Rohkem kui lihtsalt rämpspostivastane kaitse: kuidas maksimeerida Security Email Gateway'i tõhusust

Kui suur Enterprise ehitab potentsiaalsete sisemiste küberkurjategijate ja häkkerite vastu kihiliseid kaitsekihti, siis lihtsamate ettevõtete jaoks jääb peamiseks probleemiks fisking ja rämpspost. Kui Marty McFly oleks teadnud, et 2015. aastal (rääkimata 2020. aastast) inimesed mitte ainult ei leiuta hõljukaid, vaid ei suuda isegi täielikult vabaneda soovimatust postkastist, siis ta oleks ilmselt inimkonna vastu usku kaotanud. Veelgi enam, rämpspost ei ole tänapäeval mitte ainult tüütus, vaid sageli ka kahjulik. Umbes 70% juhtudest, kui kyberkurjategijad rakendavad killchain'i, tungivad nad infrastruktuuri kahjuliku tarkvara kaudu, mis on sisestatud manustes või kala-linkides e-kirjades.

Viimasel ajal on selgelt näha trend sotsiaalsete manipulatsioonide leviku suunas, et pääseda organisatsiooni infrastruktuuri sisse. Võrreldes 2017. ja 2018. aasta statistikat, oleme tunnistajaks pea 50%-lise suurenemisega juhtudest, mil kahjulik tarkvara toimetati töötajate arvutitesse just läbi manuste või emaili kehas olevate kala-linkide.

Kokkuvõttes võib kõik e-posti kaudu realiseeritud ohuulatus jagada mitmeks kategooriaks:

• sissetulev rämpspost
• organisatsiooni arvutite kaasamine botivõrku, mis saadab väljaminevat rämpspost
• kahjulikud manused ja viirused emaili kehas (väikesed ettevõtted kannatavad enamasti massiliste Petya-tüüpi rünnakute all).

Kaitseks kõikide rünnakutüüpide eest võib kas juurutada mitu SZI-d või minna teenusmudeli teed. Oleme juba rääkinud Üksikute küberkaitse teenuste platvormi – Solar MSS haldusteenuste ökosüsteemi tuum. Selle hulka kuulub ka virtualiseeritud Secure Email Gateway (SEG) tehnoloogia. Üldiselt ostavad selle teenuse tellimuse väiksemad ettevõtted, kellel on kõik IT ja IB funktsioonid pandud ühe inimese – süsteemiadministraatori – õlgadele. Rämpspost on probleem, mis on alati kasutajate ja juhtkonna silme ees, ja seda ei saa ignoreerida. Kuid aja jooksul saab ka juhtkonnale selgeks, et lihtsalt sisenenud adminstratoorile selle teema „peale viskamine“ ei mõju – see võtab liiga palju aega.

2 tundi e-posti töötlemiseks — see on liiga palju

Üks meie jaemüüjatest pöördus meie poole sarnase probleemiga. Tööaja jälgimissüsteemid näitasid, et iga päev kulutasid tema töötajad ligikaudu 25% oma tööajast (2 tundi!) postkasti jälgimisele.

Kliendi meilisüsteemi ühendamisel seadistasime SEG'i instantsi kahetasandiliseks väravaks nii saabuvatele kui ka lahkuvatele kirjadele. Käivitasime filtreerimise eelnevalt kehtestatud poliitikate järgi. Musta nimekirja koostasime kliendi esitatud andmete analüüsi ning meie ekspertide Solar JSOC poolt muudes teenustes, näiteks küberintsidentide jälgimise raames, saadud potentsiaalselt ohtlike aadresside nimekirjade põhjal. Pärast seda jõudis kogu post meieni vaid pärast filtreerimist ning erinevad „suured allahindlused“ reklaamivad rämpskirjad lõpetasid massilise saabumise kliendi meiliserveritesse, vabastades ruumi muude vajaduste jaoks.

Kuid olid olukorrad, kus õiguspärane kiri liigitati valesti rämpspostiks, näiteks kui see tuli usaldusväärselt saatjalt. Sellisel juhul andsime kliendile otsustusõiguse. Valikuvõimalused ei olnud suured: kas kustutada kohe või saata karantiini. Valisime teise variandi, kus selline soovimatu post jääb SEG'isse. Süsteemiadministraatorile andsime juurdepääsu veebikonsolile, kus ta võis igal ajal leida olulise kirja, näiteks koostööpartnerilt, ja edastada selle kasutajale.

Vabaneme parasititest

E-kirjade kaitseteenuse koostisosad sisaldavad analüütilisi aruandeid, mille eesmärk on jälgida infrastruktuuri kaitstust ja rakendatud seadete tõhusust. Lisaks võimaldavad need aruanded prognoosida trende. Näiteks leiame aruandest vastava jaotuse „Rämpspost vastuvõtja järgi“ või „Rämpspost saatja järgi“ ja vaatame, kellele saabub kõige rohkem blokeeritud sõnumeid.

Just sellise aruande analüüsimisel tundus meile kahtlane, et ühe kliendi koguste areng oli järsult suurenenud. Tema infrastruktuur on väike, kirjade arv ei ole suur. Ja äkki pärast tööpäeva tõusis blokeeritud rämpsposti arv peaaegu kahekordseks. Otsustasime sellele tähelepanu pöörata.

Näeme, et saadetavate kirjade arv on suurenenud ja kõigi 'Saatja' väljal on aadressid domeenist, mis on just kohandatud postikaitse teenusega. Kuid on üks nüanss: täiesti mõistlike, võib-olla isegi olemasolevate aadresside seas on ilmselgelt kummalisi. Kontrollisime IP-aadresse, kust kirjad saadeti, ja - nagu oodatud - selgus, et need ei kuulu kaitstavale aadressiruumi. Ilmselt saatis ründaja rämpsposti kliendi nimel.

Sel juhul koostasime kliendile soovitused DNS-kirjete õige seadistamise kohta, nimelt SPF. Meie spetsialist soovitas luua TXT-kirje, mis sisaldab reeglit 'v=spf1 mx ip:1.2.3.4/23 -all', mis sisaldab ammendavat nimekirja aadressidest, kellel on lubatud saata kirju kaitstud domeeni nimel.

Siinkohal, miks see oluline on: rämpspost tundmatu väikese ettevõtte nimel on ebamugav, kuid mitte kriitiline. Asi on hoopis teistsugune, näiteks pangandussektoris. Meie tähelepanekute kohaselt tõuseb ohvri usaldust phishing-kirja vastu mitmekordselt, kui see on saadetud näiliselt teise panga domeenilt või tuntud ohvrile partnerilt. Ja see eristab mitte ainult pangatöötajaid, teistes sektorites - näiteks energia valdkonnas - kohtame sarnast tendentsi.

Tappe me sihid

Kuid võltsimine ei ole nii sage probleem nagu näiteks viirusnakkused. Kuidas võideldakse viirusepidemiate vastu? Paigaldatakse viirusetõrje ja loodetakse, et 'vaenlane ei pääse läbi'. Kuid kui kõik oleks nii lihtne, oleksid kõik, arvestades viirusetõrje suhteliselt madalat hinda, juba ammu unustanud kahjurprogrammi probleemi. Samal ajal saame pidevalt päringuid, näiteks 'aidake taastada faile, meil on kõik krüpteeritud, töö seisab, andmed on kadunud'. Me ei väsi kordamast klientidele, et viirusetõrje ei ole panaceum. Peale selle, et viirusetõrje andmebaasid ei pruugi piisavalt kiiresti uuenduda, kohtame sageli pahavara, mis suudab mööda pääseda mitte ainult viirusetõrjetest, vaid ka liivakastidest.

Kahjuks on vähe inimesi organisatsioonide seas, kes on teadlikud phishing'u ja pahatahtlikest kirjadest ning suudavad neid eristada tavalistest suhtlustest. Keskmiselt satuvad nõrga teavituse tõttu iga seitsmes kasutaja sotsiaalse inseneeria ohvriks: avab nakatatud faili või saadab oma andmed kurjategijatele.

Kuigi rünnakute sotsiaalne suund on üldiselt pidevalt järk-järgult kasvanud, sai eelmisel aastal see trend eriti märgatavaks. Phishing'u kirjad hakkasid järjest rohkem meenutama tavalisi reklaamkirju, tulevaste ürituste jne. kohta. Siinkohal võib meenutada Silence rünnakut finantssektoris – pangatöötajatele saadeti kiri väidetavalt sooduskoodiga osalemiseks populaarse tööstuskonverentsi iFin, ja petmisele allunud protsent oli väga kõrge, kuigi me tuletame meelde, et räägime pangandussektorist – mis on informatsiooni turvalisuse küsimustes kõige arenenum.

Eelmisel aastal uue aasta eel nägime ka mitmeid korralikke õnnetusi, kui tööstusettevõtete töötajad said väga kvaliteetseid phishing'u kirju koos "loendiga" uue aasta kampaaniatest populaarsetes veebipoodides ja sooduskoodidega. Töötajad mitte ainult ei proovinud lingile klõpsata, vaid edastasid kirja ka kolleegidele naaberorganisatsioonidest. Kuna link, millele phishing'u kirjas viidatud oli, oli blokeeritud, hakkasid töötajad massiliselt jääma IT-osakonnale taotlusi, et sellele ligi pääseda. Üldiselt ületas saatmise edu kindlasti kurjategijate ootusi.

Hiljuti pöördus meie poole ettevõte, mille «šifreeriti». Kõik algas sellest, et raamatupidamise töötajad said kirja väidetavalt Venemaa Föderatsioonist. Raamatupidaja klõpsas kirjas olevale lingile – ja laadis endale arvutisse sisse WannaMine'i miner'i, mis nagu tuntud WannaCry, kasutas ära nõrkust nimega EternalBlue. Huvitav on see, et enamik viirusetõrjeprogramme suudavad selle allkirju tuvastada juba alates 2018. aasta algusest. Kuid kas viirusetõrje oli välja lülitatud, andmebaasid ei olnud uuendatud või ei olnud see seal üldse, – igal juhul oli miner juba arvutis ja mitte miski ei takistanud tal edasi levimas hakata, koormates protsessorit. serverid ja APM-i 100%.

See klient, kellel oli meie kohtu- ja kriminaaltehnika gruppide raport, avastas, et viirus tungis tema süsteemi algselt e-posti kaudu ning käivitas piloteerimise projekti e-posti kaitse teenuse ühendamiseks. Esimene asi, mida me seadistasime, oli e-posti viirusetõrje. Samal ajal toimub pahavara skaneerimine pidevalt ning allkirjade uuendamine tehti algselt iga tunni järel, kuid seejärel jätkas klient kaks korda päevas.

Tõhus kaitse viirusnakkuste vastu peab olema kihiline. Rääkides viirusest, mis levib e-posti kaudu, on oluline filtri sarnased kirjad sissepääsu juures, õpetada kasutajatele sotsiaalse meeletuse tuvastamist ning seejärel toetuda viirusetõrjele ja liivakastidele.

Always on guard

Muidugi, me ei väida, et Secure Email Gateway klassi lahendused on imerohi. Sihtotstarbeliste rünnakute, sealhulgas sihitud fišingu, ennetamine on äärmiselt keeruline, kuna iga selline rünnak 'kohandatakse' konkreetsele saajale (asutusele või inimesele). Kuid ettevõtte jaoks, mis püüab tagada põhitaseme turvalisust, on see juba palju, eriti koos õigesti rakendatud kogemuse ja ekspertiisiga.

Tihti, kui sihitud fišingut teostatakse, ei sisalda kirjade kehad viirusega varustatud manusid, muidu blokeeriks spämmi filter sellise kirja saatjale. Kuid need sisaldavad kirja tekstis linke eelnevalt ettevalmistatud veebiresurssidele, ja siis on asi juba lihtne. Kasutaja klikib lingile ja siis pärast mõningaid suunamisi on ta mõne sekundi jooksul viimases osas, mille avamine laadib tema arvutisse pahavara.

Isegi veel keerulisem: e-kirja saamise hetkel võib link olla kahjutu ja alles mõne aja pärast, kui see on juba skaneeritud ja lubatud, hakkab see suunama pahavarale. Kahjuks ei suuda Solar JSOC spetsialistid, isegi arvestades nende oskusi, seadistada e-posti väravat nii, et see 'näeks' pahavara läbi kogu ahela (kuigi kaitseks võib kasutada automaatset kõigi linkide asendamist kirjade SEG-is, et viimane skaneeriks linki mitte ainult e-kirja kohaletoimetamise hetkel, vaid igaühe üleminek neljal juhul).

Samas, isegi tüüpilise suunamise korral aitab mitmete ekspertiseeride, sealhulgas meie JSOC CERT-i ja OSINT-i andmete kogumine. See võimaldab koostada laiendatud mustade nimekirjade põhjal, mille alusel isegi mitme suunamisega kiri blokeeritakse.

SEG-i kasutamine on vaid väike telliskivi seina, mida iga organisatsioon soovib ehitada oma vara kaitsmiseks. Kuid see element tuleb õigesti paigutada kogu pildisse, kuna isegi SEG-i saab õige seadistamisega muuta tõhusaks kaitsevahendiks.

Ksenia Sadunina, Solar JSOC-i toodete ja teenuste ekspertide eelneva müügi konsultant

Allikas: habr.com