Heutzutage verbringen Netzwerkadministratoren oder IT-Sicherheitsingenieure viel Zeit und Mühe damit, die Unternehmensperimeter vor verschiedenen Bedrohungen zu schützen. Sie erlernen ständig neue Systeme zur Vorbeugung und Überwachung von Ereignissen, aber selbst das gewährleistet keine vollständige Sicherheit. Social Engineering wird aktiv von Angreifern genutzt und kann schwerwiegende Folgen nach sich ziehen.
Wie oft haben Sie sich gedacht: „Es wäre gut, eine Schulung für die Mitarbeiter zur Informationssicherheit durchzuführen“? Leider stoßen diese Gedanken oft auf ein Verständnisproblem aufgrund der Vielzahl von Aufgaben oder des begrenzten Zeitrahmens im Arbeitsalltag. Wir möchten Ihnen moderne Produkte und Technologien im Bereich der Automatisierung von Mitarbeiterschulungen vorstellen, die keine langwierige Vorbereitung für die Durchführung von Pilotprojekten oder Implementierungen erfordern. Aber dazu später mehr.
Theoretische Grundlage
Aktuell werden über 80 % der Schadsoftware über E-Mail verbreitet (Daten stammen aus den Berichten von Check Point-Experten des letzten Jahres mittels des Dienstes Intelligence Reports).
Bericht der letzten 30 Tage über den Angriffsvektor zur Verbreitung von Malware (Russland) — Check Point
Das zeigt, dass der Inhalt in E-Mails anfällig für Angriffe von Cyberkriminellen ist. Betrachtet man die beliebtesten bösartigen Dateiformate in Anhängen (EXE, RTF, DOC), fällt auf, dass sie in der Regel automatische Ausführungselemente (Skripte, Makros) enthalten.
Jahresbericht über Dateiformate in empfangenen bösartigen Nachrichten — Check Point
Wie kann man gegen diesen Angriffsvektor vorgehen? Die Überprüfung von E-Mails erfolgt durch die Nutzung von Sicherheitstools:
Antivirus — signaturbasierte Bedrohungserkennung.
Emulation — Sandbox, in der Anhänge in einer isolierten Umgebung geöffnet werden.
Content Awareness — Extrahierung aktiver Elemente aus Dokumenten. Der Benutzer erhält ein bereinigtes Dokument (in der Regel im PDF-Format).
AntiSpam — Überprüfung der Domain des Empfängers/Absenders auf Reputation.
Und theoretisch reicht das aus, aber es gibt einen weiteren, ebenso wertvollen Rohstoff für Unternehmen – die sensiblen Unternehmens- und Personaldaten. In den letzten Jahren hat die Popularität einer bestimmten Form von Internetbetrug stark zugenommen:
Phishing (engl. phishing, von fishing – Angeln, Abfischen) – eine Art von Internetbetrug. Ziel ist es, Identifikationsdaten der Benutzer zu erlangen. Dazu gehören der Diebstahl von Passwörtern, Kreditkartennummern, Bankkontoinformationen und anderen vertraulichen Daten.
Kriminelle verbessern ihre Phishing-Angriffsmethoden, leiten DNS-Anfragen von beliebten Websites um und führen ganze Kampagnen durch, die soziale Ingenieurskunst zur Verbreitung von E-Mails nutzen.
Um Ihre Unternehmens-E-Mail vor Phishing zu schützen, werden zwei Ansätze empfohlen, deren gleichzeitige Nutzung zu den besten Ergebnissen führt:
Technische Schutzwerkzeuge. Wie bereits erwähnt, kommen verschiedene Technologien zum Einsatz, um nur legitime E-Mails zu überprüfen und weiterzuleiten.
Theoretische Schulung des Personals. Es handelt sich um eine umfassende Schulung des Personals zur Identifizierung potenzieller Opfer. Anschließend erfolgt eine Umsschulung und die permanente Dokumentation von Statistiken.
Vertrau, aber überprüfe
Heute sprechen wir über den zweiten Ansatz zur Verhinderung von Phishing-Angriffen, nämlich die automatisierte Schulung des Personals zur Erhöhung des allgemeinen Sicherheitsniveaus für Unternehmens- und persönliche Daten. Warum könnte dies so gefährlich sein?
Soziale Ingenieurkunst — psychologische Manipulation von Menschen, um bestimmte Handlungen oder die Offenlegung vertraulicher Informationen zu erreichen (im Kontext von Informationssicherheit).
Schema eines typischen Szenarios für einen Phishing-Angriff
Lassen Sie uns auf ein interessantes Flussdiagramm eingehen, das den Verlauf einer Phishing-Kampagne kurz darstellt. Es umfasst verschiedene Phasen:
Erfassung grundlegender Daten.
Im 21. Jahrhundert ist es schwer, jemanden zu finden, der nicht in einem sozialen Netzwerk oder in verschiedenen thematischen Foren registriert ist. Offensichtlich hinterlassen viele von uns umfassende Informationen über sich selbst: aktueller Arbeitsplatz, Gruppen für Kollegen, Telefonnummer, E-Mail usw. Fügen Sie hierzu personalisierte Informationen über die Interessen der Person hinzu, und Sie erhalten Daten zur Erstellung einer Phishing-Vorlage. Selbst wenn es nicht gelingt, Personen mit solchen Informationen zu finden, gibt es immer noch die Unternehmenswebsite, von der aus sich alle benötigen Informationen (Domain-E-Mail, Kontakte, Verbindungen) zusammentragen lassen.
Kampagne starten.
Nachdem die "Basis" vorbereitet ist, können Sie mit kostenlosen oder kostenpflichtigen Tools Ihre eigene gezielte Phishing-Kampagne starten. Im Verlauf der Arbeiten wird sich die Statistik ansammeln: zugestellte E-Mails, geöffnete E-Mails, Klicks auf Links, Eingabe von Anmeldedaten usw.
Produkte auf dem Markt
Phishing kann sowohl von Angreifern als auch von Mitarbeitenden der IT-Sicherheit eines Unternehmens genutzt werden, um das Verhalten der Mitarbeiter kontinuierlich zu überprüfen. Was schlägt der Markt für kostenlose und commerciale Lösungen im Bereich automatisierter Mitarbeiterschulung vor?
— ein Open-Source-Projekt, das es ermöglicht, eine Phishing-Kampagne zum Test der IT-Kenntnisse Ihrer Mitarbeiter durchzuführen. Zu den Vorteilen gehören die einfache Bereitstellung und die minimalen Systemanforderungen. Die Nachteile sind das Fehlen vorgefertigter Versandvorlagen sowie das Fehlen von Tests und Schulungsmaterialien für das Personal.
— eine Plattform mit einer Vielzahl von verfügbaren Produkten zur Schulung des Personals.
— ein automatisiertes System zur Testung und Schulung von Mitarbeitern. Es gibt verschiedene Produktversionen, die von 10 bis über 1000 Mitarbeitenden unterstützen. Die Schulungskurse umfassen Theorie und praktische Aufgaben, und es besteht die Möglichkeit, Schulungsbedarfe basierend auf den nach der Phishing-Kampagne gesammelten Statistiken zu ermitteln. Es handelt sich um eine kommerzielle Lösung mit einer Testphase.
— ein automatisiertes Trainings- und Sicherheitskontrollsystem. Das kommerzielle Produkt bietet die Durchführung regelmäßiger Übungsangriffe, Schulungen für Mitarbeiter usw. Als Demoversion des Produkts wird eine Kampagne angeboten, die das Bereitstellen von Vorlagen und die Durchführung von drei Übungsangriffen umfasst.
Die oben genannten Lösungen sind nur ein Teil der verfügbaren Produkte auf dem Markt für automatisiertes Mitarbeiterschulungen. Natürlich hat jedes seine Vor- und Nachteile. Heute werden wir uns mit , einer simulierten Phishing-Attacke, beschäftigen und die verfügbaren Optionen erkunden.
GoPhish
Es ist also Zeit für die Praxis. GoPhish wurde nicht ohne Grund ausgewählt: Es handelt sich um ein benutzerfreundliches Tool mit den folgenden Eigenschaften:
Einfache Installation und Inbetriebnahme.
Unterstützung von REST API. Ermöglicht das Erstellen von Anfragen aus und die Anwendung automatisierter Skripte.
Benutzerfreundliche grafische Verwaltungsoberfläche.
Plattformübergreifend nutzbar.
Das Entwicklerteam hat hervorragende unterstützung zur Bereitstellung und Konfiguration von GoPhish vorbereitet. Tatsächlich müssen Sie nur zu , laden Sie das ZIP-Archiv für das entsprechende Betriebssystem herunter, starten Sie die interne Binärdatei, danach wird das Tool installiert.
WICHTIGER HINWEIS!
Am Ende sollten Sie im Terminal Informationen über das bereitgestellte Portal sowie Anmeldedaten erhalten (gültig für Versionen über 0.10.1). Vergessen Sie nicht, Ihr Passwort zu notieren!
msg="Bitte melden Sie sich mit dem Benutzernamen admin und dem Passwort an"Einstellung von GoPhish.
Nach der Installation wird im Anwendungsverzeichnis eine Konfigurationsdatei (config.json) erstellt. Lassen Sie uns die Parameter für die Änderung beschreiben:
Der Schlüssel
Wert (Standard)
Beschreibung
admin_server.listen_url
127.0.0.1:3333
IP-Adresse des GoPhish-Servers
admin_server.use_tls
false
Wird TLS zur Verbindung mit dem GoPhish-Server verwendet?
admin_server.cert_path
example.crt
Pfad zum SSL-Zertifikat für das GoPhish-Administrationsportal
admin_server.key_path
example.key
Pfad zum privaten SSL-Schlüssel
phish_server.listen_url
0.0.0.0:80
IP-Adresse und Port der Phishing-Seite (standardmäßig wird sie auf demselben GoPhish-Server unter Port 80 gehostet)
—> Gehen Sie zum Verwaltungsportal. In unserem Fall: https://127.0.0.1:3333
—> Ihnen wird angeboten, ein recht langes Passwort durch ein einfacheres oder umgekehrt zu ändern.
Erstellung eines Absenderprofils
Gehen Sie zum Tab "Versandprofile" und geben Sie die Daten des Benutzers an, von dem unser Versand erfolgen wird:
Wobei:
Name
Absendername
Von
Absender-E-Mail
Host
IP-Adresse des Mailservers, von dem die eingehenden E-Mails empfangen werden.
Benutzername
Benutzeranmeldedaten des Mailservers.
Passwort
Passwort des Benutzerkontos des Mailservers.
Sie können auch eine Testnachricht senden, um den erfolgreichen Versand zu überprüfen. Speichern Sie die Einstellungen mit der Schaltfläche „Profil speichern“.
Erstellen einer Empfängergruppe
Zunächst sollten Sie eine Gruppe für die Empfänger ‚Glücksbriefe‘ erstellen. Gehen Sie zu „Benutzer & Gruppen“ → „Neue Gruppe“. Es gibt zwei Möglichkeiten, wie Sie hinzufügen können: manuell oder durch Import einer CSV-Datei.
Für die zweite Methode sind die folgenden Pflichtfelder erforderlich:
Vorname
Nachname
E-Mail
Position
Zur Veranschaulichung:
Vorname,Nachname,Position,E-Mail
Richard,Bourne,CEO,rbourne@morningcatch.ph
Boyd,Jenius,Systemadministrator,bjenius@morningcatch.ph
Haiti,Moreo,Vertrieb & Marketing,hmoreo@morningcatch.phErstellen einer Phishing-E-Mail-Vorlage
Nachdem wir den imaginären Angreifer und potenzielle Opfer angegeben haben, müssen wir eine Vorlage mit der Nachricht erstellen. Gehen Sie dafür zum Bereich „E-Mail-Vorlagen“ → „Neue Vorlagen“.
Bei der Erstellung der Vorlage kommen technisches und kreatives Vorgehen zum Einsatz. Es sollte eine Nachricht des Dienstes angegeben werden, die den betroffenen Nutzern vertraut ist oder eine bestimmte Reaktion hervorruft. Mögliche Optionen sind:
Name
Vorlagenname
Betreff
Betreff der E-Mail
Text / HTML
Feld für die Eingabe von Text oder HTML-Code
Gophish unterstützt den Import von E-Mails, wir werden jedoch unsere eigene erstellen. Dazu simulieren wir folgendes Szenario: Ein Mitarbeiter des Unternehmens erhält eine E-Mail mit dem Angebot, sein Passwort für die Unternehmens-E-Mail zu ändern. Anschließend analysieren wir seine Reaktion und schauen uns an, was wir "gefangen" haben.
In der Vorlage werden wir integrierte Variablen verwenden. Weitere Informationen dazu finden Sie in der oben genannten im Bereich .
Laden wir zunächst folgenden Text hoch:
{{.FirstName}},
Das Passwort für {{.Email}} ist abgelaufen. Bitte setzen Sie Ihr Passwort hier zurück.
Danke,
IT-TeamDementsprechend wird automatisch der Benutzername (gemäß dem vorher festgelegten Punkt "Neue Gruppe") eingefügt und seine E-Mail-Adresse angezeigt.
Als nächstes müssen wir den Link zu unserer Phishing-Ressource angeben. Dazu markieren wir im Text das Wort "hier" und wählen die Option „Link“ in der Steuerungsleiste.
Als URL verwenden wir die eingebaute Variable {{.URL}}, die wir später ausfüllen werden. Sie wird automatisch in den Text der Phishing-E-Mail integriert.
Vergessen Sie nicht, vor dem Speichern der Vorlage die Option „Tracking-Bild hinzufügen“ zu aktivieren. Dies fügt ein Medien-Element in der Größe von 1×1 Pixel hinzu, das das Öffnen der E-Mail durch den Benutzer verfolgt.
Es bleibt nicht mehr viel zu tun, aber fassen wir zuerst die notwendigen Schritte nach der Anmeldung im Gophish-Portal zusammen:
Ein Absenderprofil erstellen;
Eine Versandgruppe erstellen, in der die Benutzer angegeben werden;
Eine Vorlage für die Phishing-E-Mail erstellen.
Zugegeben, die Einrichtung hat nicht viel Zeit in Anspruch genommen und wir sind fast bereit, unsere Kampagne zu starten. Es bleibt nur noch, die Phishing-Seite hinzuzufügen.
Erstellung der Phishing-Seite
Gehen Sie zum Tab „Landing Pages“.
Wir werden aufgefordert, den Namen des Objekts anzugeben. Es besteht die Möglichkeit, die Quelle-Website zu importieren. In unserem Beispiel habe ich versucht, das Arbeits-Webportal des Mailservers anzugeben. Entsprechend wurde es als HTML-Code importiert (auch wenn nicht vollständig). Danach folgen interessante Optionen zum Erfassen der eingegebenen Benutzerdaten:
Erfasste eingereichte Daten. Wenn die angegebene Webseite unterschiedliche Eingabeformulare enthält, werden alle Daten aufgezeichnet.
Passwörter erfassen — Eingabepasswörter erfassen. Die Daten werden unverschlüsselt in der GoPhish-Datenbank gespeichert.
Zusätzlich können wir die Option „Redirect to“ nutzen, die den Benutzer nach der Eingabe der Anmeldedaten auf eine festgelegte Seite weiterleitet. Ich erinnere daran, dass wir ein Szenario festgelegt haben, in dem der Benutzer aufgefordert wird, sein Passwort für die Unternehmens-E-Mail zu ändern. Dazu wird ihm eine gefälschte Seite des Anmeldeportals für E-Mails angeboten, nach der der Benutzer auf jede verfügbare Ressource des Unternehmens weitergeleitet werden kann.
Wir vergessen nicht, die ausgefüllte Seite zu speichern, und gehen zum Abschnitt „Neue Kampagne“.
Start der GoPhish-Angriffe
Wir haben alle erforderlichen Daten angegeben. Im Tab „Neue Kampagne“ erstellen wir eine neue Kampagne.
Kampagnenstart
Wobei:
Name
Name der Kampagne
E-Mail-Vorlage
Nachrichtenvorlage
Landing Page
Phishing-Seite
URL
IP Ihres GoPhish-Servers (muss mit dem Zielhost netzwerkzugänglich sein)
Startdatum
Startdatum der Kampagne
E-Mails senden bis
Enddatum der Kampagne (der Versand ist gleichmäßig verteilt)
Versandprofil
Absenderprofil
Gruppen
Gruppe der Empfänger
Nach dem Start können wir jederzeit die Statistiken einsehen, in denen Folgendes aufgeführt ist: gesendete Nachrichten, geöffnete Nachrichten, Klicks auf Links, hinterlassene Daten und Verschiebungen ins Spam.
Aus der Statistik sehen wir, dass 1 Nachricht gesendet wurde. Lassen Sie uns die E-Mail vom Empfänger überprüfen:
Tatsächlich hat das Opfer erfolgreich eine Phishing-E-Mail erhalten, in der darum gebeten wird, auf den Link zur Passwortänderung des Unternehmenskontos zu klicken. Wir führen die angeforderten Aktionen aus, und wir werden auf die Landing Pages weitergeleitet. Wie steht es um die Statistiken?
Insgesamt hat unser Benutzer auf den Phishing-Link geklickt, wo er potenziell seine Kontodaten hinterlassen konnte.
Anmerkung des Autors: Der Daten eingegeben Prozess wurde aufgrund der Verwendung eines Testlayouts nicht aufgezeichnet, aber eine solche Option gibt es. Dabei wird der Inhalt nicht verschlüsselt und in der GoPhish-Datenbank gespeichert, bitte beachten Sie dies.
Abschließend
Heute haben wir ein aktuelles Thema angesprochen: die Durchführung automatisierter Schulungen für Mitarbeiter, um sie vor Phishing-Angriffen zu schützen und deren IT-Kompetenz zu fördern. Eine leicht umsetzbare Lösung ist Gophish, das sich bei der Relation von Bereitstellungszeit zu Resultat als sehr effektiv erwiesen hat. Mit diesem zugänglichen Tool können Sie Ihre Mitarbeiter testen und Berichte über deren Verhalten erstellen. Wenn Sie an diesem Produkt interessiert sind, bieten wir Unterstützung bei der Implementierung und der Durchführung von Audits Ihrer Mitarbeiter an.sales@tssolution.ru).
Wir planen jedoch nicht, uns auf die Vorstellung einer einzigen Lösung zu beschränken, sondern setzen unsere Reihe fort, in der wir über Enterprise-Lösungen zur Automatisierung des Schulungsprozesses und zur Kontrolle der Sicherheit von Mitarbeitern berichten. Bleiben Sie dran und seien Sie wachsam!
Quelle: habr.com
