Повече от антиспам: как да извлечете максимума от Security Email Gateway.

Докато големият Enterprise изгражда многостепенни защити срещу потенциални вътрешни злоумышленици и хакери, за по-малките компании остава главоболие, свързано с фишинг и спам разпространение. Ако Марти Макфлай знаеше, че през 2015 година (а дори и през 2020) хората не само че няма да изобретят ховърборди, но дори няма да се научат напълно да се избавят от нежеланата поща, вероятно щеше да загуби вяра в човечеството. Освен това, спамът днес не е просто досаден, а често и вредоносен. Приблизително в 70% от случаите в хода на реализацията на killchain, киберпрестъпниците проникват в инфраструктурата с помощта на вредоносен софтуер, съдържащ се в приложения или чрез фишинг линкове в електронни писма.

В последно време ясно се наблюдава тенденция към разпространение на социална инженерия като начин за проникване в инфраструктурата на организацията. Сравнявайки статистиката от 2017 и 2018 година, наблюдаваме почти 50-процентно увеличение на случаите, когато вредоносен софтуер е доставян на компютрите на служителите именно чрез приложения или фишинг линкове в телата на писмата.

Цялостният спектър от заплахи, които могат да бъдат реалистични с помощта на електронна поща, може да бъде разделен на няколко категории:

• входящ спам
• включване на компютри на организацията в ботнет, разпространяващ изходящ спам
• вредоносни приложения и вируси в тялото на писмото (малките компании най-често страдат от масови атаки тип Petya).

За защита от всички видове атаки, може да се разположат няколко СЗИ или да се избере пътят на сервизната модел. Ние вече разказваха за Единната платформа за услуги по киберсигурност – ядрото на екосистемата за управлявани услуги по киберсигурност Solar MSS. Между другото, тя включва и виртуализирана технология Secure Email Gateway (SEG). Обикновено абонамент за тази услуга закупуват малки компании, при които всички функции на ИТ и ИБ са възложени на един човек – административния системен администратор. Спамът е такъв проблем, който винаги е на вниманието на потребителите и ръководството, и не може просто да бъде пренебрегнат. Въпреки това, с времето дори ръководството осъзнава, че просто „да го пуснем“ на системния администратор не работи – отнема твърде много време.

2 часа за преглеждане на пощата — това е твърде много

С подобна ситуация се обърна един от ритейлърите към нас. Системите за отчитане на работното време показваха, че всеки ден служителите му прекарват около 25% от работното време (2 часа!) в разбиране на пощенската кутия.

Свързвайки пощенския сървър на клиента, настроихме инстанцията на SEG-а като двупосочен шлюз за входяща и изходяща поща. Започнахме филтрирането по предварително зададени политики. Черният списък съставихме на базата на анализа на предоставените от клиента данни и нашите собствени списъци с потенциално опасни адреси, получени от експертите на Solar JSOC в контекста на други услуги — например, мониторинг на инциденти с информация за сигурност. След това цялата поща се доставяше на адресатите само след почистване, а различните спам-разпращаци за „великолепни отстъпки“ престанаха да валят на клиентските пощенски сървъри, освобождавайки пространство за други нужди.

Но имаше ситуации, когато легитимно писмо беше погрешно класифицирано като спам, например, ако е получено от ненадежден подател. В този случай оставихме правото на решение на клиента. Не много опции какво да се направи: веднага да се изтрие или да се изпрати в карантина. Избрахме втория подход, при който такава нежелана поща остава на самия SEG. Дадохме на системния администратор достъп до уеб конзолата, където той може по всяко време да намери важно писмо, например, от контрагент, и да го пропусне до потребителя.

Избавяме се от паразити

Съставът на услугата за защита на електронната поща включва аналитични доклади, чиято цел е да контролира защитата на инфраструктурата и ефективността на приложените настройки. Освен това, тези доклади позволяват прогнозирането на тенденции. Например, намираме в доклада съответния раздел „Спам по получател“ или „Спам по подател“ и виждаме на кой адрес постъпва най-голямото количество блокирани съобщения.

Точно при анализа на такъв доклад ни се стори подозрително рязкото увеличаване на общия брой писма при един от клиентите. Инфраструктурата му е малка, броят на писмата не е висок. И изведнъж след работен ден почти два пъти се увеличи броят на блокирания спам. Решихме да погледнем по-внимателно.

Виждаме, че броят на изходящите имейли е нараснал, а в полето "Отправител" стоят адреси от домейна, който е свързан със защитния имейл сервиз. Но има един нюанс: сред напълно нормални, вероятно дори съществуващи, адреси, попадат явно странни. Проверихме IP адресите, от които са изпратени имейлите, и, като се очакваше, те не принадлежат на защитеното адресно пространство. Очевидно, злоумышленикът е изпращал спам от името на клиента.

В този случай съставихме за клиента препоръки за правилна настройка на DNS записа, а конкретно SPF. Нашият специалист препоръча да се създаде TXT запис, който да съдържа правилото "v=spf1 mx ip:1.2.3.4/23 -all", което предоставя изчерпателен списък на адресите, на които е разрешено да изпращат имейли от името на защитения домейн.

Всъщност, защо това е важно: спам от името на никому неизвестна малка компания — това е неприятно, но не е критично. Напълно различно е положението, например, в банковия сектор. По нашите наблюдения, там нивото на доверие на жертвата към фишинг имейл значително се повишава, ако той е изпратен уж от домейна на друга банка или известен на жертвата контрагент. И това отличава не само банковите служители, в други индустрии – например енергетика – се сблъскваме с подобна тенденция.

Убиваме вируси

Но спуфингът не е толкова чест проблем, колкото например вирусните инфекции. А как най-често се борят с вирусни епидемии? Инсталират антивирус и се надяват, че "врагът няма да премине". Но ако всичко беше толкова просто, с оглед на сравнително ниската цена на антивирусите, всички отдавна щяха да са забравили за проблема с вредоносния софтуер. Междувременно, постоянно получаваме заявки от типа "помогнете да възстановим файловете, всичко ни е криптирано, работата спира, данните са загубени". Не спираме да повтаряме на клиентите, че антивирусът не е панацея. Освен че антивирусните бази могат да не се обновяват достатъчно бързо, често срещаме вреден софтуер, способен да заобикаля не само антивирусите, но и песъчниците.

За съжаление, малко от обикновените служители на организациите са наясно с фишинговите и злонамерени имейли и могат да ги разпознаят от обичайната кореспонденция. В средно около всеки 7-ми потребител, който не преминава редовно обучение за повишаване на осведомеността, става жертва на социална инженерия: отваря заразен файл или изпраща данните си на злонамерени лица.

Въпреки че социалният вектор на атаките, като цяло, постоянно леко се засилваше, миналата година този тренд стана особено видим. Фишинговите имейли все повече приличаха на обичайните разпращания за промоции, предстоящи събития и т.н. Тук можем да споменем атаката Silence срещу финансовия сектор – банковите служители получаваха имейл, уж с промокод за участие в популярната индустриална конференция iFin, и процентът на жертвите на измамата беше много висок, макар да напомним, че става въпрос за банковата сфера – най-напредналата в отношенията с информационната безопасност.

Преди миналия Нова година наблюдавахме и няколко доста куриозни ситуации, когато служители на промишлени компании получиха много качествени фишингови имейли със "списък" на новогодишни акции в популярни интернет магазини и промокодове за отстъпки. Служителите не само че се опитваха да кликнат върху връзката, но и изпращаха имейла на колеги от свързани организации. Тъй като ресурсът, на който водеше връзката във фишинговия имейл, беше блокиран, служителите започнаха масово да подават заявки на ИТ отдела за предоставяне на достъп до него. В общи линии, успехът на разпространението, вероятно, надхвърли всички очаквания на злонамерените лица.

Наскоро се обърна към нас компания, която беше "шифрова". Всичко започна с това, че счетоводните служители получиха имейл, уж от ЦБ на Руската Федерция. Счетоводителят кликна върху връзката в имейла – и изтегли на компютъра си майнера WannaMine, който, както и известният WannaCry, експлоатира уязвимостта EternalBlue. Най-интересното е, че повечето антивирусни програми могат да детектирват неговите сигнатури още от началото на 2018 година. Но, или антивирусът беше изключен, или базите не бяха обновени, или просто не беше инсталиран, – във всеки случай майнерът вече беше на компютъра и нищо не му попречи да се разпространява допълнително в мрежата, натоварвайки ЦП. сървъри и АРМ на 100%.

Този клиент, след като получи доклада на нашата forensic група, видя, че вирусът е проникнал при него първоначално чрез имейл и стартира пилотен проект за интегриране на сервиз за защита на електронната поща. Първото нещо, което настроихме, беше имейл антивирус. Сканирането за злонамерен софтуер се извършва постоянно, а обновленията на сигнатурите първоначално се правеха на всеки час, а след това клиентът премина на режим два пъти на ден.

Пълната защита от вирусни инфекции трябва да бъде ешелонирана. Говорейки за предаване на вируси чрез електронна поща, е необходимо да се филтрират такива писма при входа, да се обучават потребителите да разпознават социалната инженерия и след това вече да се разчита на антивируси и пясъчници.

вSEGда на стража

Разбира се, не твърдим, че решенията от клас Secure Email Gateway са панацея. Целенасочените атаки, включително целеви фишинг, са изключително трудни за предотвратяване, тъй като всяка такава атака е "направена" за конкретен получател (организация или човек). Но за компания, която се опитва да осигури основно ниво на сигурност, това не е малко, особено с правилно приложен опит и експертиза.

Най-често при реализирането на целеви фишинг в съдържанието на имейлите не се включват злонамерени прикачени файлове, в противен случай антивирусната система веднага ще блокира такова писмо на пътя към получателя. Вместо това включват в текста на писмото връзки към предварително подготвен уеб ресурс, а след това вече всичко зависи от потребителя. Потребителят кликва по линка и след това през няколко редиректа за секунди попада на последния от цялата верига, отварянето на който ще зареди злонамерен софтуер на неговия компютър.

Още по-изискано: в момента на получаване на писмото връзката може да изглежда безобидна и само след известно време, когато вече е сканирана и пропусната, ще започне да редиректва към злонамерен софтуер. За съжаление, специалистите от Solar JSOC, дори с оглед на тяхната компетентност, не могат да настроят имейл шлюза така, че да "виждат" злонамерен софтуер през цялата верига (въпреки че като защита може да се използва автоматична подмяна на всички връзки в писмата на SEG, така че последният да сканира връзката не само в момента на доставка на писмото, а при всяко кликване).

Междувременно, дори и с типичен редирект, агрегацията на няколко вида експертизи, включително данни, получавани от нашия JSOC CERT и OSINT, помага за справянето. Това позволява формирането на разширени черни списъци, на базата на които дори имейл с множество препратки ще бъде блокиран.

Използването на SEG е само малък тухличка в стената, която всяка организация иска да изгради за защита на своите активи. Но и това звено е необходимо да се вгражда правилно в общата картина, защото дори SEG, при правилна настройка, може да бъде изцяло ефективно средство за защита.

Ксения Садунина, консултант в отдела за експертен пре-сейл на продукти и услуги Solar JSOC

Източник: habr.com