Повече от антиспам: как да извлечете максимума от Security Email Gateway

Докато голямото предприятие изгражда ешалонирани редути от потенциални вътрешни нападатели и хакери, фишингът и спам съобщенията остават главоболие за по-простите компании. Ако Марти Макфлай знаеше, че през 2015 г. (и още повече през 2020 г.) хората не само няма да измислят ховърбордове, но дори няма да се научат напълно да се отърват от нежеланата поща, той вероятно щеше да загуби вяра в човечеството. Освен това спамът днес е не само досаден, но често и вреден. При приблизително 70% от внедряванията на killchain киберпрестъпниците проникват в инфраструктурата, използвайки злонамерен софтуер, съдържащ се в прикачени файлове или чрез фишинг връзки в имейли.

Напоследък се наблюдава ясна тенденция към разпространение на социалното инженерство като начин за проникване в инфраструктурата на организацията. Сравнявайки статистическите данни от 2017 г. и 2018 г., виждаме почти 50% увеличение в броя на случаите, при които зловреден софтуер е доставен до компютрите на служителите чрез прикачени файлове или фишинг връзки в тялото на имейл.

Като цяло цялата гама от заплахи, които могат да бъдат извършени с помощта на имейл, може да бъде разделена на няколко категории:

• входящ спам
• включване на компютри на организация в ботнет, който изпраща изходящ спам
• злонамерени прикачени файлове и вируси в тялото на писмото (малките компании най-често страдат от масирани атаки като Petya).

За да се защитите от всички видове атаки, можете или да разположите няколко системи за информационна сигурност, или да следвате пътя на сервизен модел. Ние вече каза относно Унифицираната платформа за услуги за киберсигурност - ядрото на екосистемата за услуги за киберсигурност, управлявана от Solar MSS. Освен всичко друго, той включва виртуализирана технология Secure Email Gateway (SEG). Като правило, абонамент за тази услуга се закупува от малки компании, в които всички функции за ИТ и информационна сигурност са възложени на едно лице - системния администратор. Спамът е проблем, който винаги е видим за потребителите и ръководството и не може да бъде пренебрегнат. С течение на времето обаче дори ръководството става ясно, че е невъзможно просто да го „пуснете“ на системния администратор - отнема твърде много време.

2 часа за анализ на пощата са малко

Един от търговците на дребно се обърна към нас с подобна ситуация. Системите за проследяване на времето показаха, че всеки ден служителите му прекарват около 25% от работното си време (2 часа!) За сортиране на пощенската кутия.

След като свързахме пощенския сървър на клиента, ние конфигурирахме SEG екземпляра като двупосочен шлюз както за входяща, така и за изходяща поща. Започнахме да филтрираме според предварително установени политики. Ние съставихме черния списък въз основа на анализ на данните, предоставени от клиента, и нашите собствени списъци с потенциално опасни адреси, получени от експертите на Solar JSOC като част от други услуги - например наблюдение на инциденти, свързани със сигурността на информацията. След това цялата поща беше доставена на получателите само след почистване и различни спам съобщения за „големи отстъпки“ спряха да се изливат в пощенските сървъри на клиента в тонове, освобождавайки място за други нужди.

Но е имало ситуации, когато легитимно писмо е било погрешно класифицирано като спам, например като получено от ненадежден подател. В този случай дадохме правото на решение на клиента. Няма много опции какво да направите: да го изтриете веднага или да го изпратите в карантина. Избрахме втория път, при който такава нежелана поща се съхранява в самия SEG. Осигурихме на системния администратор достъп до уеб конзолата, в която той можеше да намери по всяко време важно писмо, например от контрагент, и да го препрати на потребителя.

Отърваване от паразити

Услугата за защита на електронната поща включва аналитични отчети, чиято цел е да следят сигурността на инфраструктурата и ефективността на използваните настройки. В допълнение, тези отчети ви позволяват да прогнозирате тенденциите. Например намираме съответния раздел „Спам по получател“ или „Спам по подател“ в отчета и разглеждаме чий адрес получава най-голям брой блокирани съобщения.

Именно при анализа на такъв отчет ни се стори подозрителен рязко увеличеният общ брой писма от един от клиентите. Инфраструктурата му е малка, броят на буквите е малък. И изведнъж, след работен ден, количеството блокиран спам почти се удвои. Решихме да разгледаме по-отблизо.

Виждаме, че броят на изходящите писма се е увеличил и всички те в полето „Подател“ съдържат адреси от домейн, който е свързан с услугата за защита на пощата. Но има един нюанс: сред съвсем разумни, може би дори съществуващи адреси, има очевидно странни. Разгледахме IP-тата, от които са изпратени писмата, и съвсем очаквано се оказа, че те не принадлежат към защитеното адресно пространство. Очевидно нападателят е изпращал спам от името на клиента.

В този случай направихме препоръки за клиента как правилно да конфигурира DNS записи, по-специално SPF. Нашият специалист ни посъветва да създадем TXT запис, съдържащ правилото „v=spf1 mx ip:1.2.3.4/23 -all“, което съдържа изчерпателен списък с адреси, на които е разрешено да изпращат писма от името на защитения домейн.

Всъщност защо това е важно: спамът от името на неизвестна малка компания е неприятен, но не и критичен. Съвсем различно е положението например в банковия бранш. Според нашите наблюдения нивото на доверие на жертвата във фишинг имейл се увеличава многократно, ако се предполага, че е изпратено от домейна на друга банка или контрагент, познат на жертвата. И това отличава не само банковите служители; и в други индустрии - например енергетиката - сме изправени пред същата тенденция.

Убиване на вируси

Но спуфингът не е толкова често срещан проблем, колкото например вирусните инфекции. Как най-често се борите с вирусните епидемии? Те инсталират антивирусна програма и се надяват, че „врагът няма да премине“. Но ако всичко беше толкова просто, тогава, предвид сравнително ниската цена на антивирусите, всички отдавна биха забравили за проблема със зловреден софтуер. Междувременно непрекъснато получаваме заявки от поредицата „помогнете ни да възстановим файловете, ние криптирахме всичко, работата е в застой, данните са загубени.“ Не се уморяваме да повтаряме на нашите клиенти, че антивирусната програма не е панацея. В допълнение към факта, че антивирусните бази данни може да не се актуализират достатъчно бързо, често срещаме злонамерен софтуер, който може да заобиколи не само антивирусите, но и пясъчниците.

За съжаление, малко обикновени служители на организации са наясно с фишинг и злонамерени имейли и могат да ги разграничат от обикновената кореспонденция. Средно всеки 7-ми потребител, който не се подлага на редовно повишаване на осведомеността, се поддава на социално инженерство: отваряне на заразен файл или изпращане на данните си на нападатели.

Въпреки че социалният вектор на атаките като цяло постепенно се увеличава, тази тенденция стана особено забележима през миналата година. Фишинг имейлите ставаха все по-подобни на обикновените имейли за промоции, предстоящи събития и т.н. Тук можем да си припомним Silence атаката срещу финансовия сектор - банкови служители получиха писмо, уж с промоционален код за участие в популярната индустриална конференция iFin, а процентът на онези, които се поддадоха на трика, беше много висок, въпреки че, нека си припомним , говорим за банковата индустрия - най-напредналата по отношение на информационната сигурност.

Преди миналата Нова година също наблюдавахме няколко доста любопитни ситуации, когато служители на индустриални компании получиха много висококачествени фишинг писма със „списък“ с новогодишни промоции в популярни онлайн магазини и с промоционални кодове за отстъпки. Служителите не само се опитаха сами да последват връзката, но и препратиха писмото на колеги от свързани организации. Тъй като ресурсът, към който водеше връзката във фишинг имейла, беше блокиран, служителите започнаха масово да подават заявки до ИТ службата за предоставяне на достъп до него. Като цяло успехът на пощата трябва да е надхвърлил всички очаквания на нападателите.

И наскоро компания, която беше „криптирана“, се обърна към нас за помощ. Всичко започна, когато счетоводните служители получиха писмо, за което се твърди, че е от Централната банка на Руската федерация. Счетоводителят кликна върху връзката в писмото и изтегли миньора WannaMine на своята машина, който, подобно на известния WannaCry, използва уязвимостта на EternalBlue. Най-интересното е, че повечето антивируси успяха да открият сигнатурите му от началото на 2018 г. Но или антивирусната програма беше деактивирана, или базите данни не бяха актуализирани, или изобщо не беше там - във всеки случай миньорът вече беше на компютъра и нищо не му попречи да се разпространи по-нататък в мрежата, зареждайки сървърите CPU и работни станции на 100%.

Този клиент, след като получи доклад от нашия криминалистичен екип, видя, че вирусът първоначално е проникнал в него чрез имейл и стартира пилотен проект за свързване на услуга за защита на имейл. Първото нещо, което настроихме, беше имейл антивирус. В същото време сканирането за злонамерен софтуер се извършва постоянно и първоначално актуализациите на подписите се извършваха на всеки час, а след това клиентът премина към два пъти на ден.

Пълната защита срещу вирусни инфекции трябва да бъде наслоена. Ако говорим за предаване на вируси чрез имейл, тогава е необходимо да филтрирате такива писма на входа, да обучите потребителите да разпознават социалното инженерство и след това да разчитате на антивируси и пясъчници.

в СЕГда на стража

Разбира се, ние не твърдим, че решенията на Secure Email Gateway са панацея. Целенасочените атаки, включително фишингът, са изключително трудни за предотвратяване, защото... Всяка такава атака е „пригодена“ за конкретен получател (организация или лице). Но за компания, която се опитва да осигури основно ниво на сигурност, това е много, особено с правилния опит и експертиза, приложени към задачата.

Най-често, когато се извършва фишинг, злонамерените прикачени файлове не се включват в тялото на писмата, в противен случай антиспам системата незабавно ще блокира такова писмо по пътя му към получателя. Но те включват връзки към предварително подготвен уеб ресурс в текста на писмото и тогава това е малък въпрос. Потребителят следва връзката и след няколко пренасочвания за секунди се озовава на последната в цялата верига, отварянето на която ще изтегли зловреден софтуер на компютъра му.

Още по-сложно: в момента, в който получите писмото, връзката може да е безобидна и едва след известно време, когато вече е сканирана и пропусната, ще започне да пренасочва към зловреден софтуер. За съжаление, специалистите на Solar JSOC, дори като се вземат предвид техните компетенции, няма да могат да конфигурират пощенския шлюз така, че да „виждат“ злонамерен софтуер през цялата верига (въпреки че като защита можете да използвате автоматичната замяна на всички връзки в писма към SEG, така че последният да сканира връзката не само в момента на доставка на писмото, но и при всеки преход).

Междувременно, дори типичното пренасочване може да се справи с обединяването на няколко вида експертиза, включително данни, получени от нашите JSOC CERT и OSINT. Това ви позволява да създавате разширени черни списъци, въз основа на които дори писмо с многократно препращане ще бъде блокирано.

Използването на SEG е само малка тухла в стената, която всяка организация иска да изгради, за да защити активите си. Но тази връзка също трябва да бъде правилно интегрирана в общата картина, защото дори SEG, с правилна конфигурация, може да се превърне в пълноценно средство за защита.

Ксения Садунина, консултант на експертния отдел за предварителна продажба на продукти и услуги на Solar JSOC

Източник: www.habr.com