1. הכשרת משתמשים ביסודות אבטחת מידע. להילחם נגד דיוג

כיום מנהל רשת או מהנדס אבטחת מידע משקיע זמן ומאמץ רב על מנת להגן על היקף רשת ארגונית מפני איומים שונים, שולט במערכות חדשות למניעה וניטור אירועים, אך גם זה אינו מבטיח לו אבטחה מלאה. הנדסה חברתית נמצאת בשימוש פעיל על ידי תוקפים ועלולות להיות השלכות חמורות.

כמה פעמים תפסת את עצמך חושב: "זה יהיה נחמד לארגן צ'ק לצוות על אוריינות באבטחת מידע"? למרבה הצער, מחשבות נתקלות בחומה של אי הבנה בצורה של מספר רב של משימות או הזמן המוגבל של יום העבודה. אנו מתכננים לספר לכם על מוצרים וטכנולוגיות חדישות בתחום האוטומציה של הכשרת כוח אדם, אשר לא ידרשו הכנה ארוכה לפיילוט או הטמעה, אלא דבר ראשון.

יסוד תיאורטי

כיום, יותר מ-80% מהקבצים הזדוניים מופצים בדואר (נתונים שנלקחו מדיווחי מומחי צ'ק פוינט בשנה האחרונה באמצעות שירות דוחות מודיעין).

דוח וקטור של תקיפה זדונית של קבצים (רוסיה) - צ'ק פוינט

זה מצביע על כך שהתוכן בהודעות דוא"ל פגיע מספיק כדי להיות מנוצל על ידי תוקפים. אם ניקח בחשבון את הפורמטים הפופולריים ביותר של קבצים זדוניים בקבצים מצורפים (EXE, RTF, DOC), אז ראוי לציין שהם בדרך כלל מכילים רכיבי ביצוע קוד אוטומטיים (סקריפטים, פקודות מאקרו).

דוח שנתי על פורמטי קבצים בהודעות זדוניות שהתקבלו - צ'ק פוינט

איך להתמודד עם וקטור ההתקפה הזה? בדיקת דואר משתמשת בכלי אבטחה: 

• אנטי וירוס - זיהוי חתימה של איומים.

• אמולציה - ארגז חול איתו פותחים קבצים מצורפים בסביבה מבודדת.

• מודעות לתוכן - חילוץ של אלמנטים פעילים ממסמכים. המשתמש מקבל מסמך נקי (בדרך כלל בפורמט PDF).

• אנטי - ספאם - בדיקת מוניטין של הדומיין של הנמען / השולח.

ובתיאוריה זה מספיק, אבל יש עוד משאב בעל ערך לא פחות עבור החברה - נתונים ארגוניים ואישיים של עובדים. בשנים האחרונות, הפופולריות של סוג הונאות האינטרנט הבא גדלה באופן פעיל:

פישינג (דיוג באנגלית, מדיג - דיג, דיג) - סוג של הונאה באינטרנט. מטרתו היא להשיג נתוני זיהוי משתמש. זה כולל גניבת סיסמאות, מספרי כרטיסי אשראי, חשבונות בנק ומידע רגיש אחר.

התוקפים משכללים התקפות דיוג, מפנים בקשות DNS מאתרים פופולריים ופורסים קמפיינים שלמים באמצעות הנדסה חברתית לשליחת מיילים. 

לפיכך, כדי להגן על האימייל הארגוני שלך מפני פישינג, שתי גישות מומלצות, והשימוש בהן יחד מוביל לתוצאות הטובות ביותר:

1. כלי הגנה טכניים. כפי שהוזכר קודם לכן, נעשה שימוש בטכנולוגיות שונות לבדיקה והעברה של דואר לגיטימי בלבד.

2. הכשרה תיאורטית של כוח אדם. זה מורכב מבדיקות מקיפות של כוח אדם כדי לזהות קורבנות פוטנציאליים. יתר על כן, הם עוברים הכשרה מחדש, סטטיסטיקות נרשמות כל הזמן.   

לא לסמוך ולאמת

היום נדבר על הגישה השנייה למניעת התקפות פישינג, כלומר, הכשרה אוטומטית של אנשי צוות על מנת להגביר את רמת האבטחה הכוללת של נתונים ארגוניים ואישיים. למה זה יכול להיות כל כך מסוכן?

הנדסה חברתית - מניפולציה פסיכולוגית של אנשים על מנת לבצע פעולות מסוימות או לחשוף מידע סודי (בקשר לאבטחת מידע).

תרשים של תרחיש פריסת התקפת דיוג טיפוסית

בואו נסתכל על תרשים זרימה משעשע שמתאר בקצרה את הדרך לקידום מסע דיוג. יש לו שלבים שונים:

1. איסוף נתונים ראשוניים.

   במאה ה-21 קשה למצוא אדם שאינו רשום באף רשת חברתית או בפורומים נושאיים שונים. באופן טבעי, רבים מאיתנו משאירים מידע מפורט על עצמנו: מקום העבודה הנוכחי, קבוצה לעמיתים, טלפון, דואר וכו'. הוסף לזה מידע מותאם אישית על תחומי העניין של אדם, ויש לך את הנתונים כדי ליצור תבנית דיוג. גם אם לא היה ניתן למצוא אנשים עם מידע כזה, תמיד יש אתר של חברה שממנו ניתן למצוא את כל המידע שאנו מעוניינים בו (דואר דומיין, אנשי קשר, חיבורים).

2. השקת קמפיין.

   לאחר הגדרת דריסת הרגל, תוכל להשיק מסע דיוג ממוקד משלך באמצעות כלים חינמיים או בתשלום. במהלך רשימת התפוצה תצברו סטטיסטיקות: דואר נשלח, דואר פתוח, לחיצה על קישורים, הזנת אישורים וכו'.

מוצרים בשוק

פישינג יכול לשמש גם פושעי סייבר וגם עובדי אבטחת המידע של החברה על מנת לבצע ביקורת רציפה על התנהגות העובדים. מה מציע לנו השוק עבור פתרונות חינמיים ומסחריים למערכת הדרכה אוטומטית לעובדי החברה:

1. GoPhish הוא פרויקט קוד פתוח המאפשר לך לפרוס חברת פישינג על מנת לבדוק את אוריינות ה-IT של העובדים שלך. היתרונות שהייתי כוללים קלות פריסה ודרישות מערכת מינימליות. החסרונות הם היעדר תבניות דיוור מוכנות, היעדר מבחנים וחומרי הדרכה לצוות.

2. KnowBe4 - פלטפורמה עם מספר רב של מוצרים זמינים לבדיקות כוח אדם.

3. פישמן - מערכת אוטומטית לבדיקה והדרכה של עובדים. יש לו גרסאות שונות של מוצרים התומכים בין 10 ליותר מ-1000 עובדים. קורסי ההכשרה כוללים תיאוריה ומשימות מעשיות, ניתן לזהות צרכים על סמך הסטטיסטיקה המתקבלת לאחר קמפיין הדיוג. הפתרון הוא מסחרי עם אפשרות לשימוש ניסיון.

4. אנטי פישינג - מערכת אוטומטית של הדרכה ובקרה של אבטחה. מוצר מסחרי מציע התקפות מדומות תקופתיות, הדרכת עובדים וכו'. כגרסת דמו של המוצר, מוצע קמפיין הכולל פריסת תבניות וביצוע שלוש התקפות אימון.

הפתרונות הנ"ל הם רק חלק מהמוצרים הקיימים בשוק של הכשרת כוח אדם אוטומטית. כמובן שלכל אחד יש יתרונות וחסרונות משלו. היום נכיר GoPhish, לדמות מתקפת דיוג, לחקור את האפשרויות הזמינות.

GoPhish

אז הגיע הזמן להתאמן. GoPhish לא נבחר במקרה: זהו כלי ידידותי למשתמש עם התכונות הבאות:

1. התקנה והשקה פשוטה יותר.

2. תמיכה ב-REST API. מאפשר לך ליצור בקשות מ תיעוד ולהחיל סקריפטים אוטומטיים. 

3. ממשק משתמש גרפי נוח.

4. חוצה פלטפורמות.

צוות הפיתוח הכין מצוין להנחות על פריסה והגדרה של GoPhish. למעשה, אתה רק צריך ללכת ל מאגר, הורד את ארכיון ה-ZIP עבור מערכת ההפעלה המתאימה, הפעל את הקובץ הבינארי הפנימי, ולאחר מכן הכלי יותקן.

הערה חשובה!

כתוצאה מכך, אתה אמור לקבל מידע על הפורטל הפרוס במסוף, וכן נתונים להרשאה (רלוונטי לגרסאות ישנות מגרסה 0.10.1). אל תשכח לשמור את הסיסמה שלך!

msg="Please login with the username admin and the password <ПАРОЛЬ>"

הבנת ההגדרה של GoPhish

לאחר ההתקנה, ייווצר קובץ תצורה (config.json) בספריית האפליקציה. נתאר את הפרמטרים לשינוי:

מפתח

ערך (ברירת מחדל)

תיאור

admin_server.listen_url

127.0.0.1:3333

כתובת IP של שרת GoPhish

admin_server.use_tls

שקר

האם נעשה שימוש ב-TLS כדי להתחבר לשרת GoPhish

admin_server.cert_path

example.crt

נתיב לאישור ה-SSL עבור פורטל הניהול של GoPhish

admin_server.key_path

example.key

נתיב למפתח SSL פרטי

phish_server.listen_url

0.0.0.0:80

דף דיוג המארח כתובת IP ויציאה (מתארח בשרת GoPhish עצמו ביציאה 80 כברירת מחדל)

—> עבור לפורטל הניהול. במקרה שלנו: https://127.0.0.1:3333

-> תתבקש לשנות סיסמה ארוכה מספיק לפשוטה יותר או להיפך.

יצירת פרופיל שולח

עבור ללשונית "שליחת פרופילים" וציין את הנתונים על המשתמש שממנו יישלח הדיוור שלנו:

איפה:

שם

שם השולח

מ

הדואר של השולח

מארח

כתובת ה-IP של שרת הדואר שממנו יואזן לדואר הנכנס.

שם משתמש

התחברות לחשבון משתמש בשרת דואר.

סיסמה

הסיסמה עבור חשבון המשתמש של שרת הדואר.

אתה יכול גם לשלוח הודעת בדיקה כדי לוודא שהמשלוח הצליח. שמור את ההגדרות באמצעות כפתור "שמור פרופיל".

צור קבוצת יעד

לאחר מכן, עליך ליצור קבוצה של נמענים של "מכתבי אושר". עבור אל "משתמש וקבוצות" → "קבוצה חדשה". ישנן שתי דרכים להוסיף: ידני או ייבוא ​​קובץ CSV.

השיטה השנייה דורשת נוכחות של שדות חובה:

• שם פרטי

• שם משפחה

• כתובת אימייל

• עמדה

לדוגמא:

First Name,Last Name,Position,Email
Richard,Bourne,CEO,[email protected]
Boyd,Jenius,Systems Administrator,[email protected]
Haiti,Moreo,Sales & Marketing,[email protected]

צור תבנית דואר דיוג

לאחר שזיהינו את התוקף הדמיוני ואת הקורבנות הפוטנציאליים, עלינו ליצור תבנית הודעה. כדי לעשות זאת, עבור אל "תבניות דוא"ל" ← "תבניות חדשות".

בעת יצירת תבנית, נעשה שימוש בגישה טכנית ויצירתית, יש לציין הודעה מהשירות שתהיה מוכרת למשתמשים הנפגעים או שתגרום להם לתגובה מסוימת. אפשרויות אפשריות:

שם

שם התבנית

נושא

שורת הנושא

טקסט/HTML

שדה להזנת טקסט או קוד HTML

Gophish תומך בייבוא ​​אימייל, אבל אנחנו ניצור משלנו. לשם כך, אנו מדמים תרחיש: משתמש בחברה מקבל מכתב עם הצעה לשנות את הסיסמה מהדואר הארגוני שלו. לאחר מכן, אנו מנתחים את תגובתו ומסתכלים על ה"תפיסה" שלנו.

נשתמש במשתנים מובנים בתבנית. פרטים נוספים ניתן למצוא למעלה להנחות סעיף הפניה לתבנית.

ראשית, בואו נטען את הטקסט הבא:

{{.FirstName}},

The password for {{.Email}} has expired. Please reset your password here.

Thanks,
IT Team

בהתאם לכך, שם המשתמש יוחלף אוטומטית (בהתאם לפריט "קבוצה חדשה" שהוגדרה קודם לכן) וכתובת הדואר שלו תצוין.

לאחר מכן, עלינו לספק קישור למשאב הדיוג שלנו. כדי לעשות זאת, בחר את המילה "כאן" בטקסט ובחר באפשרות "קישור" בלוח הבקרה.

ככתובת האתר, נציין את המשתנה המובנה {{.URL}}, אותו נמלא בהמשך. זה יוטמע אוטומטית בגוף האימייל להתחזות.

אל תשכח להפעיל את האפשרות "הוסף תמונת מעקב" לפני שמירת התבנית. זה יוסיף רכיב מדיה בגודל 1x1 פיקסל שיעקוב אחר מתי המשתמש פתח את המייל.

אז, לא נשאר הרבה, אבל תחילה אנו מסכמים את הצעדים הנדרשים לאחר האישור בפורטל Gophish: 

1. צור פרופיל שולח;

2. צור קבוצת תפוצה שבה לציין משתמשים;

3. צור תבנית דואר דיוג.

מסכים, ההגדרה לא ארכה הרבה זמן ואנחנו כמעט מוכנים להשיק את הקמפיין שלנו. נותר להוסיף דף דיוג.

יצירת דף פישינג

עבור לכרטיסייה "דפי נחיתה".

נתבקש לציין את שם האובייקט. אפשר לייבא את אתר המקור. בדוגמה שלנו, ניסיתי לציין פורטל אינטרנט של שרת דואר עובד. בהתאם, הוא יובא כקוד HTML (אם כי לא לגמרי). להלן אפשרויות מעניינות ללכידת קלט משתמש:

• לכידת נתונים שנשלחו. אם דף האתר שצוין מכיל טפסי קלט שונים, כל הנתונים ייקלטו.

• לכידת סיסמאות - לכידת סיסמאות שהוזנו. הנתונים נכתבים למסד הנתונים של GoPhish ללא הצפנה, כפי שהם.

בנוסף, אנו יכולים להשתמש באפשרות "הפניה אל", שתפנה את המשתמש לדף שצוין לאחר הזנת האישורים. הרשו לי להזכיר לכם שקבענו תרחיש כאשר המשתמש מתבקש לשנות את הסיסמה לדואר ארגוני. לשם כך, מוצע לו דף מזויף של פורטל הרשאות הדואר, שלאחריו ניתן לשלוח את המשתמש לכל משאב זמין של החברה.

אל תשכח לשמור את העמוד שהושלם ולעבור לקטע "קמפיין חדש".

השקת דיג GoPhish

סיפקנו את כל המידע הנדרש. בכרטיסייה "מסע פרסום חדש", צור מסע פרסום חדש.

השקת קמפיין

איפה:

שם

שם מסע הפרסום

תבנית דואר אלקטרוני

תבנית הודעה

דף נחיתה

דף פישינג

כתובת האתר

IP של שרת ה-GoPhish שלך (חייב להיות נגישות לרשת עם המארח של הקורבן)

תאריך הפעלה

תאריך תחילת הקמפיין

שלח אימייל לפי

תאריך סיום מסע הפרסום (הדיוור מופץ באופן שווה)

שולח פרופיל

פרופיל השולח

קבוצות

קבוצת נמעני דיוור

לאחר ההתחלה, תמיד נוכל להתוודע לסטטיסטיקה, המעידה על: הודעות שנשלחו, הודעות פתוחות, לחיצות על קישורים, נותרו נתונים, העברה לספאם.

מהסטטיסטיקה אנו רואים שנשלחה הודעה 1, בואו נבדוק את הדואר מהצד של הנמען:

ואכן, הקורבן קיבל בהצלחה אימייל דיוג המבקש מהם לעקוב אחר הקישור כדי לשנות את סיסמת החשבון הארגוני שלהם. אנו מבצעים את הפעולות המבוקשות, אנו נשלחים לעמוד דפי נחיתה, מה לגבי הסטטיסטיקה?

כתוצאה מכך, המשתמש שלנו עקב אחר קישור דיוג שבו הוא יכול להשאיר את פרטי החשבון שלו.

הערת המחבר: תהליך הזנת הנתונים לא תוקן עקב שימוש בפריסת בדיקה, אבל יש אפשרות כזו. יחד עם זאת, התוכן אינו מוצפן ומאוחסן במסד הנתונים של GoPhish, שימו לב לכך.

במקום מסקנה

היום נגענו בנושא האקטואלי של ביצוע הדרכה אוטומטית לעובדים על מנת להגן עליהם מפני התקפות פישינג ולחנך אותם לאוריינות IT. כפתרון סביר, Gophish הופעל, שהציג ביצועים טובים מבחינת זמן הפריסה עד לתוצאה. עם הכלי הזול הזה, אתה יכול לבדוק את העובדים שלך ולהפיק דוחות על התנהגותם. אם אתה מעוניין במוצר זה, אנו מציעים סיוע בפריסתו וביקורת העובדים שלך ([מוגן בדוא"ל]).

עם זאת, אנחנו לא מתכוונים לעצור בסקירה של פתרון אחד ומתכננים להמשיך את המחזור, שבו נדבר על פתרונות Enterprise לאוטומציה של תהליך הלמידה ומעקב אחר אבטחת העובדים. הישארו איתנו והיו ערניים!

מקור: www.habr.com