Executive Summary
Okta Threat Intelligence (OTI) hat kürzlich einen bedeutenden Meilenstein erreicht: wir haben unsere 10.000. Benachrichtigung über eine verdächtige Domain an einen Kunden gesendet.
Ich wollte diesen Moment nutzen, um zu erklären, wie und warum wir diese wichtige Arbeit leisten.
Ich möchte auch einige Untersuchungen mit Ihnen teilen, die wir durchgeführt haben, um zu beweisen, wie einzigartig diese Benachrichtigungen sind. Die überwiegende Mehrheit (über 80 %) der Kompromittierungsindikatoren, die wir identifizieren und in diesen Kundenbenachrichtigungen teilen, wurde zu diesem Zeitpunkt von anderen Dienstanbietern nicht als verdächtig eingestuft.
Warum wir die Extrameile gehen
Die Vision von Okta ist es, allen die Freiheit zu geben, jede Technologie sicher zu nutzen, und OTI spielt eine aktive Rolle dabei, dieses Ziel voranzutreiben. Okta ist der weltweit größte unabhängige Identity-Anbieter und wir nehmen die Verpflichtungen, die mit dieser Position einhergehen, sehr ernst.
OTI ist ein multidisziplinäres Team aus Sicherheitsexpert:innen, das sich der Erforschung, Verfolgung und Abwehr von Bedrohungen widmet. Wir bieten unseren Kund:innen und der breiteren Community Einblicke, fachkundige Beratung und Support.
Jede Minute jeden Tages versuchen Bedrohungsakteure weltweit, Organisationen in stark gefährdeten Branchen anzugreifen. Ihre Motive variieren stark, von finanziellem Gewinn bis hin zu staatlich unterstützter Spionage. Als bevorzugter Identity-Anbieter für einige der sichersten und sensibelsten Organisationen der Welt ist Okta bestens positioniert, um identitätszentrierte Bedrohungen zu erkennen, zu verfolgen und einzudämmen.
Unsere Untersuchungen beginnen in der Regel mit der Nachverfolgung der Internetinfrastruktur, die Bedrohungsakteure im Rahmen umfassenderer Kampagnen aufbauen, um Nutzer:innen durch Social Engineering zu manipulieren. Wir gewinnen zudem Erkenntnisse und Hinweise von unseren Kund:innen und gleichgesinnten Organisationen, wobei wir Threat Intelligence sowohl weitergeben als auch empfangen, um ein gemeinsames Verständnis von Bedrohungen aufzubauen. Keine Organisation kann dies allein bewältigen. Wir alle verfügen über einen Teil des Gesamtbildes darüber, wie Bedrohungsakteure vorgehen, und es ist von entscheidender Bedeutung, diesen zu teilen.
Unsere veröffentlichten Untersuchungen zu neuartigen, betreibergesteuerten Phishing-Panels wie Work Panel und AitM-Phishing-Plattformen wie VoidProxy sind zwei Beispiele, bei denen unsere Arbeit nicht nur die Infrastruktur der Angreifer:innen aufgedeckt, sondern auch dazu beigetragen hat, der Welt zu erklären, wie diese Bedrohungen funktionieren.
Sicherheitsbenachrichtigungen
Die häufigsten unserer Benachrichtigungen über verdächtige Aktivitäten betreffen verdächtige Domain-Aktivitäten und verdächtige Benutzer-Account-Aktivitäten.
Verdächtige Domain-Aktivität
Wir versenden Benachrichtigungen über verdächtige Domain-Aktivitäten, wenn wir Domain-Registrierungen oder Infrastrukturkonfigurationen identifizieren, die nach unserer sicheren Einschätzung auf die Absicht hindeuten, eine von Okta geschützte Organisation ins Visier zu nehmen. Wir überwachen neben unserer eigenen Plattform-Telemetrie eine Reihe offener und kommerzieller Informationsquellen, um neue Infrastruktur zu verfolgen, während Angreifer:innen den Start von Kampagnen vorbereiten. Unter idealen Bedingungen sind wir in der Lage, Kund:innen frühzeitig zu warnen, bevor eine Kampagne live geht.
Manchmal ist die Verbindung zwischen einer Domain oder Subdomain explizit. In anderen Fällen ist die Verbindung zu einer Kundenorganisation subtiler, wie etwa Inhalte, die auf der Website sichtbar oder im DOM der Phishing-Seite enthalten sind. Nach Möglichkeit stellen wir Links zu URLScan-Ergebnissen für eine Seite bereit, damit das Security-Team der Kund:innen die Website selbst analysieren kann.
Verdächtige Account-Aktivität
Wir senden eine separate Benachrichtigung, wenn Okta Threat Intelligence eine Benutzerinteraktion mit einer Infrastruktur erkennt, die wir Bedrohungsakteuren zuordnen. Die Verwendung des Wortes „verdächtig“ ist sehr bewusst gewählt: es gibt Grenzen für unseren Einblick in das, was in einer Kundenumgebung als verdächtig gilt. Dennoch hat das Kundenfeedback über mehrere Jahre hinweg die Gewissheit gegeben, dass diese Benachrichtigungen einen echten Unterschied machen, sei es als erster Hinweis, der eine Untersuchung auslöst, oder als zusätzliches Signal, das eine laufende Reaktion auf einen Vorfall unterstützt. Kund:innen berichten uns oft, dass unsere Frühwarnung es ihnen ermöglicht hat, zu handeln, bevor ein:e Bedrohungsakteur:in Schaden anrichten konnte. Es gibt nichts, was unser Team lieber hört!
Diese Benachrichtigungen erreichen Kund:innen über ihre primären Sicherheitskontakte, eine Rolle, die Kund:innen im Okta Support Center definieren können. Diese E-Mails liefern verwertbare Erkenntnisse, Kompromittierungsindikatoren (IoCs) und Empfehlungen, auf deren Grundlage ein Security- oder Identity-Team Maßnahmen ergreifen kann, um sich zu schützen und verdächtige Aktivitäten zu untersuchen. Sofern verfügbar, verlinken wir auf Bedrohungshinweise mit näheren Informationen zu der/dem beteiligten Bedrohungsakteur:in, der Kampagne oder den TTPs.
Eine einzigartige Informationsquelle
Eine Frage, die uns oft gestellt wird, ist, warum wir die von uns identifizierten Indikatoren für bösartig halten, da die Domains und IP-Adressen in VirusTotal häufig nicht als bösartig gemeldet werden. Bei VirusTotal handelt es sich um eine vertrauenswürdige Threat Intelligence-Plattform, die auf eine Vielzahl von Threat Intelligence- und Sicherheitsanbietern zurückgreift.
Alle von OTI identifizierten und nachverfolgten Indikatoren werden im Rahmen unserer eigenen Bedrohungsuntersuchungen und Recherchen identifiziert. Wir führen diese Analyse kontinuierlich durch und identifizieren und verfolgen Cluster von Bedrohungsaktivitäten, sobald sie entstehen. Das Ergebnis ist ein einzigartiger Feed für identitätszentrierte Threat Intelligence.
Wir haben kürzlich eine Analyse zur Einzigartigkeit unserer IoCs im Vergleich zu den in VirusTotal verfügbaren Daten durchgeführt. Wir wollten wissen, welcher Anteil der von uns identifizierten Indikatoren zu dem Zeitpunkt, als wir die Kund:innen benachrichtigten, in VirusTotal bereits als bösartig markiert war.
Die Ergebnisse waren bemerkenswert: 83 % der Indikatoren, die wir als bösartig bestätigt haben, wurden zuvor nirgendwo anders erkannt. Von den Übrigen hatten 14 % nur ein bis vier Quellen und nur 3 % mehr als vier.
Von unseren Forscher:innen identifizierte Indikatoren werden in Okta Identity Threat Protection (ITP) eingespeist, was Okta-Kund:innen die Möglichkeit bietet, Inline-Behebungen (SOC-Tickets erstellen, Passwörter zurücksetzen, Sessions widerrufen usw.) für Benutzerinteraktionen mit bekannter bösartiger Infrastruktur einzurichten.
Aber wir hören hier nicht auf. Die Sicherheit aller Okta-Kund:innen ist uns wichtig. Wir benachrichtigen die primären Sicherheitskontakte aller Okta-Kund:innen, die ins Visier genommen werden oder bei denen wir Grund zu der Annahme haben, dass Angreifer:innen einen Angriff vorbereiten, unabhängig davon, welches Okta-Produkt sie kaufen. Allein im Juli 2026 haben wir 736 dieser Benachrichtigungen versendet.
Wir unterstützen Sie
Wie viele der weltweit größten Plattformanbieter definiert Okta ein Modell der geteilten Verantwortung, um die Grenze zwischen unseren Sicherheitsverantwortlichkeiten und denen unserer Kund:innen klar zu kommunizieren. Wir sind für die Sicherheit der Okta-Plattform verantwortlich, während unsere Kund:innen für die Sicherheit ihrer Organisationen (Tenants) verantwortlich sind.
Unsere proaktiven Benachrichtigungen bewegen sich hart an dieser Grenze, aber wir haben nicht das Gefühl, dass wir sie vollständig überschreiten. Diese Erkennungen weisen eine hohe True-Positive-Rate auf und haben über fünf Jahre hinweg direkt zur Eindämmung von Bedrohungen gegen eine große Anzahl von Kund:innen geführt – etwas, worauf wir nach wie vor enorm stolz sind.
Und auch wenn wir nicht immer offenlegen können, mit welchen Methoden wir diese Angreifer:innen verfolgen, können Sie sicher sein: Wenn Sie eine unserer Benachrichtigungen über verdächtige Aktivitäten erhalten, ist dies das Ergebnis eines Teams von Menschen, das unermüdlich daran arbeitet, das Wichtigste für Okta zu schützen: unsere Kund:innen.
Daniel Lopez hat zu dieser Forschung beigetragen.
