der Liste. Lässt sich die Organisation der anfragenden Person nicht auflösen, liefert die Abfrage nichts zurück, niemals alles. Und der Filter schließt zugleich bereits gelöschte Einträge aus, damit eine alte Kennung keinen Eintrag über die URL wiederauferstehen lässt.
Löschen ist umkehrbar und auditiert. Löschen markiert den Eintrag als entfernt; er verschwindet aus der Oberfläche, bleibt aber für die Auditierung in der Datenbank. Vier Signale werden ausgelöst und von der Prüfspur aufgenommen: Anlegen, Aktivieren oder Deaktivieren, logisches Löschen und physisches Löschen — Letzteres ist selten und existiert genau dafür, aufzufallen.
Zählungen in einer einzigen Abfrage. Die Startansicht jedes Feldes zeigt Gesamtzahl, aktive, inaktive und in den letzten sieben Tagen angelegte Einträge in einer einzigen Aggregation statt in vier aufeinanderfolgenden Zählungen.
Das Asset-Verzeichnis der Marke
An dieses Modul angebunden ist ein Verzeichnis all dessen, was die Organisation schützen will: 41 Kategorien in zehn Gruppen.
| Gruppe | Beispiele für Kategorien |
|---|---|
| Identität und Marke | Schlüsselwörter, Markennamen, eingetragene Zeichen, Produktnamen, Whitelist |
| Digitale Infrastruktur | Domains, Subdomains, URLs, IP-Adressen, Netzbereiche, ASNs |
| Mobile | Paketnamen, Store-IDs, iOS-Bundle-IDs |
| Finanzen | BINs, Kartenmuster, Kontomuster, Zahlungs-Gateways |
| Personen (VIPs) | Führungskräfte, Beschäftigte, Aufsichtsratsmitglieder, Funktionen |
| Kontakt | E-Mail-Adressen, E-Mail-Domains, Telefonnummern, Formulare |
| Soziale Netzwerke | Handles, URLs, IDs, YouTube-Kanäle, LinkedIn-Unternehmens-IDs |
| Dokumente | MD5- und SHA256-Hashes, Dokumenttitel, SSL-Zertifikate |
| Recht | CNPJ und Entsprechungen, Registernummern, Lizenzen |
| Geolokalisierung | Adressen, Standorte, Regionen |
Jede Kategorie hat je Organisation ihre eigene, vertraglich festgelegte Obergrenze. Dieses Verzeichnis speist die Suchbegriffe der Monitore und den Geltungsbereich der Perimeter — statt dass jedes Modul seine eigene Liste dessen führt, „was uns gehört”, gibt es genau eine Liste.
Derselbe Bestand hält auch das Takedown-Kontingent der Organisation fest: monatliches Gesamtvolumen, Abrechnungsmodus, begrenzter Übertrag ungenutzten Guthabens, Priorität und die Option der automatischen Freigabe.
Anwendungsfälle
- An einem einzigen Ort bündeln, was die Organisation als ihr Eigentum ansieht: Marken, Domains, Führungskräfte, BINs, App-Pakete
- Die Überwachungsquellen jedes Feldes eintragen, ohne Zugangsdaten über Tabellenblätter zu verstreuen
- Verantwortung je Feld trennen, mit benannter Branche und benannter zuständiger Person in jedem Eintrag
- In einer Prüfung belegen, wer welches Überwachungsfeld wann angelegt, aktiviert, deaktiviert oder entfernt hat
Was das Modul nicht tut
Dieses Modul ist Verzeichnis und Steuerung, kein Erkennungsmotor. Konkret:
- Es reichert Indikatoren nicht automatisch an. WHOIS, DNS, SSL, ASN und Abuse-Kontakt werden im Takedown-Ablauf erhoben, in Legal & Takedown.
- Es vergibt keinen Risikowert von 0 bis 100. Die Bewertung der Exposition gehört zum Modul EASM, und dort ist sie die Summe der offenen Funde.
- Es korreliert die sieben Felder nicht automatisch untereinander.
- Es fragt innerhalb dieses Moduls weder MISP, OpenCTI, VirusTotal noch Google Safe Browsing ab. Der Abgleich mit MISP ist ein eigenes Modul (MISP Sync); Reputationsabfragen liegen bei den Quellen von Threat Monitoring.
- Der PDF-Export je Feld ist noch nicht umgesetzt und gibt einen Hinweis zurück, keine Datei.
- Es führt kein TLD-Inventar und durchsucht keine Domain-Register auf eigene Faust — Typosquatting wird im EASM erkannt.
Integrationen
- Feldverschlüsselung im Speicher und Prüfspur der Plattform (OODA Audit)
- OODA Threat Monitoring (nutzt das Asset-Verzeichnis), OODA EASM (Perimeter) und Legal & Takedown (Kontingent und Auslösung)
SLA & Garantien
Zugangsdaten von Quellen verschlüsselt im Speicher · Fail-closed-Geltungsbereich je Organisation · Löschen umkehrbar und auditiert