1. Обучение на потребителите в основите на информационната сигурност. Борба срещу фишинга

Днес мрежовият администратор или инженерът по информационна сигурност отделя много време и усилия, за да защити периметъра на корпоративната мрежа от различни заплахи, усвоявайки нови системи за предотвратяване и наблюдение на събития, но дори това не гарантира пълна сигурност. Социалното инженерство се използва активно от нападателите и може да има сериозни последствия.

Колко често сте се хващали да си мислите: „Би било хубаво да организираме тест за служителите по грамотност по информационна сигурност“? За съжаление, мислите се натъкват на стена от неразбиране под формата на голям брой задачи или ограничено време в работния ден. Планираме да ви разкажем за съвременни продукти и технологии в областта на автоматизацията на обучението на персонала, които няма да изискват продължително обучение за пилотиране или внедряване, а за всичко по ред.

Теоретична основа

Днес повече от 80% от злонамерените файлове се разпространяват по имейл (данните са взети от доклади от специалисти на Check Point през изминалата година с помощта на услугата Intelligence Reports).

Доклад за последните 30 дни за вектора на атака за разпространение на злонамерени файлове (Русия) - Check Point

Това предполага, че съдържанието в имейл съобщенията е доста уязвимо за експлоатация от нападатели. Ако разгледаме най-популярните злонамерени файлови формати в прикачени файлове (EXE, RTF, DOC), струва си да се отбележи, че те, като правило, съдържат автоматични елементи за изпълнение на код (скриптове, макроси).

Годишен отчет за файловите формати в получените злонамерени съобщения - Check Point

Как да се справим с този вектор на атака? Проверката на пощата включва използване на инструменти за сигурност: 

• антивирусен — сигнатурно откриване на заплахи.

• Съревнование - пясъчник, с който прикачените файлове се отварят в изолирана среда.

• Информираност за съдържанието — извличане на активни елементи от документи. Потребителят получава изчистен документ (обикновено в PDF формат).

• Анти спам — проверка на репутацията на домейна получател/изпращач.

И на теория това е достатъчно, но има и друг също толкова ценен ресурс за компанията - корпоративните и личните данни на служителите. През последните години популярността на следните видове интернет измами нараства активно:

фишинг (Английски фишинг, от риболов - риболов, риболов) - вид интернет измама. Целта му е да получи данни за идентификация на потребителя. Това включва кражба на пароли, номера на кредитни карти, банкови сметки и друга чувствителна информация.

Нападателите подобряват методите за фишинг атаки, пренасочват DNS заявки от популярни сайтове и стартират цели кампании, използващи социално инженерство за изпращане на имейли. 

По този начин, за да защитите корпоративния си имейл от фишинг, се препоръчва да използвате два подхода, като комбинираното им използване води до най-добри резултати:

1. Технически средства за защита. Както споменахме по-рано, различни технологии се използват за проверка и препращане само на легитимна поща.

2. Теоретична подготовка на персонала. Състои се от цялостно тестване на персонала за идентифициране на потенциални жертви. След това се преквалифицират и непрекъснато се води статистика.   

Не се доверявайте и проверявайте

Днес ще говорим за втория подход за предотвратяване на фишинг атаки, а именно автоматизирано обучение на персонала с цел повишаване на общото ниво на сигурност на корпоративните и лични данни. Защо това може да е толкова опасно?

социално инженерство — психологическа манипулация на хора с цел извършване на определени действия или разкриване на поверителна информация (във връзка с информационната сигурност).

Диаграма на типичен сценарий за разгръщане на фишинг атака

Нека да разгледаме забавна блок-схема, която накратко очертава пътя на една фишинг кампания. Има различни етапи:

1. Събиране на първични данни.

   В 21 век е трудно да се намери човек, който да не е регистриран в нито една социална мрежа или в различни тематични форуми. Естествено, много от нас оставят подробна информация за себе си: място на текуща работа, група за колеги, телефон, поща и др. Добавете към тази персонализирана информация за интересите на дадено лице и ще имате данните за формиране на шаблон за фишинг. Дори и да не можем да намерим хора с такава информация, винаги има фирмен уебсайт, където можем да намерим цялата информация, която ни интересува (имейл на домейн, контакти, връзки).

2. Стартиране на кампанията.

   След като разполагате с трамплин, можете да използвате безплатни или платени инструменти, за да стартирате своя собствена насочена фишинг кампания. По време на процеса на изпращане ще натрупате статистика: доставена поща, отворена поща, кликнати връзки, въведени идентификационни данни и т.н.

Продукти на пазара

Фишингът може да се използва както от нападатели, така и от служители на фирмената информационна сигурност, за да се извърши текущ одит на поведението на служителите. Какво ни предлага пазарът на безплатни и комерсиални решения за автоматизирана система за обучение на фирмени служители:

1. GoPhish е проект с отворен код, който ви позволява да разгърнете фишинг кампания, за да проверите ИТ грамотността на вашите служители. Бих считал предимствата за лекота на внедряване и минимални системни изисквания. Недостатъците са липсата на готови мейлинг шаблони, липсата на тестове и обучителни материали за персонала.

2. KnowBe4 — сайт с голям брой налични продукти за тестващ персонал.

3. Фишман — автоматизирана система за тестване и обучение на служителите. Има различни версии на продукти, поддържащи от 10 до повече от 1000 служители. Обучителните курсове включват теоретични и практически задачи, възможно е да се идентифицират нуждите въз основа на статистиката, получена след фишинг кампания. Решението е комерсиално с възможност за пробно използване.

4. Анти-фишинг — автоматизирана система за обучение и наблюдение на сигурността. Търговският продукт предлага периодични обучителни атаки, обучение на служители и др. Предлага се кампания като демо версия на продукта, която включва внедряване на шаблони и провеждане на три тренировъчни атаки.

Горните решения са само част от предлаганите продукти на пазара за автоматизирано обучение на персонал. Разбира се, всеки има своите предимства и недостатъци. Днес ще се запознаем с GoPhish, симулирайте фишинг атака и проучете наличните опции.

GoPhish

И така, време е за практика. GoPhish не е избран случайно: това е удобен за потребителя инструмент със следните функции:

1. Опростена инсталация и стартиране.

2. Поддръжка на REST API. Позволява ви да създавате заявки от документация и прилагане на автоматизирани скриптове. 

3. Удобен графичен интерфейс за управление.

4. Кросплатформен.

Екипът за разработка е подготвил отличен гайд относно внедряването и конфигурирането на GoPhish. Всъщност всичко, което трябва да направите, е да отидете на хранилище, изтеглете ZIP архива за съответната ОС, стартирайте вътрешния двоичен файл, след което инструментът ще бъде инсталиран.

ВАЖНА ЗАБЕЛЕЖКА!

В резултат на това трябва да получите в терминала информация за внедрения портал, както и данни за оторизация (от значение за версии, по-стари от версия 0.10.1). Не забравяйте да си осигурите парола!

msg="Please login with the username admin and the password <ПАРОЛЬ>"

Разбиране на настройката на GoPhish

След инсталирането ще бъде създаден конфигурационен файл (config.json) в директорията на приложението. Нека опишем параметрите за промяната му:

ключ

Стойност (по подразбиране)

описание

admin_server.listen_url

127.0.0.1:3333

IP адрес на GoPhish сървър

admin_server.use_tls

фалшив

Използва ли се TLS за свързване към GoPhish сървъра

admin_server.cert_path

example.crt

Път до SSL сертификат за портал за администриране на GoPhish

admin_server.key_path

пример.ключ

Път до частния SSL ключ

phish_server.listen_url

0.0.0.0:80

IP адрес и порт, където се хоства фишинг страницата (по подразбиране тя се хоства на самия GoPhish сървър на порт 80)

—> Отидете на портала за управление. В нашия случай: https://127.0.0.1:3333

—> Ще бъдете помолени да промените доста дълга парола с по-проста или обратно.

Създаване на профил на подател

Отидете в раздела „Изпращане на профили“ и предоставете информация за потребителя, от когото ще произхожда нашата поща:

Къде:

Име

Име на изпращача

от

Имейл на изпращача

Домакин

IP адрес на мейл сървъра, от който ще се слуша входящата поща.

Потребител

Влизане в потребителски акаунт на пощенски сървър.

Парола

Парола за потребителски акаунт на мейл сървър.

Можете също да изпратите тестово съобщение, за да се уверите, че доставката е успешна. Запазете настройките чрез бутона „Запазване на профила“.

Създаване на група от получатели

След това трябва да формирате група от получатели на „верижни писма“. Отидете на „Потребител и групи“ → „Нова група“. Има два начина за добавяне: ръчно или импортиране на CSV файл.

Вторият метод изисква следните задължителни полета:

• Име

• Фамилия

• Имейл

• Позиция в компанията

Като пример:

First Name,Last Name,Position,Email
Richard,Bourne,CEO,[email protected]
Boyd,Jenius,Systems Administrator,[email protected]
Haiti,Moreo,Sales & Marketing,[email protected]

Създаване на фишинг имейл шаблон

След като идентифицираме въображаемия нападател и потенциалните жертви, трябва да създадем шаблон със съобщение. За да направите това, отидете в раздела „Шаблони за имейли“ → „Нови шаблони“.

При формирането на шаблон се използва технически и творчески подход, трябва да се посочи съобщение от услугата, което ще бъде познато на потребителите на жертвата или ще предизвика у тях определена реакция. Възможни опции:

Име

Име на шаблона

Тема:

Тема на писмото

Текст/HTML

Поле за въвеждане на текст или HTML код

Gophish поддържа импортиране на букви, но ние ще създадем наши собствени. За да направим това, ние симулираме сценарий: фирмен потребител получава писмо с молба да промени паролата от корпоративния си имейл. След това нека анализираме реакцията му и да разгледаме нашия „улов“.

Ще използваме вградени променливи в шаблона. Повече подробности можете да намерите в горното ръководство раздел Справочник за шаблон.

Първо, нека заредим следния текст:

{{.FirstName}},

The password for {{.Email}} has expired. Please reset your password here.

Thanks,
IT Team

Съответно името на потребителя ще бъде въведено автоматично (според предварително посочения елемент „Нова група“) и ще бъде посочен неговият пощенски адрес.

След това трябва да предоставим връзка към нашия фишинг ресурс. За да направите това, маркирайте думата „тук“ в текста и изберете опцията „Връзка“ на контролния панел.

Ще зададем URL адреса на вградената променлива {{.URL}}, която ще попълним по-късно. Той ще бъде автоматично вграден в текста на фишинг имейла.

Преди да запазите шаблона, не забравяйте да активирате опцията „Добавяне на проследяващо изображение“. Това ще добави медиен елемент 1x1 пиксел, който ще проследи дали потребителят е отворил имейла.

И така, не остана много, но първо ще обобщим необходимите стъпки след влизане в портала Gophish: 

1. Създайте профил на подател;

2. Създайте група за разпространение, където посочвате потребители;

3. Създайте шаблон за фишинг имейл.

Съгласете се, настройката не отне много време и сме почти готови да стартираме нашата кампания. Остава само да добавите фишинг страница.

Създаване на фишинг страница

Отидете в раздела „Целеви страници“.

Ще бъдем подканени да посочим името на обекта. Възможно е да импортирате изходния сайт. В нашия пример се опитах да посоча работещия уеб портал на пощенския сървър. Съответно беше импортиран като HTML код (макар и не напълно). Следните са интересни опции за улавяне на въведеното от потребителя:

• Заснемане на изпратените данни. Ако посочената страница на сайта съдържа различни форми за въвеждане, всички данни ще бъдат записани.

• Capture Passwords - заснемане на въведени пароли. Данните се записват в базата данни GoPhish без криптиране, както е.

Освен това можем да използваме опцията „Пренасочване към“, която ще пренасочи потребителя към определена страница след въвеждане на идентификационни данни. Нека ви напомня, че сме задали сценарий, при който потребителят е подканен да промени паролата за корпоративния имейл. За да направи това, му се предлага портална страница за авторизация на фалшива поща, след което потребителят може да бъде изпратен до всеки наличен ресурс на компанията.

Не забравяйте да запазите завършената страница и да отидете в секцията „Нова кампания“.

Стартиране на GoPhish риболов

Предоставили сме цялата необходима информация. В раздела „Нова кампания“ създайте нова кампания.

Стартиране на кампанията

Къде:

Име

Име на кампанията

Имейл шаблон

Шаблон за съобщение

Landing Page

Фишинг страница

URL

IP на вашия GoPhish сървър (трябва да има достъп до мрежата с хоста на жертвата)

Дата на стартиране

Начална дата на кампанията

Изпращайте имейли до

Крайна дата на кампанията (разпределение по пощата равномерно)

Изпращане на профил

Профил на изпращача

Групи

Група получатели на поща

След стартиране винаги можем да се запознаем със статистиката, която показва: изпратени съобщения, отворени съобщения, кликвания върху връзки, оставени данни, прехвърлени към спам.

От статистиката виждаме, че е изпратено 1 съобщение, нека проверим пощата от страна на получателя:

Всъщност жертвата успешно получи фишинг имейл с молба да последва връзка, за да промени паролата на корпоративния си акаунт. Извършваме исканите действия, изпращаме се към целевите страници, какво ще кажете за статистиката?

В резултат на това нашият потребител кликна върху фишинг връзка, където потенциално може да остави информацията за своя акаунт.

Бележка на автора: процесът на въвеждане на данни не е записан поради използването на тестово оформление, но такава опция съществува. Съдържанието обаче не е криптирано и се съхранява в базата данни на GoPhish, моля, имайте това предвид.

Вместо заключение

Днес засегнахме актуалната тема за провеждане на автоматизирано обучение на служители с цел защита от фишинг атаки и развиване на ИТ грамотност у тях. Gophish беше внедрен като достъпно решение, което показа добри резултати по отношение на време за внедряване и резултат. С този достъпен инструмент можете да проверявате вашите служители и да генерирате отчети за тяхното поведение. Ако се интересувате от този продукт, ние предлагаме съдействие при внедряването му и одитиране на вашите служители ([имейл защитен]).

Ние обаче няма да се спрем на преглед на едно решение и планираме да продължим цикъла, където ще говорим за Enterprise решения за автоматизиране на процеса на обучение и наблюдение на сигурността на служителите. Останете с нас и бъдете бдителни!

Източник: www.habr.com