![\"1.](\"\/wp-content\/uploads\/2020\/10\/75034c513ef3ce93bc27afe604afdba1.JPG\")
<\/p>\n<\/p>\n
Heutzutage verbringen Netzwerkadministratoren oder IT-Sicherheitsingenieure viel Zeit und M\u00fche damit, die Unternehmensperimeter vor verschiedenen Bedrohungen zu sch\u00fctzen. Sie erlernen st\u00e4ndig neue Systeme zur Vorbeugung und \u00dcberwachung von Ereignissen, aber selbst das gew\u00e4hrleistet keine vollst\u00e4ndige Sicherheit. Social Engineering wird aktiv von Angreifern genutzt und kann schwerwiegende Folgen nach sich ziehen.<\/p>\n
Wie oft haben Sie sich gedacht: \u201eEs w\u00e4re gut, eine Schulung f\u00fcr die Mitarbeiter zur Informationssicherheit durchzuf\u00fchren\u201c? Leider sto\u00dfen diese Gedanken oft auf ein Verst\u00e4ndnisproblem aufgrund der Vielzahl von Aufgaben oder des begrenzten Zeitrahmens im Arbeitsalltag. Wir m\u00f6chten Ihnen moderne Produkte und Technologien im Bereich der Automatisierung von Mitarbeiterschulungen vorstellen, die keine langwierige Vorbereitung f\u00fcr die Durchf\u00fchrung von Pilotprojekten oder Implementierungen erfordern. Aber dazu sp\u00e4ter mehr.<\/p>\n
Aktuell werden \u00fcber 80 % der Schadsoftware \u00fcber E-Mail verbreitet (Daten stammen aus den Berichten von Check Point-Experten des letzten Jahres mittels des Dienstes Intelligence Reports).<\/p>\n
![\"1.](\"\/wp-content\/uploads\/2020\/10\/db65c5e2a78dc046e46a006af473516a.JPG\")
Bericht der letzten 30 Tage \u00fcber den Angriffsvektor zur Verbreitung von Schadsoftware (Russland) \u2014 Check Point<\/p>\n
Das zeigt, dass der Inhalt in E-Mails anf\u00e4llig f\u00fcr Angriffe von Cyberkriminellen ist. Betrachtet man die beliebtesten b\u00f6sartigen Dateiformate in Anh\u00e4ngen (EXE, RTF, DOC), f\u00e4llt auf, dass sie in der Regel automatische Ausf\u00fchrungselemente (Skripte, Makros) enthalten.<\/p>\n
![\"1.](\"\/wp-content\/uploads\/2020\/10\/a6d1d2d8f374250104e156381b002ea1.JPG\")
Jahresbericht \u00fcber Dateiformate in empfangenen Schadnachrichten \u2014 Check Point<\/p>\n
Wie kann man gegen diesen Angriffsvektor vorgehen? Die \u00dcberpr\u00fcfung von E-Mails erfolgt durch die Nutzung von Sicherheitstools: <\/p>\n
Antivirus<\/strong> \u2014 signaturbasierte Bedrohungserkennung.<\/p>\n<\/li>\n Emulation<\/strong> \u2014 Sandbox, in der Anh\u00e4nge in einer isolierten Umgebung ge\u00f6ffnet werden.<\/p>\n<\/li>\n Content Awareness <\/strong>\u2014 Extraktion aktiver Elemente aus Dokumenten. Der Benutzer erh\u00e4lt ein bereinigtes Dokument (in der Regel im PDF-Format).<\/p>\n<\/li>\n AntiSpam<\/strong> \u2014 \u00dcberpr\u00fcfung der Domain des Empf\u00e4ngers\/Absenders auf Reputation.<\/p>\n<\/li>\n<\/ul>\n Und theoretisch sollte das ausreichen, aber es gibt noch eine weitere, nicht weniger wertvolle Ressource f\u00fcr das Unternehmen \u2014 die Unternehmens- und pers\u00f6nlichen Daten der Mitarbeiter. In den letzten Jahren hat die Popularit\u00e4t der folgenden Art von Internetbetrug zugenommen:<\/p>\n Phishing<\/u><\/strong> (engl. phishing, von fishing \u2013 Angeln, Abfischen) \u2013 eine Art von Internetbetrug. Ziel ist es, Identifikationsdaten der Benutzer zu erlangen. Dazu geh\u00f6ren der Diebstahl von Passw\u00f6rtern, Kreditkartennummern, Bankkontoinformationen und anderen vertraulichen Daten.<\/p>\n Kriminelle verbessern ihre Phishing-Angriffsmethoden, leiten DNS-Anfragen von beliebten Websites um und f\u00fchren ganze Kampagnen durch, die soziale Ingenieurskunst zur Verbreitung von E-Mails nutzen. <\/p>\n Um Ihre Unternehmens-E-Mail vor Phishing zu sch\u00fctzen, werden zwei Ans\u00e4tze empfohlen, deren gleichzeitige Nutzung zu den besten Ergebnissen f\u00fchrt:<\/p>\n Technische Schutzwerkzeuge<\/strong>. Wie bereits erw\u00e4hnt, kommen verschiedene Technologien zum Einsatz, um nur legitime E-Mails zu \u00fcberpr\u00fcfen und weiterzuleiten.<\/p>\n<\/li>\n Theoretische Schulung des Personals<\/strong>. Es handelt sich um eine umfassende Schulung des Personals zur Identifizierung potenzieller Opfer. Anschlie\u00dfend erfolgt eine Umsschulung und die permanente Dokumentation von Statistiken. <\/p>\n<\/li>\n<\/ol>\n Heute sprechen wir \u00fcber den zweiten Ansatz zur Verhinderung von Phishing-Angriffen, n\u00e4mlich die automatisierte Schulung des Personals zur Erh\u00f6hung des allgemeinen Sicherheitsniveaus f\u00fcr Unternehmens- und pers\u00f6nliche Daten. Warum k\u00f6nnte dies so gef\u00e4hrlich sein?<\/p>\n Soziale Ingenieurkunst <\/u><\/strong>\u2014 psychologische Manipulation von Personen, um bestimmte Handlungen vorzunehmen oder vertrauliche Informationen preiszugeben (im Kontext der Informationssicherheit).<\/p>\n Lassen Sie uns auf ein interessantes Flussdiagramm eingehen, das den Verlauf einer Phishing-Kampagne kurz darstellt. Es umfasst verschiedene Phasen:<\/p>\n Erfassung grundlegender Daten.<\/p>\n Im 21. Jahrhundert ist es schwer, jemanden zu finden, der nicht in einem sozialen Netzwerk oder in verschiedenen thematischen Foren registriert ist. Offensichtlich hinterlassen viele von uns umfassende Informationen \u00fcber sich selbst: aktueller Arbeitsplatz, Gruppen f\u00fcr Kollegen, Telefonnummer, E-Mail usw. F\u00fcgen Sie hierzu personalisierte Informationen \u00fcber die Interessen der Person hinzu, und Sie erhalten Daten zur Erstellung einer Phishing-Vorlage. Selbst wenn es nicht gelingt, Personen mit solchen Informationen zu finden, gibt es immer noch die Unternehmenswebsite, von der aus sich alle ben\u00f6tigen Informationen (Domain-E-Mail, Kontakte, Verbindungen) zusammentragen lassen.<\/p>\n<\/li>\n Kampagne starten.<\/p>\n Nachdem die \"Basis\" vorbereitet ist, k\u00f6nnen Sie mit kostenlosen oder kostenpflichtigen Tools Ihre eigene gezielte Phishing-Kampagne starten. Im Verlauf der Arbeiten wird sich die Statistik ansammeln: zugestellte E-Mails, ge\u00f6ffnete E-Mails, Klicks auf Links, Eingabe von Anmeldedaten usw.<\/p>\n<\/li>\n<\/ol>\n Phishing kann sowohl von Angreifern als auch von Mitarbeitenden der IT-Sicherheit eines Unternehmens genutzt werden, um das Verhalten der Mitarbeiter kontinuierlich zu \u00fcberpr\u00fcfen. Was schl\u00e4gt der Markt f\u00fcr kostenlose und commerciale L\u00f6sungen im Bereich automatisierter Mitarbeiterschulung vor?<\/p>\n![\"1.](\"\/wp-content\/uploads\/2020\/10\/64ed74d70fe7a573c5e14cc03ebef33a.JPG\")
<\/p>\n\n
Vertrau, aber \u00fcberpr\u00fcfe<\/h2>\n
![\"1.](\"\/wp-content\/uploads\/2020\/10\/97f19afc49a5101d20cebabe040073a1.JPG\")
Schema eines typischen Szenarios f\u00fcr einen Phishing-Angriff<\/p>\n\n
Produkte auf dem Markt<\/h2>\n
\n