1. Kasutajate koolitus infotehnoloogia põhialustes. Võitlus phishingu vastu

Tänapäeval kulutab võrguadministraator või infokaitse insener hulgaliselt aega ja ressursse ettevõtte võrgu piiri kaitsmiseks erinevate ohtude eest, omandades uusi sündmuste ennetamise ja jälgimise süsteeme, kuid isegi see ei taga täielikku kaitset. Sotsiaalne inseneritehnika on kurjategijate seas laialdaselt kasutuses ja võib kaasa tuua tõsiseid tagajärgi.

Kuidas tihti olete end tabanud mõttelt: “Olgu, võiks töötajatele korraldada infokaitse teadlikkuse kontrolli”? Kahjuks takistavad seda suure hulga ülesannete või tööpäeva ajapiirangud. Planeerime rääkida kaasaegsetest toodetest ja tehnoloogiatest personali koolitamise automatiseerimise valdkonnas, mis ei nõua pikaajalist ettevalmistust pilootide läbiviimiseks või kasutuselevõtmiseks, kuid sellest kõigest järgemööda.

Teoreetiline alus

Tänapäeval levib enam kui 80% pahavara e-posti kaudu (andmed on saadud Check Pointi spetsialistide raportitest möödunud aasta jooksul, kasutades Intelligence Reports teenust).

Viimane 30 päeva rünnakute aruannet kahjulike failide leviku kohta (Eesti) — Check Point

See näitab, et e-kirjade sisu on piisavalt haavatav kurjategijate ärakasutamiseks. Kui vaadata kõige populaarsemaid kahjulikke failitüüpe manusena (EXE, RTF, DOC), siis tuleb märkida, et need sisaldavad tavaliselt automaatseid koodi täitmise elemente (skripte, makrosid).

Aastaaruanne kahjulike e-kirjade failivormingute kohta — Check Point

Kuidas selle rünnakute vektoriga võidelda? E-kirjade kontrollimine hõlmab turvameetmete kasutamist: 

• Viirusetõrje — ohte tuvastav allkirja kontroll.

• Emulatsioon — liivakast, mille abil avatakse manus isolatsioonikeskkonnas.

• Sisu teadlikkus — dokumentidest aktiivsete elementide eemaldamine. Kasutaja saab puhastatud dokumendi (tavaliselt PDF-faili formaadis).

• AntiSpam — saaja/saataja domeeni maine kontrollimine.

Ja, sellest piisab, kuid ettevõtte jaoks on veel üks mitte vähem väärtuslik ressurss — töötajate ettevõtte- ja isikuandmed. Viimastel aastatel on kasvanud järgmise tüüpi internetipettuste populaarsus:

Phishing (ingl. phishing, sõna otseses mõttes „kalapüük“) — internetipettuste liik. Selle eesmärk on saada kasutajate isikuandmeid. Siia kuuluvad paroolide, krediitkaartide numbrite, pangakontode ja muu konfidentsiaalse teabe vargus.

Kurjategijad täiustavad phisingu rünnakute meetodeid, suunavad DNS-päringud populaarselt veebilehelt, korraldavad kogu kampaaniaid sotsiaalse inseneeria abil e-kirjade saatmiseks. 

Seega on soovitatav kasutada kahte lähenemist teie ettevõtte e-posti kaitsmiseks phishingu eest, ning nende kooskasutamine toob parimaid tulemusi:

1. Kaitse tehnilised tööriistad. Nagu eelnevalt mainitud, kasutatakse erinevaid tehnoloogiaid, et kontrollida ja edastada ainult legitiimset kirja.

2. Teoreetiline personali väljaõpe. Soodneb komplekssele töötajate testimisega potentsiaalsete ohvrite tuvastamiseks. Edasi toimub nende ümberkoolitus ja pidev statistika fikseerimine.   

Ära usalda, vaid kontrolli

Täna räägime teisest lähenemisest, et ennetada fišingurünnakut, nimelt automatiseeritud töötajate koolitusest, et tõsta ettevõtte ja isiklike andmete üldist kaitsetaset. Miks see võiks olla nii ohtlik?

Sotsiaalne inseneritegevus — psühholoogiline manipuleerimine inimestega, et nad sooritaksid teatud tegevusi või avalikustaksid konfidentsiaalset teavet (tehnilise kaitse kontekstis).

Tüüpilise fišingurünnaku stsenaariumi skeem

Vaatame huvitavat blokkskeemi, mis lühidalt näitab fišingukampaania edendamise teed. Seal on mitmeid etappe:

1. Esialgsete andmete kogumine.

   21. sajandil on raske leida inimest, kes ei oleks registreerunud üheski sotsiaalvõrgustikus või erinevates foorumites. Loomulikult jätavad paljud meist enda kohta põhjalikku teavet: praeguse töökoht, kolleegide grupp, telefon, e-post jne. Lisage sellele isikupärased andmed inimese huvide kohta ja teil on andmed, et luua phishingu mall. Ieven kui selliste andmetega inimesi ei õnnestu leida, on alati ettevõtte veebisait, kust saab koguda kogu vajaliku teabe (domeenipost, kontaktid, suhted).

2. Kampaania käivitamine.

   Pärast seda, kui “platvorm” on valmis, saate tasuta või tasuliste tööriistade abil käivitada oma sihitud phishing-kampaania. Kampaania käigus kogute statistikat: edastatud kirjad, avatud kirjad, lingi klikkimised, kasutajate andmete sisestamine jne.

Tooted turul

Phishingut võivad kasutada nii kurjategijad kui ka ettevõtte infotehnoloogia töötajad, et teostada pidevat auditit töötajate käitumise kohta. Mida pakub turg tasuta ja tasuliste lahendustega ettevõtte töötajate automatiseeritud koolitussüsteemi jaoks:

1. GoPhish — avatud lähtekoodiga projekt, mis võimaldab korraldada phishingu kampaaniat teie töötajate IT-oskuste kontrollimiseks. Selle plusse kuulub lihtne seadistamine ja minimaalsed süsteeminõuded. Miinusteks on valmis e-kirjade mallide puudumine ning testide ja koolitusmaterjalide nappus.

2. KnowBe4 — platvorm, kus on suur hulk tooteid töötajate testimiseks.

3. Phishman — automatiseeritud süsteem töötajate testimiseks ja koolitamiseks. Pakub erinevaid tooteversioone, mis toetavad 10 kuni üle 1000 töötaja. Koolituskursused hõlmavad teooriat ja praktilisi ülesandeid, lisaks on võimalik tuvastada vajadusi saadud statistika põhjal pärast phishingu kampaaniat. Kommersiaalne lahendus, millel on prooviversioon.

4. Antifishing — automatiseeritud õpetamise ja kaitse kontrolli süsteem. Kaubanduslik toode pakub perioodiliste harjutusrünnakute läbi viimist, töötajate koolitamist jne. Toote demoversioonina pakutakse kampaaniat, mis sisaldab mallide käivitamist ja kolme harjutusrünnaku läbiviimist.

Ülaltoodud lahendused on vaid osa automatiseeritud personaliõppe toodetest turul. Kindlasti on igal ühel oma eelised ja puudused. Täna tutvume GoPhish, simuleerime kalastusrünnakut, uurime saadaolevaid valikuid.

GoPhish

Nii et on aeg harjutamiseks. GoPhish valiti mitte juhuslikult: see on kasutajasõbralik tööriist, millel on järgmised omadused:

1. Lihtsustatud paigaldamine ja käivitamine.

2. REST API tugi. Lubab genereerida päringuid dokumentatsioonis ja rakendada automatiseeritud skripte. 

3. Mugav juhtimisliides.

4. Platvormidevaheline ühilduvus.

Arendajate meeskond on valmistanud suurepärase guide GoPhishi paigaldamise ja konfigureerimise dokumentatsiooni. Tegelikult peate lihtsalt minema repo, laadige alla ZIP-arhiiv vastava operatsioonisüsteemi jaoks, käivitage sisemine binaarfail, pärast mida tööriist installitakse.

OLULINE MÄRKUS!

Lõpuks peaksite terminalis nägema teavet käivitatud portaali kohta ning ka autentimisandmeid (kehtib versioonidele alates 0.10.1). Ärge unustage endale parooli üles kirjutada!

msg="Palun logige sisse kasutajanimega admin ja parooliga <PAROOL>"

Töötame GoPhishi seadistamise kallal

Pärast installimist luuakse rakenduse kausta konfiguratsioonifail (config.json). Kirjeldame parameetreid selle muutmiseks:

Ala

Va waarde (vaikimisi)

Kirjeldus

admin_server.listen_url

127.0.0.1:3333

GoPhishi serveri IP-aadress

admin_server.use_tls

false

Kas TLS on serveriga ühenduse loomiseks kasutusel

admin_server.cert_path

example.crt

SSL-sertifikaadi asukoht GoPhishi halduriportaali jaoks

admin_server.key_path

example.key

Isikliku SSL-võtme asukoht

phish_server.listen_url

0.0.0.0:80

Phishing-lemikulehe IP-aadress ja port (vaikimisi on see GoPhishi serveris ja kasutab porti 80)

—> Liikuda halduriportaali. Meie puhul: https://127.0.0.1:3333

—> Teile pakutakse võimalust muuta piisavalt pikk parool lihtsamaks või vastupidi.

Saatja profiili loomine

Minge vahekaardile “Saaja Profiilid” ja määrake andmed kasutaja kohta, kellelt meie kiri saadetakse:

Kus:

Nimi

Saatja nimi

Kus

Saatja e-post

Host

E-posti serveri IP-aadress, mille kaudu saabub sisenev post.

Kasutajanimi

E-posti serveri kasutajakonto sisselogimise nimi.

Parool

E-posti serveri kasutajakonto parool.

Samuti saate saata testkirja, et veenduda edastamise õnnestumises. Salvestage seaded, kasutades nuppu “Salvesta profiil”.

Saajate rühma loomine

Seejärel tuleb luua “õnnekirjade” saajate grupp. Minge jaotisse “Kasutajad & Gruupid” → “Uus Grupp”. On kaks võimalust lisamiseks: käsitsi või CSV-faili importimise teel.

Teise meetodi jaoks on vajalikud järgmised kohustuslikud väljad:

• Eesnimi

• Perekonnanimi

• Email

• Amet

Näiteks:

Eesnimi, Perekonnanimi, Amet, E-post
Richard, Bourne, CEO, rbourne@morningcatch.ph
Boyd, Jenius, Süsteemiadministraator, bjenius@morningcatch.ph
Haiti, Moreo, Müük & Turundus, hmoreo@morningcatch.ph

Phishing-kirja mallide loomine

Pärast seda, kui oleme määranud kujuteldava ründaja ja võimalikud ohvrid, tuleb luua sõnumimall. Selleks minge jaotisse “E-posti mallid” → “Uued mallid”.

Mallikujunduse loomisel kasutatakse tehnilist ja loomingulist lähenemist, tuleks märkida teenuse sõnum, mis on tuttav ohvritele või tekitab neis teatud reaktsiooni. Võimalikud valikud:

Nimi

Mallinimi

Teema

Kiri teema

Tekst / HTML

Teksti või HTML-koodi sisestusväli

Gophish toetab kirja importimist, kuid meie loome oma. Selleks imiteerime stsenaariumi: ettevõtte kasutaja saab kirja, milles on soov parooli muutmiseks tema ettevõtte postkastist. Seejärel analüüsime tema reaktsiooni ja vaatame meie 'püüki'.

Mallides kasutame sisseehitatud muutujaid. Nendega saab põhjalikumalt tutvuda eeltoodud juhendis jaotises Mallide viide.

Alustamiseks laadime järgmise teksti:

{{.FirstName}},

Parool {{.Email}} on aegunud. Palun taastage oma parool siin.

Tänan,
IT meeskond

Seega sisestatakse automaatselt kasutajanimi (vastavalt eelnevalt määratud punktile 'Uus grupp') ja tema e-posti aadress.

Järgmiseks peame märkima lingi meie kalastamisressursile. Selleks rõhutame tekstis sõna 'here' ja valime juhtpaneelilt valiku 'Link'.

URL-ina kasutame sisseehitatud muutujat {{.URL}}, mille täidame hiljem. See lisatakse automaatselt phishing-kirja tekstile.

Enne mallide salvestamist ära unusta aktiveerida valikut „Add Tracking Image“. See lisab meediaelemendi, mille suurus on 1×1 piksel, mis jälgib, kas kiri on avatud kasutaja poolt.

Niisiis, meil on veel mõni samm, kuid enne teeme ülevaate kohustuslikest sammudest pärast Gophish portaalis sisselogimist: 

1. Loo saatja profil;

2. Loo postitusgrupp, kus märkida kasutajad;

3. Loo phishing-kirja mall.

Loodetavasti ei läinud seadistamine kaua aega ja oleme juba peaaegu valmis meie kampaania käivitamiseks. Peame lisama ainult phishing-lehe.

Phishing-lehe loomine

Mine vahelehele “Landing Pages”.

Meilt küsitakse objekti nime. On võimalus importida sihtkoha veebisaiti. Meie näites proovisin määrata töötava meilipordali. Seega imporditi see HTML-koodina (kuigi mitte täielikult). Järgmisel on huvitavad valikud kasutaja sisestatud andmete tabamiseks:

• Koguda submitted data. Kui veebileht, millel see on, sisaldab erinevaid sisendvorme, siis kõik andmed salvestatakse.

• Salvesta paroolid — kirjutada sisse sisestatud paroole. Andmed salvestatakse GoPhishi andmebaasi krüpteerimata.

Saame kasutada ka valikut “Redirect to”, mis suunab kasutaja pärast sisselogimisdokumentide sisestamist määratud lehele. Tuletan meelde, et oleme seadnud stsenaariumi, kus kasutajalt nõutakse oma ettevõtte e-posti parooli muutmist. Selleks talle kuvatakse vale sisenemise portaali leht, pärast mida saab kasutaja suunata igale ettevõtte kätte saadavale ressursile.

Ärge unustage salvestada täidetud lehte ja liikuda jaotisse «New Campaign».

GoPhishi püügikampaania käivitamine

Oleme määranud kõik vajalikud andmed. Jaotises «New Campaign» loome uue kampaania.

Kampaania käivitamine

Kus:

Nimi

Kampaania nimi

Email Template

Sõnumi mall

Landing Page

Phishing'i leht

URL

Teie GoPhishi serveri IP (peab olema võrguühenduses ohvri hostiga)

Käivitamise kuupäev

Kampaania alguskuupäev

Saada e-kirju poolt

Kampaania lõppkuupäev (saada jaotatakse ühtlaselt)

Saatmisprofiil

Saatmise profiil

Groups

Saajate grupp

Pärast alustamist saame alati tutvuda statistika jaotusega, kus on kirjas: saadetud sõnumid, avatud sõnumid, linkide klikkimised, edastatud andmed, edastamine rämpsposti.

Statistikast näeme, et 1 sõnum on saadetud, kontrollime saaja e-posti:

Tõepoolest, ohver sai edukalt kätte phisingu kirja, kus paluti vajutada linki oma ettevõtte konto parooli muutmiseks. Täidame taotletud toimingud, see viib meid Landing Pages lehele, mis statistikat näitab?

Tulemusena klikkis meie kasutaja phisingu lingile, kus ta võis potentsiaalselt oma konto andmeid edastada.

Autori märkus: andmete sisestamise protsessi ei salvestatud, kuna kasutati testmalli, kuid selline võimalus on olemas. Sellegipoolest ei krüpteerita sisu ja see salvestatakse GoPhish andmebaasi, pidage seda meeles.

Kokkuvõtte asemel

Täna käsitleme aktuaalset teemat töötajate automaatse koolituse läbiviimisest, et kaitsta neid phishing-rünnakute eest ja suurendada nende IT-oskusi. Ligipääsetava lahendusena rakendati Gophishi, mis on osutunud heaks valikuks, arvestades seadistamise aega ja saadud tulemusi. Selle lihtsa tööriistaga saate testida oma töötajaid ja koostada aruandeid nende käitumise kohta. Kui see toode teid huvitab, pakume abi selle seadistamisel ja teie töötajate auditeerimisel (sales@tssolution.ru).

Kuid me ei kavatse piirduda ühe lahenduse ülevaatamisega ja plaanime jätkata tsüklit, kus räägime ettevõtte lahendustest töötajate koolitusprotsessi automatiseerimiseks ja turvalisuse kontrollimiseks. Jätkake meiega ja olge ettevaatlikud!

Allikas: habr.com