1. Kasutajate koolitamine infotehnoloogia alustes. Phishingu vastane võitlus

Tänaseks on võrguadministraator või turbeinsener kulutanud palju aega ja vaeva, et kaitsta ettevõtte võrgu piiri erinevate ohtude eest ning õpib pidevalt uusi sündmuste ennetamise ja jälgimise süsteeme, kuid isegi see ei garanteeri talle täielikku kaitset. Sotsiaalset inseneriat kasutatakse aktiivselt kurjategijate poolt ja see võib kaasa tuua tõsiseid tagajärgi.

Kui sageli olete endalt küsinud: "Oleks hea korraldada töötajate teadlikkuse kontroll turvalisuse osas"? Kahjuks takistavad selle mõtte rakendamist arvukad ülesanded või piiratud tööpäev. Plaanime rääkida teile kaasaegsetest toodetest ja tehnoloogiatest, mis aitavad automatiseerida töötajate koolitust ning ei nõua pikaajalist ettevalmistust proovide või rakendamise jaoks, kuid kõigest järjekorras.

Teoreetiline alus

Tänaseks on enam kui 80% pahavara failidest levinud e-kirjade kaudu (andmed on saadud Check Pointi spetsialistide raportitest viimase aasta jooksul Intelligence Reports teenuse kaudu).

Viimase 30 päeva rünnakuvoogude raport pahavara failide levitamise kohta (Eesti) — Check Point

See näitab, et e-kirjade sisu on piisavalt haavatav kurjategijate kasutamiseks. Kui vaadata kõige populaarsemaid pahavara failiformaatide lisandeid (EXE, RTF, DOC), tuleb märkida, et neis on tavaliselt automaatseid koodide täitmise elemente (skriptid, makrod).

Aastaraport failiformaatide kohta saadud pahavara e-kirjades — Check Point

Kuidas võidelda selle rünnakusuunaga? E-kirjade kontrollimine hõlmab turbeinstrumentide kasutamist: 

• Viirusetõrje — allkirjapõhine ohtude tuvastamine.

• Emulatsioon — liivakast, kus lisandid avatakse isoleeritud keskkonnas.

• Sisu teadlikkus — aktiivsete elementide eemaldamine dokumentidest. Kasutaja saab puhastatud dokumendi (tavaliselt PDF formaadis).

• AntiSpam — saaja/saatja domeeni reputatsiooni kontrollimine.

Ja teoreetiliselt piisab sellest, kuid on olemas veel üks mitte vähem väärtuslik ressurss ettevõtte jaoks — töötajate ettevõtte- ja isiklikud andmed. Viimastel aastatel on aktiivselt suurenenud järgmise internetipettuse vormi populaarsus:

Phishing (ingl. phishing, tulenud sõnast fishing — kalapüük) — internetipettuse liik, mille eesmärk on hankida kasutajate isikut tõendavaid andmeid. Siia kuuluvad paroolide, krediitkaartide numbrite, pangaarvete ja muu tundliku teabe vargus.

Kurjategijad täiustavad fäänlimeetodeid: nad suunavad DNS-päringud populaarsetelt saitidelt, korraldavad täielikke kampaaniaid sotsiaalsete inseneride kasutamisega kirjade saatmiseks. 

Seega on soovitatav rakendada kahte lähenemist teie ettevõtte e-posti kaitsmiseks kalapüügi eest, kusjuures nende kombineeritud kasutamine toob parimaid tulemusi:

1. Tehnilised kaitsevahendid. Nagu varem mainitud, kasutatakse erinevaid tehnoloogiaid ainult legitiimsete kirjade kontrollimiseks ja edastamiseks.

2. Teoreetiline personali ettevalmistamine. See seisneb töötajate komplekssetes testimistes võimalike ohvrite tuvastamiseks. Edasi viiakse läbi nende koolitus, pidevalt jälgitakse statistikat.   

Ära usu ja kontrolli

Tänane teema on teise lähenemise kohta kalapüügi rünnakute vältimisel, nimelt töötajate automatiseeritud koolitus, et tõsta ettevõtte ja isikuandmete üldist kaitsetaset. Miks see võib nii ohtlik olla?

Sotsiaalne inseneritehnika — inimeste psühholoogiline manipuleerimine teatud tegude sooritamiseks või konfidentsiaalse teabe avaldamiseks (infoturbe kontekstis).

Tüüpilise kalapüügirünnaku stsenaariumi skeem

Vaadakem huvitavat vooskeemi, mis lühidalt kajastab kalapüügikampaania edendamise teed. Siin on erinevad etapid:

1. Esialgsete andmete kogumine.

   21. sajandil on raske leida inimest, kes ei oleks registreeritud üheski sotsiaalmeedias või erinevatel temaatilistel foorumitel. Loomulikult jätab paljusid meist endist teavet: praegune töökoht, kolleegide grupp, telefon, e-post jne. Lisage sellele isikupärastatud teave inimese huvide kohta ja saate andmed kalapüügimalli koostamiseks. Isegi kui sellise teabe leidmine on võimatu, on alati olemas ettevõtte veebisait, kust saab kogu huvitava teabe (domeenipost, kontaktid, sidemed) kätte.

2. Kampaania käivitamine.

   Pärast "platvormi" ettevalmistamist saate tasuta või tasuliste tööriistade abil alustada oma sihitud phishing-kampaaniat. Kampaania käigus koguneb statistika: saadetud post, avatud post, lingi klikkimine, sisselogimisandmete sisestamine jne.

Turu tooted

Phishingut võivad kasutada nii kurjategijad kui ka ettevõtte teabejulgeoleku töötajad, et teha pidevat auditi töötajate käitumise üle. Mida pakub meile tasuta ja kommertslahenduste turg töötajate automatiseeritud koolitussüsteemide osas:

1. GoPhish — avatud lähtekoodiga projekt, mis võimaldab käivitada phishing-kampaaniat, et testida teie töötajate IT-teadlikkust. Eelisteks pean ma lihtsat seadistamist ja madalaid süsteeminõudeid. Puudusteks on valmis postituste mallide puudumine, testide ja koolitusmaterjalide olematus.

2. KnowBe4 — platvorm, kus on saadaval suur hulk tooteid töötajate testimiseks.

3. Phishman — automatiseeritud süsteem töötajate testimiseks ja koolitamiseks. Sellel on erinevad tooteversioonid, mis toetavad 10 kuni üle 1000 töötajat. Koolituskursused sisaldavad teooriat ja praktilisi ülesandeid, samuti on võimalus tuvastada vajadusi saadud statistika põhjal pärast phishing-kampaaniat. Kommersantlahendus, millel on prooviversiooni valik.

4. Anti-phishing — automatiseeritud koolituse ja turvalisuse kontrollimise süsteem. Kaubanduslik toode pakub perioodiliste koolitusrünnakute läbiviimist, töötajate koolitamist jne. Toote demoversioonina pakutakse kampaaniat, mis sisaldab mallide käivitamist ja kolme koolitusrünnaku läbiviimist.

Ülaltoodud lahendused on vaid osa turul olevatest automatiseeritud töötajate koolitustoodetest. Loomulikult on igal neist omad plussid ja miinused. Täna tutvume GoPhish, simuleerime phishingurünnakut, uurime saadaval olevaid võimalusi.

GoPhish

Nii et on aeg praktiseerida. GoPhish'i valimine ei olnud juhuslik: see on kasutajasõbralik tööriist, millel on järgmised omadused:

1. Lihtne seadistamine ja käivitamine.

2. REST API tugi. Lubab teha päringuid dokumentatsioon ja rakendada automatiseeritud stsenaariume. 

3. Mugav juhtpaneel.

4. Ristplatvormilisus.

Arendajate meeskond on loonud suurepärase juhendi GoPhishi juurutamise ja seadistamise jaoks. Tegelikult peate lihtsalt minema hoidla, alla laadima ZIP-arhiivi vastava operatsioonisüsteemi jaoks, käivitama sisemise binaarfaili, pärast mida tööriist installitakse.

OLULINE MÄRKUS!

Lõpuks peaksite terminalis saama teavet juurutatud portaali ja ka volituste andmete kohta (kehtib alates versioonist 0.10.1). Ärge unustage endale parooli üles kirjutada!

msg="Palun logige sisse kasutajanimega admin ja parooliga "

GoPhishi seadistamisega tegeleme

Pärast installimist luuakse rakenduse kataloogis konfiguratsioonifail (config.json). Kirjeldame parameetreid selle muutmiseks:

Võti

Va value (vaikimisi)

Kirjeldus

admin_server.listen_url

127.0.0.1:3333

GoPhishi serveri IP-aadress

admin_server.use_tls

false

Kas TLS-i kasutatakse GoPhishi serveriga ühendamiseks

admin_server.cert_path

example.crt

SSL-sertifikaadi tee GoPhishi haldusportaali jaoks

admin_server.key_path

example.key

Privaatse SSL-võtme tee

phish_server.listen_url

0.0.0.0:80

Phishing-lehe majutamise IP-aadress ja port (vaikimisi majutatakse GoPhishi serverisse 80. porti)

—> Minge juhtpaneelile. Meie puhul: https://127.0.0.1:3333

—> Teile pakutakse, et muudate piisavalt pika parooli lühemaks või vastupidi.

Saatja profiili loomine

Minge vahekaardile “Saatja profiilid” ja märkige andmed kasutaja kohta, kellelt meie sõnum saadetakse:

Kus:

Nimi

Saatja nimi

From

Saatja e-post

Host

Postiserveri IP-aadress, mis kuulab sissetulevat posti.

Kasutajanimi

Postiserveri kasutajakonto sisselogimisandmed.

Parool

Postiserveri kasutajakonto parool.

Samuti võite saata testsposti, et veenduda, et kohaletoimetamine on õnnestunud. Salvestage seaded nupu “Salvesta profiil” abil.

Saajate grupi loomine

Seejärel tuleb luua saajate grupp “õnne kirjad”. Minge „Kasutajad ja rühmad” → „Uus grupp”. On kaks võimalust lisamiseks: käsitsi või CSV-faili importimise kaudu.

Teise võimaluse jaoks on vajalik olemasolu kohustuslikud väljad:

• Eesnimi

• Perekonnanimi

• E-post

• Ametikoht

Näiteks:

First Name,Last Name,Position,Email
Richard,Bourne,CEO,rbourne@morningcatch.ph
Boyd,Jenius,Systems Administrator,bjenius@morningcatch.ph
Haiti,Moreo,Sales & Marketing,hmoreo@morningcatch.ph

Phishing-uue e-kirja šablooni loomine

Pärast seda, kui oleme määratlenud kujuteldava ründaja ja potentsiaalsed ohvrid, tuleb luua sõnumimall. Selleks minge jaossa „Email Templates“ → „New Templates“.

Mallide loomisel kasutatakse nii tehnilist kui ka loovat lähenemist, tuleb osutada teenuse sõnumile, mis on ohvritele tuttav või tekitab neis teatud reaktsiooni. Võimalikud valikud:

Nimi

Malli nimi

Teema

Kirja teema

Text / HTML

Teksti või HTML-koodi sisestamise väli

Gophish toetab kirjade importimist, kuid me loome enda oma. Selleks simuleerime stsenaariumi: ettevõtte kasutaja saab kirja parooli muutmise ettepanekuga oma ettevõtte postkastist. Seejärel analüüsime tema reaktsiooni ja vaatame, milline on meie „saak“.

Mallides kasutame sisseehitatud muutujad. Nendega saate lähemalt tutvuda ülaltoodud juhendis jaotises Template Reference.

Alustuseks laadime järgmise teksti:

{{.FirstName}},

Parool {{.Email}} on aegunud. Palun taastage oma parool siit.

Tänan,
IT Team

Seega asendatakse automaatselt kasutaja nimi (vastavalt varem määratud punktile „New Group“) ja tema e-posti aadress.

Edasi peame osutama linki meie phishing-resursile. Selleks tõstame tekstis esile sõna „here“ ja valime juhtpaneelilt valiku „Link“.

URL-ina määrame sisseehitatud muutuja {{.URL}}, mille täidame hiljem. See lisatakse automaatselt phishing-kirja texti.

Enne malli salvestamist ärge unustage lubada valikut „Add Tracking Image“. See lisab 1×1 pikslise meediaelemendi, mis jälgib kirja avamist kasutaja poolt.

Nii, natuke on veel jäänud, aga enne teeme kokkuvõtte kohustuslikest sammudest pärast Gophishi portaali sisenemist: 

1. Loo saatja profiil;

2. Loo jaotusgrupp, kuhu lisada kasutajad;

3. Loo phishing-kirja mall.

Kokkuleppel ei võtnud seadistamine palju aega ja oleme juba peaaegu valmis meie kampaania käivitamiseks. Jäänud on veel phishing-lehe lisamine.

Phishing-lehe loomine

Minge vahekaardile „Landing Pages“.

Meilt palutakse objekti nime. On võimalik importida allika veebisaiti. Meie näites proovisin ma märkida töötava veebivärava postiserveri. Vastavalt sellele imporditi see HTML-koodina (kuigi mitte täielikult). Edasi tulevad huvitavad valikud kasutaja sisestatud andmete kogumiseks:

• Koguge saadetud andmeid. Kui märgitud veebileht sisaldab erinevaid sisestusvorme, siis kõik andmed salvestatakse.

• Koguge paroolid — sisestatud paroolide kogumine. Andmed salvestatakse GoPhishi andmebaasi ilma krüpteerimiseta, nagu on.

Lisaks saame kasutada valikut 'Redirect to', mis suunab kasutaja pärast sisselogimisandmete sisestamist määratud lehele. Kordan, et oleme seadnud stsenaariumi, kus kasutajale pakutakse corporate emaili parooli muutmist. Selleks pakutakse talle vale postiserveri autentimise lehte, mille järel saab kasutaja saata igale ettevõtte kergesti ligipääsetavale ressursile.

Ärge unustage salvestada täidetud lehte ja liikuda 'New Campaign' sektsiooni.

GoPhishi püügivõrgustiku käivitamine

Oleme määranud kõik vajalikud andmed. 'New Campaign' vahekaart kontuurime uue kampaania.

Kampaania käivitamine

Kus:

Nimi

Kampaania nimi

Emaili mall

Sõnumi mall

Landing Page

Phishingu leht

URL

Teie GoPhishi serveri IP (peab olema võrgu juurdepääs ohvri majutusele)

Käivituskuupäev

Kampaania alguskuupäev

Saada e-kirju läbi

Kampaania lõppkuupäev (edastamine toimub ühtlaselt)

Saateprofiil

Saatja profiil

Rühmad

Saajate grupp

Pärast algust saame alati tutvuda statistikaga, milles on näha: saadetud sõnumid, avatud sõnumid, lingile klikkimised, sissekantud andmed ning rämpsposti viimine.

Statistikast näeme, et 1 sõnum saadeti, kontrollime saaja postkasti:

Tõepoolest, ohver sai edukalt kätte kalapüügi e-kirja palvega minna parooli muutmise lingile. Teeme taotletud toimingud, see suunab meid Landing Pages lehele, kuidas statistikaga on?

Kokkuvõttes läks meie kasutaja kalapüügi lingile, kus ta võis potentsiaalselt jätta oma konto andmed.

Autori märkus: andmete sisestamise protsess ei fikseeritud, kuna kasutati testimist, kuid see võimalus on olemas. Samas sisu ei krüpteerita ja see salvestatakse GoPhishi andmebaasis, pidage seda meeles.

Lõpetuseks

Täna arutasime tähtsat teemat automatiseeritud koolituse korraldamisest töötajate kaitsmiseks phishingu rünnakute eest ja IT-oskuste kasvatamiseks. Saime lahenduseks Gophishi, mille rakendamine oli ajaliselt tõhus ning tulemused olid head. Selle abiga saate kontrollida oma töötajaid ja koostada nende käitumise aruandeid. Kui see toode teid huvitab, pakume abi selle juurutamisel ja teie töötajate auditil.sales@tssolution.ru).

Kuid me ei kavatse jääda üksnes ühe lahenduse kirjelduse juurde, vaid plaanime jätkata tsüklit, kus räägime ettevõtte lahendustest koolituse ja töötajate turvalisuse kontrollimise automatiseerimise kohta. Jätkake meiega ja olge ettevaatlikud!

Allikas: habr.com