Heutzutage verbringt ein Netzwerkadministrator oder IT-Sicherheitsingenieur viel Zeit und Mühe damit, den Perimeter des Unternehmensnetzwerks vor verschiedenen Bedrohungen zu schützen und sich in immer neue Systeme zur Ereignisverhütung und -überwachung einzuarbeiten. Doch selbst das garantiert ihm keinen vollständigen Schutz. Sozialingenieurwesen wird von Kriminellen aktiv eingesetzt und kann ernsthafte Folgen nach sich ziehen.
Wie oft haben Sie sich schon dabei ertappt zu denken: „Es wäre gut, eine Überprüfung des Personals hinsichtlich ihrer Kenntnisse in der Informationssicherheit durchzuführen“? Leider stoßen diese Überlegungen auf eine Wand des Unverständnisses in Form einer Vielzahl von Aufgaben oder Zeitbeschränkungen während des Arbeitstags. Wir planen, Ihnen moderne Produkte und Technologien im Bereich der Automatisierung der Schulung von Mitarbeitern vorzustellen, die keine langwierige Vorbereitung für Pilotprojekte oder Implementierungen erfordern, aber alles der Reihe nach.
Theoretische Grundlagen
Aktuell werden mehr als 80 % schadhafter Dateien über E-Mail verbreitet (Daten stammen aus den Berichten von Check Point des letzten Jahres unter Verwendung des Dienstes Intelligence Reports).
Bericht der letzten 30 Tage über die Angriffsvektoren zur Verbreitung schadhafter Dateien (Russland) – Check Point
Das deutet darauf hin, dass der Inhalt in E-Mail-Nachrichten für Kriminelle recht anfällig ist. Betrachtet man die beliebtesten schädlichen Dateiformate in Anhängen (EXE, RTF, DOC), so fällt auf, dass diese in der Regel automatische Codeausführungselemente (Skripte, Makros) enthalten.
Jahresbericht über die Dateiformate in empfangenen schadhaften Nachrichten – Check Point
Wie kann man gegen diesen Angriffsvektor vorgehen? Die E-Mail-Prüfung besteht in der Verwendung von Sicherheitswerkzeugen:
Antivirus – signaturbasiertes Erkennen von Bedrohungen.
Emulation – eine Sandbox, mit der Anhänge in einer isolierten Umgebung geöffnet werden.
Content Awareness – Extraktion aktiver Elemente aus Dokumenten. Der Benutzer erhält ein bereinigtes Dokument (in der Regel im PDF-Format).
AntiSpam – Überprüfung der Reputation der Domäne des Empfängers/Absenders.
Und theoretisch wäre das genug, aber es gibt noch eine nicht weniger wertvolle Ressource für Unternehmen – die persönlichen und Unternehmensdaten der Mitarbeiter. In den letzten Jahren hat die Popularität der folgenden Art von Internetbetrug erheblich zugenommen:
Phishing (engl. phishing, von fishing — Angeln, Herausholen) — eine Form des Internetbetrugs. Ziel ist es, die Identifikationsdaten der Benutzer zu erhalten. Dazu gehören der Diebstahl von Passwörtern, Kreditkartennummern, Bankkonten und anderen vertraulichen Informationen.
Die Täter verbessern die Methoden von Phishing-Angriffen, leiten DNS-Anfragen von beliebten Websites um und führen ganze Kampagnen mit sozialer Manipulation durch, um E-Mails zu versenden.
Um Ihre Unternehmens-E-Mails vor Phishing zu schützen, werden zwei Ansätze empfohlen, wobei deren gemeinsame Nutzung zu den besten Ergebnissen führt:
Technische Schutzmaßnahmen. Wie bereits erwähnt, werden verschiedene Technologien eingesetzt, um nur legitime E-Mails zu überprüfen und weiterzuleiten.
Theoretische Schulung des Personals. Besteht in umfassenden Tests des Personals zur Identifizierung potenzieller Opfer. Anschließend wird eine Schulung durchgeführt, und die Statistiken werden kontinuierlich erfasst.
Misstrauen und überprüfen
Heute geht es um den zweiten Ansatz zur Verhinderung von Phishing-Angriffen, nämlich um automatisiertes Training des Personals, um das allgemeine Schutzniveau von Unternehmens- und persönlichen Daten zu erhöhen. Warum kann das so gefährlich sein?
Soziale Ingenieurtechniken — psychologische Manipulation von Menschen, um bestimmte Handlungen auszuführen oder vertrauliche Informationen preiszugeben (im Hinblick auf die Informationssicherheit).
Schema eines typischen Phishing-Angriffs
Lassen Sie uns auf ein fesselndes Flussdiagramm zu sprechen kommen, das den Weg zur Durchführung einer Phishing-Kampagne kurz darstellt. Es gibt verschiedene Phasen:
Sammlung von Primärdaten.
Im 21. Jahrhundert ist es schwer, jemanden zu finden, der nicht in einem sozialen Netzwerk oder auf verschiedenen thematischen Foren registriert ist. Natürlich hinterlassen viele von uns umfangreiche Informationen über sich selbst: den aktuellen Arbeitsplatz, Gruppen für Kollegen, Telefon, E-Mail usw. Fügen Sie dazu personalisierte Informationen über die Interessen einer Person hinzu und Sie erhalten die Daten zur Erstellung einer Phishing-Vorlage. Selbst wenn es nicht gelang, Menschen mit solchen Informationen zu finden, gibt es immer die Website des Unternehmens, von der aus man alle interessierenden Informationen (Domain-E-Mail, Kontakte, Verbindungen) zusammentragen kann.
Start der Kampagne.
Nachdem der „Stützpunkt“ eingerichtet ist, können Sie mit kostenlosen oder kostenpflichtigen Tools Ihre eigene gezielte Phishing-Kampagne starten. Im Verlauf der Kampagne sammeln Sie Statistiken: zugestellte E-Mails, geöffnete E-Mails, Klicks auf Links, Eingaben von Anmeldedaten usw.
Produkte auf dem Markt
Phishing kann sowohl von Angreifern als auch von Mitarbeitern der Sicherheitsabteilung eines Unternehmens genutzt werden, um das Verhalten der Mitarbeiter fortlaufend zu prüfen. Was bietet der Markt für kostenlose und kommerzielle Lösungen zur automatisierten Schulung von Unternehmensmitarbeitern an:
— ein Open-Source-Projekt, das es ermöglicht, eine Phishing-Kampagne einzurichten, um die IT-Kompetenz Ihrer Mitarbeiter zu überprüfen. Zu den Vorteilen zähle ich die einfache Bereitstellung und die minimalen Systemanforderungen. Zu den Nachteilen gehören das Fehlen fertiger Vorlagen für den Versand und das Fehlen von Tests und Schulungsmaterialien für das Personal.
— eine Plattform mit einer großen Anzahl verfügbarer Produkte zur Mitarbeitertests.
— ein automatisiertes System zur Testung und Schulung von Mitarbeitern. Es gibt verschiedene Versionen von Produkten, die von 10 bis über 1000 Mitarbeiter unterstützen. Die Schulungskurse umfassen Theorie und praktische Aufgaben und ermöglichen die Identifizierung von Bedürfnissen basierend auf den statistischen Daten nach der Phishing-Kampagne. Die Lösung ist kommerziell und bietet die Möglichkeit einer Testnutzung.
— ein automatisiertes System zur Schulung und Sicherheitsüberwachung. Das kommerzielle Produkt bietet die Durchführung regelmäßiger Schulungsangriffe und Schulungen für Mitarbeiter an. Als Demo-Version des Produkts wird eine Kampagne angeboten, die das Bereitstellen von Vorlagen und die Durchführung von drei Schulungsangriffen beinhaltet.
Die oben genannten Lösungen sind nur ein Teil der verfügbaren Produkte auf dem Markt für automatisierte Mitarbeiterschulungen. Natürlich hat jede Lösung ihre eigenen Vor- und Nachteile. Heute werden wir uns , eine Phishing-Attacke simulieren und die verfügbaren Optionen untersuchen.
GoPhish
Nun ist es Zeit für die Praxis. GoPhish wurde nicht zufällig ausgewählt: Es handelt sich um ein benutzerfreundliches Tool mit folgenden Eigenschaften:
Vereinfachte Installation und Ausführung.
Unterstützung von REST API. Ermöglicht die Erstellung von Anfragen aus und die Anwendung automatisierter Szenarien.
Benutzerfreundliche grafische Benutzeroberfläche zur Verwaltung.
Plattformunabhängigkeit.
Das Entwicklerteam hat eine großartige Anleitung zur Installation und Konfiguration von GoPhish vorbereitet. Sie müssen lediglich zu , das ZIP-Archiv für das entsprechende Betriebssystem herunterladen, die interne Binärdatei ausführen, nach der das Tool installiert wird.
WICHTIGER HINWEIS!
Am Ende sollten Sie im Terminal Informationen über das bereitgestellte Portal sowie Anmeldedaten (aktuell für Versionen höher als 0.10.1) erhalten. Vergessen Sie nicht, das Passwort zu notieren!
msg="Bitte melden Sie sich mit dem Benutzernamen admin und dem Passwort "Konfiguration von GoPhish verstehen
Nach der Installation wird in dem Anwendungsordner eine Konfigurationsdatei (config.json) erstellt. Lassen Sie uns die Parameter zur Bearbeitung beschreiben:
Schlüssel
Wert (Standard)
Beschreibung
admin_server.listen_url
127.0.0.1:3333
IP-Adresse des GoPhish-Servers
admin_server.use_tls
false
Wird TLS für die Verbindung zum GoPhish-Server verwendet?
admin_server.cert_path
example.crt
Pfad zum SSL-Zertifikat für das Administrationsportal von GoPhish
admin_server.key_path
example.key
Pfad zum privaten SSL-Schlüssel
phish_server.listen_url
0.0.0.0:80
IP-Adresse und Port für die Veröffentlichung der Phishing-Seite (standardmäßig wird sie auf dem GoPhish-Server auf Port 80 gehostet)
–> Gehen Sie zum Verwaltungsportal. In unserem Fall: https://127.0.0.1:3333
–> Ihnen wird angeboten, ein recht langes Passwort gegen ein einfacheres oder umgekehrt zu ersetzen.
Erstellung eines Absenderprofils
Gehen Sie zum Tab „Sending Profiles“ und geben Sie die Daten des Benutzers an, von dem unsere Versandaktion ausgeht:
Wo:
Name
Absendername
Von
E-Mail des Absenders
Host
IP-Adresse des Mailservers, von dem aus die eingehende Mail abgehört wird.
Benutzername
Login der Benutzerkonto beim Mailserver.
Passwort
Passwort des Benutzerkontos beim Mailserver.
Sie können auch eine Testnachricht senden, um sich von der erfolgreichen Zustellung zu überzeugen. Speichern Sie die Einstellungen mit der Schaltfläche „Profil speichern“.
Erstellung einer Empfängerliste
Als Nächstes müssen Sie eine Gruppe von „Glücksnachrichten“-Empfängern erstellen. Gehen Sie zu „User & Groups“ → „New Group“. Es gibt zwei Möglichkeiten, diese hinzuzufügen: manuell oder durch den Import einer CSV-Datei.
Für die zweite Methode sind die folgenden Pflichtfelder erforderlich:
Vorname
Nachname
E-Mail
Position
Zum Beispiel:
Vorname,Nachname,Position,E-Mail
Richard,Bourne,CEO,rbourne@morningcatch.ph
Boyd,Jenius,Systemadministrator,bjenius@morningcatch.ph
Haiti,Moreo,Vertrieb & Marketing,hmoreo@morningcatch.phErstellung einer Phishing-E-Mail-Vorlage
Nachdem wir den fiktiven Angreifer und potenzielle Opfer identifiziert haben, müssen wir eine Vorlage mit einer Nachricht erstellen. Gehen Sie dazu zu "Email-Vorlagen" → "Neue Vorlagen".
Bei der Erstellung der Vorlage kommt ein technischer und kreativer Ansatz zum Einsatz. Es sollte eine Nachricht vom Dienst angegeben werden, die den betroffenen Benutzern bekannt ist oder eine bestimmte Reaktion hervorruft. Mögliche Optionen:
Name
Vorlagenname
Betreff
Thema der E-Mail
Text / HTML
Feld zur Eingabe von Text oder HTML-Code
Gophish unterstützt den Import von E-Mails; wir werden jedoch unsere eigene erstellen. Dazu simulieren wir folgendes Szenario: Ein Benutzer des Unternehmens erhält eine E-Mail mit einem Passwortänderungsangebot für seine Unternehmens-E-Mail. Wir analysieren dann seine Reaktion und beobachten unsere "Beute".
In der Vorlage verwenden wir integrierte Variablen. Eine detaillierte Beschreibung finden Sie in der vorgenannten im Abschnitt .
Laden wir zunächst den folgenden Text hoch:
{{.FirstName}},
Das Passwort für {{.Email}} ist abgelaufen. Bitte setzen Sie Ihr Passwort hier zurück.
Danke,
IT-TeamDementsprechend wird automatisch der Benutzername (gemäß dem zuvor festgelegten Punkt "Neue Gruppe") sowie die E-Mail-Adresse eingefügt.
Im nächsten Schritt sollten wir den Link zu unserer Phishing-Ressource angeben. Dazu markieren wir im Text das Wort "hier" und wählen die Option "Link" in der Steuerleiste aus.
Als URL geben wir die integrierte Variable {{.URL}} an, die wir später ausfüllen werden. Sie wird automatisch in den Text der Phishing-E-Mail integriert.
Vergessen Sie nicht, die Option "Tracking-Bild hinzufügen" zu aktivieren, bevor Sie die Vorlage speichern. Dies fügt ein Medien-Element in der Größe 1×1 Pixel hinzu, das das Öffnen der E-Mail durch den Benutzer verfolgt.
Wir sind fast fertig, aber fassen wir vorher die erforderlichen Schritte nach der Anmeldung im Gophish-Portal zusammen:
Ein Absenderprofil erstellen;
Eine Versandgruppe erstellen, in der die Benutzer angegeben sind;
Eine Vorlage für die Phishing-E-Mail erstellen.
Zustimmen, dass die Einrichtung nicht viel Zeit in Anspruch genommen hat und wir fast bereit sind, unsere Kampagne zu starten. Es bleibt nur noch, die Phishing-Seite hinzuzufügen.
Erstellung der Phishing-Seite
Gehen Sie zum Tab "Landing Pages".
Uns wird angeboten, den Namen des Objekts anzugeben. Es gibt die Möglichkeit, die Quellwebsite zu importieren. In unserem Beispiel habe ich versucht, ein funktionierendes Webportal des E-Mail-Servers anzugeben. Dementsprechend wurde es als HTML-Code importiert (auch wenn nicht vollständig). Dann folgen interessante Optionen zum Erfassen der eingegebenen Benutzerdaten:
Daten erfassen. Wenn die angegebene Webseite verschiedene Eingabeformulare enthält, werden alle Daten aufgezeichnet.
Passwörter erfassen - die eingegebenen Passwörter werden erfasst. Die Daten werden unverschlüsselt in der GoPhish-Datenbank gespeichert, wie sie sind.
Zusätzlich können wir die Option „Weiterleiten an“ verwenden, die den Benutzer nach der Eingabe der Anmeldedaten auf die festgelegte Seite weiterleitet. Ich erinnere daran, dass wir ein Szenario festgelegt haben, in dem dem Benutzer angeboten wird, das Passwort für die Unternehmens-E-Mail zu ändern. Dazu wird ihm eine gefälschte Seite des Anmeldeportals für E-Mails angeboten, wonach der Benutzer auf jede verfügbare Ressource des Unternehmens weitergeleitet werden kann.
Vergessen Sie nicht, die ausgefüllte Seite zu speichern, und gehen Sie zum Abschnitt „Neue Kampagne“.
Start der GoPhish-Angriffe
Wir haben alle notwendigen Daten angegeben. Im Tab „Neue Kampagne“ erstellen wir eine neue Kampagne.
Kampagnenstart
Wo:
Name
Kampagnenname
E-Mail-Vorlage
Nachrichtenvorlage
Landing Page
Phishing-Seite
URL
IP Ihres GoPhish-Servers (muss aus dem Netzwerk mit dem Opfer-Host erreichbar sein)
Startdatum
Kampagnenstartdatum
E-Mails versenden bis
Enddatum der Kampagne (der Versand erfolgt gleichmäßig)
Versandprofil
Absenderprofil
Gruppen
Gruppe der Empfänger der Mailingliste
Nach dem Start können wir jederzeit die Statistiken einsehen, aus denen hervorgeht: gesendete Nachrichten, geöffnete Nachrichten, Klicks auf Links, eingegebene Daten und Umleitungen ins Spam.
Aus den Statistiken sehen wir, dass 1 Nachricht gesendet wurde. Lass uns die E-Mails aus der Sicht des Empfängers überprüfen:
Tatsächlich hat das Opfer die Phishing-E-Mail erfolgreich erhalten, mit der Bitte, auf den Link zum Ändern des Passworts für das Unternehmenskonto zu klicken. Wir führen die angeforderten Aktionen aus, was uns zur Seite der Zielseiten bringt. Wie steht es um die Statistiken?
Insgesamt hat unser Benutzer auf den Phishing-Link geklickt, wo er potenziell Daten zu seinem Konto hinterlassen konnte.
Hinweis des Autors: Der Eingabeprozess wurde nicht erfasst, da ein Testlayout verwendet wurde, aber es gibt eine solche Option. Dabei wird der Inhalt nicht verschlüsselt und in der GoPhish-Datenbank gespeichert, beachten Sie das.
Zum Abschluss
Heute haben wir ein aktuelles Thema angesprochen, nämlich die Durchführung automatisierter Schulungen für Mitarbeiter, um sie vor Phishing-Angriffen zu schützen und ihre IT-Kompetenz zu fördern. Als zugängliche Lösung wurde Gophish eingesetzt, das sich in Bezug auf den Zeitraum der Bereitstellung und das Ergebnis als vorteilhaft erwiesen hat. Mit diesem praktischen Tool können Sie Ihre Mitarbeiter überprüfen und Berichte über ihr Verhalten erstellen. Wenn Sie an diesem Produkt interessiert sind, bieten wir Unterstützung bei der Bereitstellung und der Durchführung von Audits Ihrer Mitarbeiter (sales@tssolution.ru).
Wir haben jedoch nicht vor, bei der Vorstellung einer einzigen Lösung zu stoppen, sondern planen, die Reihe fortzusetzen, in der wir über Enterprise-Lösungen zur Automatisierung von Schulungsprozessen und zur Kontrolle der Sicherheit von Mitarbeitern berichten. Bleiben Sie dran und seien Sie wachsam!
Quelle: habr.com
