Повече от антиспам: как да извлечем максимума от Security Email Gateway

Докато големият Enterprise изгражда многостепенни крепости срещу потенциални вътрешни злоупотребители и хакери, за по-малките компании проблем остават фишинг атаките и спам разпространението. Ако Марти Макфлай знаеше, че през 2015 година (а особено през 2020) хората не само няма да изобретят ховърборди, но дори няма да научат как да се отърват напълно от нежеланата поща, сигурно щеше да загуби вяра в човечеството. Освен това, спамът днес не е просто дразнещ, а често и злонамерен. В приблизително 70% от случаите в течение на изпълнението на killchain киберпрестъпниците проникват в инфраструктурата с помощта на зловреден софтуер, намиращ се в приложенията или чрез фишингови линкове в електронните писма.

В последно време ясно се наблюдава тенденция за разпространение на социална инженерия като метод за проникване в инфраструктурата на организацията. При сравняване на статистиката за 2017 и 2018 година наблюдаваме почти 50-процентно увеличение на случаите, когато зловреден софтуер е доставен на компютрите на служителите именно чрез приложения или фишингови линкове в текста на писмото.

Целият спектър от заплахи, които могат да бъдат реализирани чрез електронна поща, може да бъде разделен на няколко категории:

• входящ спам
• включване на компютрите на организацията в бот мрежа, разпространяваща изходящ спам
• зловредни приложения и вируси в текста на писмото (малките компании често страдат от масови атаки като Petya).

За защита от всички видове атаки може да се разположат няколко Системи за защита на информацията (СЗИ) или да се избере модел на услуги. Вече ми разказвахме за Единната платформа за киберсигурност – ядрото на екосистемата за управлявани киберсигурност Solar MSS. Между другото тя включва и виртуализираната технология Secure Email Gateway (SEG). Обикновено подписката за този сервис закупуват малки компании, при които всички ИТ и ИБ функции са възложени на един човек – системния администратор. Спамът е проблем, който винаги е на преден план за потребителите и ръководството и не може да се пренебрегне. Но с времето дори ръководството осъзнава, че просто „да го хвърлиш“ на системния администратор не е вариант – отнема твърде много време.

2 часа за сортиране на пощата – това е доста

С такава ситуация се свърза с нас един от търговците на дребно. Системите за отчитане на работното време показваха, че служителите му прекарват около 25% от работното си време (2 часа!) всеки ден в разглеждане на пощенската кутия.

След като свързахме пощенския сървър на клиента, конфигурирахме инстанцията на SEG като двупосочен шлюз и за входящата, и за изходящата поща. Стартирахме филтриране по предварително зададени политики. Черният списък съставихме на базата на анализа на предоставените от клиента данни и нашите собствени списъци с потенциално опасни адреси, получени от експертите на Solar JSOC в рамките на други услуги - например, наблюдение на инциденти по информационна сигурност. След това, цялата поща се доставяше на адресатите само след почистване, а различните спам разпратки за "грандиозни отстъпки" престанаха да валят на пощенските сървъри на клиента, освобождавайки пространство за други нужди.

Но имаше ситуации, когато легитимно писмо погрешно бе отнесено към спама, например, като получено от недостоверен подател. В този случай правото на решение предоставихме на клиента. Вариантите не са много: веднага да се изтрие или да се изпрати на карантина. Избрахме втория вариант, при който такава нежелана поща остава на самия SEG. Ние предоставихме достъп на системния администратор до уеб консолата, където той можеше по всяко време да намери важна писмо, например, от контрагента, и да го пропусне към потребителя.

Избавяме се от паразитите

В състава на услугата за защита на електронната поща влизат аналитични отчети, чиято цел е контрол на защитеността на инфраструктурата и ефективността на приложените настройки. Освен това, тези отчети позволяват прогнозиране на тенденциите. Например, намираме в отчета съответстващия раздел "Спам по получател" или "Спам по подател" и гледаме на кого се получава най-голямо количество блокирани съобщения.

Както при анализа на такъв отчет, ни се стори подозрително рязкото увеличение на общия брой писма при един от клиентите. Инфраструктурата му е малка, количеството писма не е високо. И изведнъж след работния ден, количеството блокиран спам почти се удвои. Решихме да се вгледаме по-внимателно.

Забелязваме, че броят на изходящите имейли е нараснал, и във всички полета „Подател“ стоят адреси от домейна, който е свързан с услугата за защита на пощата. Но има един нюанс: сред напълно нормални, вероятно дори съществуващи, адреси се срещат ясно странни. Проверихме IP адресите, от които са изпращани писмата, и, както и се очакваше, се оказа, че те не принадлежат на защитеното адресно пространство. Очевидно, злоумышленикът е разпращал спам от името на клиента.

В този случай съставихме препоръки за клиента относно правилното конфигуриране на DNS записите, а конкретно SPF. Нашият специалист предложи да се създаде TXT запис, съдържащ правилото „v=spf1 mx ip:1.2.3.4/23 -all“, което представлява изчерпателен списък на адресите, на които е разрешено да изпращат имейли от името на защитения домейн.

Собствено, защо е това важно: спам от името на непозната малка компания — това е неприятно, но не критично. Напълно различно е, например, в банковия сектор. Според нашите наблюдения, там нивото на доверие на жертвата към фишингов имейл значително нараства, ако той е изпратен уж от домейна на друга банка или известен на жертвата контрагент. И това не се различава само за банковите служители, в други сектори – например, в енергетиката – се сблъскваме с подобна тенденция.

Унищожаваме вирусите

Но спуфингът не е толкова честа проблема, колкото например вирусни инфекции. А как обикновено се борят с вирусните епидемии? Инсталират антивирус и се надяват, че „врагът няма да премине“. Но ако всичко беше толкова просто, с оглед на относително ниската цена на антивирусите, всички отдавна щяха да са забравили за проблема с злонамерен софтуер. Междувременно, ние постоянно получаваме запитвания от типа „помогнете ни да възстановим файловете, всичко ни е криптирано, работата спря, данните са загубени“. Не спираме да повтаряме на клиентите, че антивирусът не е панацея. Освен че антивирусните бази могат да се актуализират недостатъчно бързо, често срещаме злонамерен софтуер, способен да заобиколи не само антивирусите, но и песъчниците.

За съжаление, малко от обикновените служители на организациите са запознати с фишинг имейли и злонамерени съобщения и могат да ги отличат от обикновена кореспонденция. В средното всеки 7-ми потребител, който не преминава през редовно обучение по осведомленост, става жертва на социална инженерия: отваря заразен файл или изпраща личните си данни на престъпниците.

Въпреки че социалният вектор на атаките, като цяло, постоянно се засилва, през миналата година този тренд стана особено очевиден. Фишинг имейлите ставаха все по-подобни на обичайните бюлетини за промоции, предстоящи събития и т.н. Тук можем да си спомним атаката на Silence в банковия сектор – служителите получаваха имейл с уж промокод за участие в популярната индустриална конференция iFin, а процентът на подведените от измамата беше много висок, макар че, да припомним, говорим за банковия сектор – най-развито в аспектите на информационната сигурност.

Преди миналия Нова година също наблюдавахме няколко доста куриозни ситуации, когато служители на индустриални компании получиха много качествени фишинг имейли със "списък" на новогодишните акции в популярни онлайн магазини и с промокодове за отстъпки. Служителите не само сами се опитваха да кликнат на линка, но и препращаха имейла на колеги от свързани организации. Тъй като ресурсът, на който водеше линкът във фишинг имейла, беше блокиран, служителите започнаха масово да оставят заявки на ИТ отдела за предоставяне на достъп до него. Общо взето, успехът на разпространението, вероятно, е надминал всички очаквания на престъпниците.

Наскоро се свърза с нас компания, която беше "шифрова". Всичко започна с това, че служителите на счетоводството получиха имейл, уж от ЦБ на Русия. Счетоводителят кликна на линка в имейла – и свали майнера WannaMine на компютъра си, който, подобно на известния WannaCry, експлоатираше уязвимостта EternalBlue. Най-интересното е, че повечето антивируси могат да откриват неговите сигнатури още от началото на 2018 година. Но, дали антивирусът е бил изключен, дали базите не са обновени, дали изобщо го е нямало там, – в какъвто и да е случай майнерът вече беше на компютъра и нищо не му попречи да се разпространява по мрежата, натоварвайки CPU сървъри и ARM на 100%.

Този клиент, след като получи доклад от нашата форензична група, видя, че вирусът е проникнал в системата му първоначално чрез електронната поща и стартира пилотен проект за свързване на услуга за защита на електронната поща. Първото, което настроихме, беше антивирус за електронна поща. При това сканирането за вируси се извършва постоянно, а актуализациите на подписите първоначално се правеха на всеки час, след което клиентът премина на режим два пъти на ден.

Пълноценната защита от вирусни зарази трябва да бъде ешелонирана. Що се отнася до предаването на вируси чрез електронна поща, е необходимо да се отсяват такива писма на входа, да се обучават потребителите да разпознават социална инженерия и след това да се разчита на антивируси и пясъчници.

вSEGда на стража

Разбира се, не твърдим, че решенията от клас Secure Email Gateway са панацея. Насочените атаки, включително и целевият фишинг, са изключително трудни за предотвратяване, тъй като всяка такава атака е "направена" за конкретен получател (организация или човек). Но за компания, която се опитва да осигури основно ниво на сигурност, това не е малко, особено с правилно приложен опит и експертиза по задачата.

Най-често при реализиране на целеви фишинг в текста на писмата не се включват злонамерени прикачени файлове, в противен случай системата за антиспам веднага блокира такова писмо на пътя му към получателя. Вместо това се включват линкове към предварително подготвен уеб ресурс в текста на писмото и тогава остава само да се действа. Потребителят преминава по линка, а след това през няколко пренасочвания за броени секунди попада на последното от веригата, отварянето на което ще подложи на неговия компютър злонамерен софтуер.

Да, дори по-завъртян: в момента на получаване на писмото линкът може да изглежда безобиден и само след известно време, когато вече е сканиран и пропуснат, да започне да пренасочва към злонамерен софтуер. За съжаление, специалистите от Solar JSOC, дори с оглед на техните компетенции, не могат да настроят пощенския шлюз така, че да "виждат" злонамерени софтуер чрез цялата верига (въпреки че като защита може да се използва автоматична замяна на всички линкове в писмата на SEG, за да може последният да сканира линка не само в момента на доставка на писмото, а при всяко преминаване).

Междувременно, дори с типично пренасочване, агрегацията на различни видове експертизи, включително данни, получени от нашия JSOC CERT и OSINT, помага да се справите. Това позволява да се формулират разширени черни списъци, на базата на които дори имейл с множество пренасочвания ще бъде блокиран.

Използването на SEG е само малък тухличка в стената, която всяка организация иска да изгради за защита на своите активи. Но и това звено е необходимо да бъде правилно вградена в общата картина, защото дори SEG при правилна настройка може да бъде направено пълноценно средство за защита.

Ксения Садунина, консултант в отдела за експертен пре-продажбен анализ на продукти и услуги Solar JSOC

Източник: habr.com