Rohkem kui rämpsu tõrje: kuidas Security Email Gateway’st maksimumi välja pigistada.

Kui suur ettevõte ehitab kaitseliine võimalike sisevaenlaste ja häkkerite vastu, siis väiksemate ettevõtete jaoks on peamiseks mureks jätkuvalt phishing ja rämpspost. Kui Marty McFly oleks teadnud, et 2015. aastal (kuid eriti 2020. aastal) ei leiutata mitte ainult ujuvaid laudu, vaid inimesed ei suuda isegi täielikult vabaneda rämpspostist, oleks ta tõenäoliselt kaotanud usu inimkonda. Veelgi enam, tänapäeva rämpspost ei ole mitte ainult tüütav, vaid sageli ka kahjulik. Umbes 70% juhtudest pääsevad küberkurjategijad kiirusketi kaudu infrastruktuuri sissetungidesse, kasutades pahavara, mis on peidetud manustes või phishing-linkides e-kirjades.

Viimasel ajal on selgelt nähtav trend sotsiaalsete meetodite leviku osas kui viisi, kuidas tungida organisatsiooni infrastruktuuri. Võrreldes 2017. ja 2018. aasta statistikat, näeme peaaegu 50% kasvu juhtumite arvu osas, kus pahavara toimetati töötajate arvutitesse just manuste või e-kirja kehas olevate phishing-linkide kaudu.

Kokkuvõttes võib kogu e-posti kaudu tekkivate ohtude spektri jagada mitmeks kategooriaks:

• saabuv rämpspost
• organisatsiooni arvutite lisamine rämpsposti edastavasse bot-võrku
• kahjustavad manus ja viirused kirja kehas (väikesed ettevõtted kannatavad enamasti massiliste Petya-tüüpi rünnakute all).

Kaitsmiseks kõigi rünnakute liikide eest võib kas üles seada mitu küberjulgeoleku süsteemi või minna teenusmudeli teed. Me oleme juba olen rääkinud üheainsa küberjulgeoleku teenuste platvormi – Solar MSS hallatavate teenuste ökosüsteemi tuuma. Lisaks sisaldab see ka virtuaalset Secure Email Gateway (SEG) tehnoloogiat. Üldiselt ostavad seda teenust väikesed ettevõtted, kus kõik IT ja turvafunktsioonid on määratud ühele inimesele – süsteemiadministraatorile. Rämpspost on probleem, mis on alati kasutajate ja juhtkonna silme ees, ning seda ei saa tähelepanuta jätta. Kuid aja jooksul mõistab isegi juhtkond, et lihtsalt „siseadministraatorile edastamine” ei toimi – see võtab liiga palju aega.

2 tundi e-posti läbitöötamiseks – see on veidi liiga palju

Sarnase olukorraga pöördus meie poole üks jaemüüja. Tööaja arvestussüsteem näitas, et iga päev kulutasid tema töötajad umbes 25% oma tööajast (2 tundi!) postkastide haldamisele.

Klientide postiserveri ühendamisega seadistasime SEG'i instantsi kaheastmeliseks väravaks nii sissetulevale kui ka väljuvale postile. Käivitasime filtreerimise eelnevalt kehtestatud poliitikate alusel. Must nimekiri koostati kliendi esitatud andmete analüüsi ja meie ekspertide Solar JSOC abil saadud võimalike ohtlike aadresside loendite põhjal teistest teenustest, näiteks IT-ohutuse juhtumite jälgimisest. Pärast seda toimetati kogu post ainult pärast puhastamist ning erinevad spämmiülekanded suurte „soodustusega” pakkumistega lakkasid klientide postiserveritele massiliselt voolamast, vabastades ruumi muude vajaduste jaoks.

Kuid on olnud olukordi, kus legitiimne kiri on ekslikult liigitatud rämpsposti, näiteks kui see on saadetud usaldusväärsest saatjast. Sellisel juhul andsime kliendile õiguse otsustada. Valikuid, mida teha, ei ole palju: kohe kustutada või karantiini saata. Valisime teise tee, kus selline soovimatu post on SEG-is salvestatud. Süsteemihaldurile andsime juurdepääsu veebikonsoolile, kus ta sai igal ajal leida olulise kirja, näiteks koostööpartnerilt, ja edastada selle kasutajale.

Vabaneme parasiitidest

E-posti kaitse teenuse koosseisu kuuluvad analüütilised aruanded, mille eesmärk on infrastruktuuri kaitstuse ja rakendatud seadetest tuleneva efektiivsuse kontroll. Lisaks võimaldavad need aruanded prognoosida trende. Näiteks leiame aruandest vastava osa "Rämpspost saaja järgi" või "Rämpspost saatja järgi" ja vaatame, kelle aadressile saabub kõige rohkem blokeeritud sõnumeid.

Analüüsi käigus tundus meile kahtlane, et ühe kliendi üldine kirjade arv on järsult suurenenud. Tema infrastruktuur on väike, kirjade arv madal. Ja äkitselt, pärast tööpäeva, suurenes blokeeritud rämpsposti arv peaaegu kahekordselt. Otsustasime lähemalt uurida.

Näeme, et väljavõttu kirdude arv on suurenenud ja kõikide väljastatud kirjade "Saatja" väljadel on aadressid domeenist, mis on ühendatud meiliteenuste kaitsega. Kuid on üks nüanss: arvestatavate ja tõenäoliselt eksisteerivate aadresside seas on ka selgelt kahtlaseid. Kontrollisime IP-aadresse, millest kirjad saadeti, ja, nagu oodatud, selgus, et need ei kuulu kaitstud aadressiruumi. Ilmselt saatis kurjategija rämpsposti kliendi nimel.

Antud juhul koostasime kliendile soovitused DNS-kirjade õige seadistamise kohta, täpsemalt SPF-i. Meie spetsialist soovitas luua TXT-kirje, mis sisaldab reeglit "v=spf1 mx ip:1.2.3.4/23 -all", mis sisaldab täielikku loetelu aadressidest, kellele on lubatud saata kirju kaitstud domeeni nimel.

Miks see oluline on: rämpsposti saatmine tundmatult väikeselt ettevõttelt on ebameeldiv, kuid mitte kriitiline. Asjad on aga hoopis teistmoodi näiteks pangandussektoris. Meie tähelepanekute kohaselt tõuseb ohvri usaldus phishing-kirja suhtes mitu korda, kui see on saadetud näiliselt teise panga või ohvrile tuntud partneri domeenilt. Ja see ei kehti ainult pankade töötajate kohta; teistes valdkondades, nagu energia, oleme sarnase trendiga silmitsi seisnud.

Tappa viirused

Kuid spoofing ei ole nii sage probleem, nagu näiteks viirusnakkused. Kuidas võideldakse viiruspandeemiatega kõige sagedamini? Paigaldatakse viirusetõrje ja loodetakse, et "vaenlane ei pääse läbi". Kui kõik oleks nii lihtne, siis arvestades viirusetõrje suhteliselt madalat maksumust, oleks kõik juba ammu unustanud pahavara probleemid. Samuti saame pidevalt päringuid, kus küsitakse: „aidake taastada faile, meil on kõik krüpteeritud, töö seisab, andmed on kadunud.” Me ei väsi kordamast klientidele, et viirusetõrje ei ole imeravim. Lisaks sellele, et viirusetõrje andmebaasid ei pruugi piisavalt kiiresti uuenduda, kohtame sageli pahavara, mis suudab mööda minna mitte ainult viirusetõrjetest, vaid ka liivakastidest.

Kahjuks ei ole enamik tavalisi organisatsioonide töötajaid kursis kalahtide ja pahatahtlike erinevate kirjadega ning nad ei oska neid eristada tavalisest suhtlusest. Keskmiselt iga seitsmes kasutaja, kes ei osale regulaarsetes teadlikkuse tõstmise programmides, langeb sotsiaalsele inseneritusele: avab nakatunud faili või saadab oma andmed kurjategijatele.

Kuigi sotsiaalsete rünnakute suundumus on üldiselt pidevalt veidi suurenenud, sai see trend eelmisel aastal eriti silmapaistvaks. Phishing-kirjad muutusid üha enam sarnaseks tavapärastele reklaamikirjadele, tulevastele üritustele jne. Siinkohal võib meenutada Silence'i rünnakut finantssektoris – pangatöötajad said kirja näiliselt promokoodiga osalemiseks populaarsel valdkonna konverentsil iFin, ning petta laskunud inimeste protsent oli väga kõrge, kuigi tasub meenutada, et tegemist on pangasektoriga – kõige arenenumaga teabejulgeoleku küsimustes.

Eelmise aasta uue aasta eel nägime paar tõeliselt kummalist olukorda, kus tööstusettevõtete töötajad said väga kvaliteetseid kalastuskirju, mis sisaldasid „loendit” uue aasta kampaaniatest populaarsetes veebikauplustes ja sooduskoodidest. Töötajad mitte ainult ei üritanud ise lingile minna, vaid edastasid kirja ka kolleegidele seotud organisatsioonidest. Kuna ressurss, kuhu kalastuskirja link viis, oli blokeeritud, hakkasid töötajad massiliselt jätma IT-osakonnale päringuid ligipääsu saamiseks. Üldiselt ületas kampaania edu ilmselt kõik pahalaste ootused.

Hiljuti pöördus meie poole abi saamiseks ettevõte, keda oli "küberründatud". Kõik algas sellest, et raamatupidamisosakond sai e-kirja, mis nägi välja nagu see oleks saadetud Venemaa Keskpangast. Raamatupidaja klikkis e-kirja lingile ja laadis oma arvutisse alla WannaMine'i, mis, nagu tuntud WannaCry, kasutas ära EternalBlue haavatavust. Mis on huvitav, on see, et enamik viirusetõrjeprogramme on suutnud selle signatuure tuvastada juba 2018. aasta algusest. Ent kas viirusetõrje oli välja lülitatud, kas andmebaasid ei olnud ajakohased või polnud seda seal üldse — igal juhul oli miner juba arvutis ja miski ei takistanud tal edasi levida, koormates CPU-d. serverite ja AÜD 100%.

See klient, saades meie forensiikagrupi raporti, nägi, et viirus pääses algselt tema süsteemi läbi e-kirja ning käivitas e-posti kaitse teenuse juurutamise pilootprojekti. Esimene asi, mille me seadistasime, oli e-posti viirusetõrje. Samuti toimub pidev pahavara skaneerimine ja signatuuride uuendamine oli algul iga tunni tagant, hiljem läks klient üle režiimile, kus need uuendati kaks korda päevas.

Tõhus viirusetõrje peab olema kihiline. Rääkides viirusest, mis levib e-posti teel, on oluline filtrida selliseid kirju sisenemisel, õpetada kasutajaid tuvastama sotsiaalset inseneri ning seejärel loota juba viirusetõrjele ja liivakastidele.

alati valvekil

Loomulikult ei väida me, et Secure Email Gateway klassi lahendused on imerohi. Sihtotstarbelisi rünnakuid, sealhulgas sihtrühma kala, on äärmiselt raske ära hoida, kuna iga selline rünnak on „kohandatud” konkreetse adressaadi (organisatsiooni või inimese) jaoks. Kuid ettevõtte jaoks, kes püüab tagada põhitaseme turvalisuse, on see juba palju, eriti koos õigete kogemuste ja ekspertiisiga, mis on sellega seotud.

Sihtfishingu teostamisel ei sisalda kirjade sisu kõige sagedamini pahatahtlikke manuseid, vastasel juhul blokeerib rämpsposti filtrisüsteem sellise kirja kohe selle vastuvõtja juurde jõudmisel. Selle asemel sisaldavad nad kirja tekstis linke eelnevalt ettevalmistatud veebialusele, ja siis on juba vähe puudu. Kasutaja klikib lingile ja seejärel, läbi mitme suunamise, jõuab mõne sekundi jooksul lõpuks selle ahela viimasele lingile, mille avamine laadib tema arvutisse pahavara.

Isegi veel nutikam: e-kirja saamisel võib link olla kahjutu ja ainult pärast teatud aja möödumist, mil see on juba skaneeritud ja heaks kiidetud, hakkab see suunama pahatahtlikule lehele. Kahjuks ei saa Solar JSOC spetsialistid, isegi koos oma oskustega, seadistada e-posti väravat nii, et see "näeks" pahavara läbi kogu ahela (kuigi kaitseks võib kasutada kõigi kirjade linkide automaatset asendamist SEG-iga, et viimane skaneeriks linki mitte ainult kirja saatmise hetkel, vaid iga kord, kui sellele klikkida).

Samas, isegi tavalise ümbersuunamise korral aitab mitme teadmiste liigi kombinatsioon, sealhulgas andmeid, mis saadakse meie JSOC CERT-st ja OSINT-st. See võimaldab koostada ulatuslikke musta nimekirju, mille alusel blokeeritakse isegi e-kiri, millel on mitu edastust.

SEG-i kasutamine on vaid väike telliskivi selles seinas, mille tahab ehitada iga organisatsioon oma varade kaitsmiseks. Kuid ka see lüli tuleb õigesti paigutada üldpilti, kuna isegi SEG-i oskusliku seadistamise korral saab seda kasutada täieliku kaitsevahendina.

Ksenija Sadunina, Solar JSOC-i toodete ja teenuste eksperdihanketeenistuse konsultant

Allikas: habr.com