Spüren Sie koordinierte Massen-Domain-Registrierungen auf

Struktur und Bereitstellung des Bulk Registration Risk Data Feed

• Nach Clustern gruppiert

  Domains werden nach Erstellungszeit, Registrar- und Nameserver-Daten gruppiert. Dabei handelt es sich um dieselben Registrierungssignale, die nachweislich Missbrauch bei neuen gTLDs vorhersagen.

• Angereichert mit WHOIS- und DNS-Daten

  Der erweiterte Datenfeed ergänzt jeden Cluster um Registrierungsdaten (Registrar, Registrant, Erstellungs- und Ablaufdatum) sowie DNS-Daten (Nameserver und IP-Auflösung).

• Metadaten zur Erkennung

  Die Cluster enthalten das Datum der ersten Erfassung, die Cluster-ID und die Gruppengröße, sodass Sie den Kontext erhalten, um nachzuvollziehen, wie sich ein Batch gebildet hat, und dessen Umfang einschätzen können.

• Tägliche Lieferung

  Der Bulk Registration Risk Data Feed wird täglich aktualisiert. Zudem werden wöchentliche und monatliche Aktualisierungen bereitgestellt.

Häufig gestellte Fragen

Warum sind massenhaft registrierte Domains gefährlich?

Durch die Massenregistrierung kann ein Registrant Hunderte oder sogar Tausende von Domains kaufen, sei es durch eine einzelne Transaktion oder einen automatisierten Prozess, der viele separate Transaktionen schnell hintereinander ausführt. Dieses Volumen birgt Risiken für Sicherheitsteams und Marken gleichermaßen, weil:

• Sie ermöglichen es Angreifern, ihre Angriffsmethoden schnell zu wechseln. Ein großer Domain-Pool bietet Angreifern die erforderliche Infrastruktur, um Botnetze, Spam-, Phishing- und Malware-Kampagnen durchzuführen. Wenn Sicherheitsteams oder -lösungen eine Domain blockieren, wechselt der Angreifer einfach zur nächsten Domain im Pool.
• Sie verlangsamen die Reaktion des Sicherheitsteams. Eine Gruppe verwandter Domains ist möglicherweise schwieriger zu untersuchen als eine verdächtige Domain. Analysten müssen DNS-Einträge, Hosting-Überschneidungen, SSL-Zertifikate und Weiterleitungsketten über jede Domain in der Gruppe hinweg verfolgen. Diese manuelle Arbeit verlangsamt die Reaktionszeit und vergrößert den Stapel an Warnungen, die ein Team bearbeiten muss.
• Sie ermöglichen groß angelegte Angriffe. Ein Angreifer kann innerhalb von Minuten Hunderte oder Tausende von Domains registrieren und dann einen globalen Angriff über viele Netzwerke gleichzeitig starten, bevor ein Erkennungssystem das Muster erkennt.
• Sie untergraben das Vertrauen in die Marke. Massenregistrierte Angriffe umfassen häufig Tippfehler, ähnliche Zeichen, an einen Markennamen angehängte zusätzliche Wörter, gefälschte Support-Seiten, gefälschte Coupon-Seiten oder gefälschte Anmeldeseiten. Kunden können den Unterschied nicht immer erkennen und der Vertrauensschaden trifft das echte Unternehmen, obwohl er nichts mit dem Angriff zu tun hat.

Sind Domain-Massenregistrierungen immer bösartig?

Nein. Viele Organisationen nutzen Domain-Massenregistrierungen aus guten Gründen.

• Markenschutzteams erwerben Domains mit Rechtschreibfehlern und ähnlichen Bezeichnungen.
• Unternehmen, die in neue Märkte expandieren, registrieren Domains unter regionalen TLDs.
• Marketingteams führen Kampagnen über mehrere Teilmarken oder Produktlinien hinweg durch.

Die Massenregistrierung an sich ist nicht das Problem. Sie ist ein Instrument, das sowohl für legitime als auch für böswillige Zwecke genutzt wird.

Welche Datenpunkte enthält der Bulk Registration Risk Data Feed?

Der Feed ist in drei Versionen erhältlich – Basic, Enriched und Community –, die sich hinsichtlich ihrer Datenpunkte unterscheiden. Nähere Informationen finden Sie in der Dokumentation.

Was ist der Unterschied zwischen Basic-, Enriched- und Community-Datenbanken?

• Mit Basic erhalten Sie eine Liste der in einem Sammelverfahren registrierten Domains.
• Enriched ergänzt die WHOIS-Daten um Informationen zu Eigentumsverhältnissen und zur Infrastruktur, sodass Sie sehen können, wer die Domains registriert hat, über welchen Registrar dies erfolgte und wo sie gehostet werden.
• Community ist eine kostenlose Testversion, die auf einen täglichen Feed beschränkt ist, der auf einer Reihe gängiger Typosquatting-Schlagwörter wie „Bank“, „Abrechnung“ oder „Support“ basiert.

Was gilt als Cluster von Domains, die im Rahmen einer Sammelregistrierung registriert wurden?

Eine Gruppe von Domains wird zum Massenregistrierungs-Risiko-Feed hinzugefügt, wenn festgestellt wird, dass mindestens drei Domains, die am selben Tag erschienen sind, ähnliche Benennungsmuster für Domains der zweiten Ebene aufweisen. Diese Signale helfen dabei, wahrscheinliche Massenregistrierungsaktivitäten und nicht isolierte, ähnliche Domains zu identifizieren.