יותר מאנטי ספאם: כיצד להפיק את המרב משער אבטחה דוא"ל

בעוד שה-Enterprise הגדול בונה דיווחים מדורגים מתוקפים והאקרים פנימיים פוטנציאליים, דיוור דיוג וספאם נותרו כאב ראש עבור חברות פשוטות יותר. אם מרטי מקפליי היה יודע שב-2015 (ועוד יותר מזה ב-2020) אנשים לא רק שלא ימציאו לוחות רחף, אלא אפילו לא ילמדו להיפטר לגמרי מדואר זבל, הוא כנראה היה מאבד את האמון באנושות. יתרה מכך, ספאם כיום הוא לא רק מעצבן, אלא גם מזיק. בכ-70% מיישומי Killchain, פושעי סייבר חודרים לתשתית באמצעות תוכנות זדוניות הכלולות בקבצים מצורפים או דרך קישורי פישינג במיילים.

לאחרונה, יש מגמה ברורה להתפשטות ההנדסה החברתית כדרך לחדור לתשתית של ארגון. בהשוואה לסטטיסטיקה משנת 2017 ו-2018, אנו רואים עלייה של כמעט 50% במספר המקרים שבהם תוכנות זדוניות נמסרו למחשבי עובדים באמצעות קבצים מצורפים או קישורי פישינג בגוף האימייל.

באופן כללי, ניתן לחלק את כל מגוון האיומים שניתן לבצע באמצעות דואר אלקטרוני למספר קטגוריות:

• ספאם נכנס
• הכללת מחשבים של ארגון בבוטנט השולח דואר זבל יוצא
• קבצים מצורפים ווירוסים זדוניים בגוף המכתב (חברות קטנות סובלות לרוב מהתקפות מסיביות כמו Petya).

כדי להגן מפני כל סוגי ההתקפות, אתה יכול לפרוס מספר מערכות אבטחת מידע, או ללכת בנתיב של מודל שירות. אנחנו כבר סיפר על פלטפורמת שירותי אבטחת הסייבר המאוחדים - הליבה של מערכת האקולוגית של שירותי אבטחת סייבר מנוהלים של Solar MSS. בין היתר, הוא כולל טכנולוגיית Secure Email Gateway (SEG) וירטואלית. ככלל, מנוי לשירות זה נרכש על ידי חברות קטנות בהן כל פונקציות ה-IT ואבטחת המידע מוקצות לאדם אחד - מנהל המערכת. דואר זבל הוא בעיה שתמיד גלויה למשתמשים ולהנהלה, ואי אפשר להתעלם ממנה. עם זאת, עם הזמן, אפילו ההנהלה מתבררת שאי אפשר פשוט "להפיל" אותו למנהל המערכת - זה לוקח יותר מדי זמן.

שעתיים לנתח דואר זה קצת הרבה

אחד הקמעונאים פנה אלינו במצב דומה. מערכות מעקב אחר זמן הראו שכל יום העובדים שלו השקיעו כ-25% מזמן עבודתם (שעתיים!) במיון תיבת הדואר.

לאחר שחיברנו את שרת הדואר של הלקוח, הגדרנו את מופע SEG כשער דו-כיווני עבור דואר נכנס ויוצא. התחלנו לסנן לפי מדיניות שנקבעה מראש. ערכנו את הרשימה השחורה על סמך ניתוח הנתונים שסיפק הלקוח ורשימות שלנו של כתובות שעלולות להיות מסוכנות שהושגו על ידי מומחי Solar JSOC כחלק משירותים אחרים - למשל, ניטור אירועי אבטחת מידע. לאחר מכן, כל הדואר נמסר לנמענים רק לאחר הניקיון, ודיוור ספאם שונים על "הנחות גדולות" הפסיקו לזרום בטונות לשרתי הדואר של הלקוח, מה שפינה מקום לצרכים אחרים.

אבל היו מצבים שבהם מכתב לגיטימי סווג בטעות כדואר זבל, למשל, כאילו התקבל משולח לא מהימן. במקרה זה נתנו את זכות ההחלטה ללקוח. אין הרבה אפשרויות מה לעשות: למחוק אותו מיד או לשלוח אותו להסגר. בחרנו בנתיב השני, שבו דואר זבל כזה מאוחסן ב-SEG עצמו. הענקנו למנהל המערכת גישה לקונסולת האינטרנט, בה יוכל למצוא מכתב חשוב בכל עת, למשל, מצד שכנגד, ולהעבירו למשתמש.

להיפטר מטפילים

שירות הגנת האימייל כולל דוחות אנליטיים, שמטרתם לנטר את אבטחת התשתית ויעילות ההגדרות בהן נעשה שימוש. בנוסף, דוחות אלו מאפשרים לחזות מגמות. לדוגמה, אנו מוצאים את הסעיף המתאים "דואר זבל לפי נמען" או "דואר זבל על ידי שולח" בדוח ומסתכלים בכתובת של מי מקבלים את המספר הגדול ביותר של הודעות חסומות.

תוך כדי ניתוח דיווח כזה הגידול החד במספר המכתבים הכולל של אחד הלקוחות נראה לנו חשוד. התשתית שלו קטנה, מספר האותיות נמוך. ופתאום, אחרי יום עבודה, כמות הספאם החסום כמעט הוכפלה. החלטנו לבחון מקרוב.

אנו רואים שמספר המכתבים היוצאים גדל, וכולם בשדה "שולח" מכילים כתובות מדומיין שמחובר לשירות הגנת הדואר. אבל יש ניואנס אחד: בין כתובות שפויות למדי, אולי אפילו קיימות, יש כתובות מוזרות בעליל. בדקנו את כתובות ה-IP שמהן נשלחו המכתבים, ובאופן די צפוי, התברר שהם לא שייכים למרחב הכתובות המוגן. ברור שהתוקף שלח דואר זבל בשם הלקוח.

במקרה זה, הצענו המלצות ללקוח כיצד להגדיר נכון רשומות DNS, במיוחד SPF. המומחה שלנו יעץ לנו ליצור רשומת TXT המכילה את הכלל "v=spf1 mx ip:1.2.3.4/23 -all", המכילה רשימה ממצה של כתובות המורשות לשלוח מכתבים בשם הדומיין המוגן.

למעשה, למה זה חשוב: ספאם מטעם חברה קטנה לא ידועה הוא לא נעים, אבל לא קריטי. המצב שונה לחלוטין, למשל בענף הבנקאות. לפי התצפיות שלנו, רמת האמון של הקורבן בדוא"ל דיוג עולה פי כמה אם הוא נשלח כביכול מהדומיין של בנק אחר או צד שכנגד המוכר לקורבן. וזה מייחד לא רק את עובדי הבנקים; בענפים אחרים - למשל אנרגיה - אנו עומדים בפני אותה מגמה.

הרג וירוסים

אבל זיוף אינו בעיה שכיחה כמו, למשל, זיהומים ויראליים. איך נלחמים לרוב במגיפות ויראליות? הם מתקינים אנטי וירוס ומקווים ש"האויב לא יעבור". אבל אם הכל היה כל כך פשוט, אז בהתחשב בעלות הנמוכה למדי של אנטי-וירוס, כולם היו שוכחים מזמן את בעיית התוכנה הזדונית. בינתיים, אנחנו מקבלים כל הזמן בקשות מהסדרה "עזרו לנו לשחזר את הקבצים, הצפנו הכל, העבודה נתקעה, הנתונים אבודים". לעולם לא נמאס לחזור על כך ללקוחות שלנו שאנטי וירוס אינו תרופת פלא. בנוסף לעובדה שייתכן שמסדי נתונים של אנטי וירוס לא יתעדכנו במהירות מספקת, אנו נתקלים לעתים קרובות בתוכנות זדוניות שיכולות לעקוף לא רק אנטי וירוסים, אלא גם ארגזי חול.

למרבה הצער, מעטים מהעובדים הרגילים של ארגונים שמודעים להתחזות ולמיילים זדוניים ומסוגלים להבחין ביניהם מהתכתבויות רגילות. בממוצע, כל משתמש 7 שלא עובר העלאת מודעות קבועה נכנע להנדסה חברתית: פתיחת קובץ נגוע או שליחת הנתונים שלו לתוקפים.

למרות שהווקטור החברתי של התקפות, באופן כללי, גדל בהדרגה, מגמה זו הפכה בולטת במיוחד בשנה שעברה. הודעות דוא"ל פישינג הפכו יותר ויותר דומות לדיוור רגיל על מבצעים, אירועים קרובים וכו'. כאן נוכל להיזכר במתקפת השתיקה על המגזר הפיננסי - עובדי הבנק קיבלו מכתב לכאורה עם קוד קידום להשתתפות בכנס התעשייה הפופולרית iFin, ואחוז הנכנעים לטריק היה גבוה מאוד, אם כי, נזכיר , אנחנו מדברים על ענף הבנקאות - המתקדם ביותר בנושאי אבטחת מידע.

לפני ראש השנה האחרון, ראינו גם כמה מצבים מוזרים למדי כאשר עובדי חברות תעשייתיות קיבלו מכתבי פישינג איכותיים מאוד עם "רשימה" של מבצעי ראש השנה בחנויות מקוונות פופולריות ועם קודי קידום מכירות להנחות. העובדים לא רק ניסו לעקוב אחר הקישור בעצמם, אלא גם העבירו את המכתב לעמיתים מארגונים קשורים. מאחר שהמשאב שאליו הוביל הקישור במייל ההתחזות נחסם, העובדים החלו בהמוניהם להגיש בקשות לשירות ה-IT כדי לספק לו גישה. באופן כללי, הצלחת הדיוור בוודאי עלתה על כל הציפיות של התוקפים.

ולאחרונה חברה ש"הוצפנה" פנתה אלינו לעזרה. הכל התחיל כשעובדי הנהלת חשבונות קיבלו מכתב לכאורה מהבנק המרכזי של הפדרציה הרוסית. רואה החשבון לחץ על הקישור במכתב והוריד את הכורה WannaMine למכונה שלו, שבדומה ל-WannaCry המפורסם, ניצל את הפגיעות EternalBlue. הדבר המעניין ביותר הוא שרוב האנטי-וירוסים הצליחו לזהות את החתימות שלו מתחילת 2018. אבל, או שהאנטי וירוס הושבת, או שמסדי הנתונים לא עודכנו, או שהוא לא היה שם בכלל - בכל מקרה, הכורה כבר היה על המחשב, ושום דבר לא מנע ממנו להתפשט הלאה ברחבי הרשת, לטעון את השרתים' מעבד ותחנות עבודה ב-100% .

לקוח זה, לאחר שקיבל דיווח מצוות הזיהוי הפלילי שלנו, ראה שהנגיף חדר אליו בתחילה באמצעות הדואר האלקטרוני, והשיק פרויקט פיילוט לחיבור שירות הגנת מייל. הדבר הראשון שהגדרנו היה אנטי וירוס למייל. במקביל, מתבצעת כל הזמן סריקה לאיתור תוכנות זדוניות, ובהתחלה בוצעו עדכוני חתימות כל שעה, ולאחר מכן הלקוח עבר לפעמיים ביום.

הגנה מלאה מפני זיהומים ויראליים חייבת להיות מרובדת. אם אנחנו מדברים על העברת וירוסים באמצעות דואר אלקטרוני, אז יש צורך לסנן מכתבים כאלה בכניסה, לאמן משתמשים לזהות הנדסה חברתית, ולאחר מכן להסתמך על אנטי וירוסים וארגזי חול.

ב-SEGda על המשמר

כמובן, אנחנו לא טוענים שפתרונות Secure Email Gateway הם תרופת פלא. קשה מאוד למנוע התקפות ממוקדות, כולל דיוג חנית, מכיוון ש... כל התקפה כזו "מותאמת" לנמען ספציפי (ארגון או אדם). אבל עבור חברה שמנסה לספק רמה בסיסית של אבטחה, זה הרבה, במיוחד עם הניסיון והמומחיות הנכונים שיושמו במשימה.

לרוב, כאשר מבוצע דיוג חנית, קבצים מצורפים זדוניים אינם כלולים בגוף המכתבים, אחרת מערכת האנטי-ספאם תחסום מיד מכתב כזה בדרכו לנמען. אבל הם כוללים קישורים למשאב אינטרנט מוכן מראש בטקסט של המכתב, ואז זה עניין קטן. המשתמש עוקב אחר הקישור, ולאחר מכן לאחר מספר הפניות תוך שניות מגיע אל האחרון בשרשרת כולה, שפתיחתו תוריד תוכנה זדונית למחשב שלו.

עוד יותר מתוחכם: ברגע שתקבלו את המכתב, הקישור יכול להיות לא מזיק ורק לאחר זמן מה, כשהוא כבר נסרק ודילוג, הוא יתחיל להפנות לתוכנות זדוניות. למרבה הצער, מומחי Solar JSOC, גם אם לוקחים בחשבון את כישוריהם, לא יוכלו להגדיר את שער הדואר כך "לראות" תוכנות זדוניות בכל השרשרת (אם כי, כהגנה, אתה יכול להשתמש בהחלפה אוטומטית של כל הקישורים באותיות ל-SEG, כך שהאחרון סורק את הקישור לא רק בזמן מסירת המכתב, ובכל מעבר).

בינתיים, אפילו הפניה טיפוסית יכולה להיות מטופלת על ידי צבירה של כמה סוגי מומחיות, כולל נתונים שהושגו על ידי JSOC CERT ו-OSINT שלנו. זה מאפשר לך ליצור רשימות שחורות מורחבות, שעל בסיסן אפילו מכתב עם העברה מרובה תיחסם.

השימוש ב-SEG הוא רק לבנה קטנה בחומה שכל ארגון רוצה לבנות כדי להגן על נכסיו. אבל גם הקישור הזה צריך להשתלב בצורה נכונה בתמונה הכוללת, כי אפילו SEG, עם תצורה נכונה, יכול להפוך לאמצעי הגנה מן המניין.

קסניה סדונינה, יועצת של מחלקת המכירות המומחית של מוצרים ושירותים Solar JSOC

מקור: www.habr.com