მეტი ვიდრე ანტისპამი: როგორ ვისარგებლოთ უსაფრთხოების ელფოსტის კარიბჭით

მიუხედავად იმისა, რომ დიდი საწარმო აყალიბებს ეშელონურ წინააღმდეგობებს პოტენციური შიდა თავდამსხმელებისგან და ჰაკერებისგან, ფიშინგი და სპამის გაგზავნა რჩება თავის ტკივილი უფრო მარტივი კომპანიებისთვის. მარტი მაკფლიმ რომ სცოდნოდა, რომ 2015 წელს (და მით უმეტეს 2020 წელს) ადამიანები არამარტო არ გამოიგონებდნენ ჰოვერბორდებს, არამედ ვერც ისწავლიდნენ უსარგებლო ფოსტის სრულად მოშორებას, ის ალბათ დაკარგავდა კაცობრიობის რწმენას. უფრო მეტიც, დღეს სპამი არა მხოლოდ შემაშფოთებელი, არამედ ხშირად საზიანოა. Killchain-ის დანერგვის დაახლოებით 70%-ში კიბერკრიმინალები შეაღწევენ ინფრასტრუქტურაში მავნე პროგრამების გამოყენებით, რომლებიც შეიცავს დანართებში ან ელ.ფოსტის ფიშინგ ბმულების მეშვეობით.

ბოლო დროს შეიმჩნევა აშკარა ტენდენცია სოციალური ინჟინერიის გავრცელებისკენ, როგორც ორგანიზაციის ინფრასტრუქტურაში შეღწევის გზაზე. 2017 და 2018 წლების სტატისტიკის შედარებისას, ჩვენ ვხედავთ თითქმის 50%-ით ზრდას იმ შემთხვევების რიცხვში, როდესაც მავნე პროგრამა მიეწოდებოდა თანამშრომლების კომპიუტერებს დანართების ან ფიშინგის ბმულების მეშვეობით ელ.ფოსტის ტექსტში.

ზოგადად, საფრთხეების მთელი სპექტრი, რომელიც შეიძლება განხორციელდეს ელექტრონული ფოსტის გამოყენებით, შეიძლება დაიყოს რამდენიმე კატეგორიად:

• შემომავალი სპამი
• ორგანიზაციის კომპიუტერების ჩართვა ბოტნეტში, რომელიც აგზავნის გამავალ სპამს
• მავნე დანართები და ვირუსები ასოს სხეულში (პატარა კომპანიები ყველაზე ხშირად განიცდიან მასიური შეტევებს, როგორიცაა პეტია).

ყველა სახის თავდასხმისგან თავის დასაცავად, შეგიძლიათ ან განათავსოთ ინფორმაციული უსაფრთხოების რამდენიმე სისტემა, ან მიჰყვეთ სერვისის მოდელის გზას. Ჩვენ უკვე განუცხადა კიბერუსაფრთხოების სერვისების ერთიანი პლატფორმის შესახებ - Solar MSS მართული კიბერუსაფრთხოების სერვისების ეკოსისტემის ბირთვი. სხვა საკითხებთან ერთად, ის მოიცავს ვირტუალიზებულ Secure Email Gateway (SEG) ტექნოლოგიას. როგორც წესი, ამ სერვისის ხელმოწერას ყიდულობენ მცირე კომპანიები, რომლებშიც IT და ინფორმაციის უსაფრთხოების ყველა ფუნქცია ენიჭება ერთ ადამიანს - სისტემის ადმინისტრატორს. სპამი არის პრობლემა, რომელიც ყოველთვის ხილულია მომხმარებლებისა და მენეჯმენტისთვის და მისი იგნორირება შეუძლებელია. თუმცა, დროთა განმავლობაში, მენეჯმენტიც კი ცხადი ხდება, რომ შეუძლებელია მისი უბრალოდ „გადაგდება“ სისტემის ადმინისტრატორზე - ამას ძალიან დიდი დრო სჭირდება.

ფოსტის გასაანალიზებლად 2 საათი ცოტაა

მსგავსი სიტუაციით მოგვმართა ერთ-ერთი საცალო მოვაჭრე. დროის თვალთვალის სისტემებმა აჩვენა, რომ მისი თანამშრომლები ყოველდღიურად ხარჯავდნენ სამუშაო დროის დაახლოებით 25%-ს (2 საათი!) საფოსტო ყუთის დალაგებას.

მომხმარებლის ფოსტის სერვერთან დაკავშირების შემდეგ, ჩვენ დავაყენეთ SEG ინსტანცია, როგორც ორმხრივი კარიბჭე როგორც შემომავალი, ასევე გამავალი ფოსტისთვის. ჩვენ დავიწყეთ ფილტრაცია წინასწარ დადგენილი პოლიტიკის მიხედვით. ჩვენ შევადგინეთ შავი სია კლიენტის მიერ მოწოდებული მონაცემებისა და პოტენციურად სახიფათო მისამართების ჩვენი სიების საფუძველზე, რომლებიც მიღებულია Solar JSOC ექსპერტების მიერ, როგორც სხვა სერვისების ნაწილი - მაგალითად, ინფორმაციული უსაფრთხოების ინციდენტების მონიტორინგი. ამის შემდეგ, მთელი ფოსტა მიმღებებს გადაეცა მხოლოდ გაწმენდის შემდეგ და სხვადასხვა სპამის შეტყობინებები "გრანდიოზული ფასდაკლებების" შესახებ შეწყვიტეს მომხმარებელთა საფოსტო სერვერებზე ტონებით ჩასვლა, რაც ათავისუფლებდა ადგილს სხვა საჭიროებისთვის.

მაგრამ იყო სიტუაციები, როდესაც ლეგიტიმური წერილი შეცდომით იქნა კლასიფიცირებული, როგორც სპამი, მაგალითად, როგორც არასანდო გამგზავნისგან მიღებული. ამ შემთხვევაში გადაწყვეტილების მიღების უფლება მომხმარებელს მივეცით. ბევრი ვარიანტი არ არის იმის შესახებ, თუ რა უნდა გააკეთოთ: დაუყოვნებლივ წაშალოთ იგი ან გაგზავნოთ კარანტინში. ჩვენ ავირჩიეთ მეორე გზა, რომელშიც ასეთი უსარგებლო ფოსტა ინახება თავად SEG-ზე. ჩვენ მივაწოდეთ სისტემის ადმინისტრატორს წვდომა ვებ კონსოლზე, რომელშიც მას შეეძლო ნებისმიერ დროს ეპოვა მნიშვნელოვანი წერილი, მაგალითად, კონტრაგენტისგან და გაეგზავნა იგი მომხმარებლისთვის.

პარაზიტების მოშორება

ელექტრონული ფოსტის დაცვის სერვისი მოიცავს ანალიტიკურ ანგარიშებს, რომლის მიზანია ინფრასტრუქტურის უსაფრთხოებისა და გამოყენებული პარამეტრების ეფექტურობის მონიტორინგი. გარდა ამისა, ეს ანგარიშები საშუალებას გაძლევთ იწინასწარმეტყველოთ ტენდენციები. მაგალითად, ანგარიშში ვპოულობთ შესაბამის განყოფილებას „სპამი მიმღების მიერ“ ან „სპამი გამგზავნის მიერ“ და ვუყურებთ, ვისი მისამართი იღებს ყველაზე მეტ დაბლოკილ შეტყობინებას.

სწორედ ასეთი ანგარიშის გაანალიზებისას საეჭვოდ გვეჩვენა მკვეთრად გაზრდილი წერილების საერთო რაოდენობა ერთ-ერთი მომხმარებლისგან. მისი ინფრასტრუქტურა მცირეა, ასოების რაოდენობა მცირე. და მოულოდნელად, სამუშაო დღის შემდეგ, დაბლოკილი სპამის რაოდენობა თითქმის გაორმაგდა. გადავწყვიტეთ უფრო ახლოს გაგვეთვალიერებინა.

ჩვენ ვხედავთ, რომ გამავალი წერილების რაოდენობა გაიზარდა და ყველა მათგანი "გამომგზავნი" ველში შეიცავს მისამართებს დომენიდან, რომელიც დაკავშირებულია ფოსტის დაცვის სერვისთან. მაგრამ არის ერთი ნიუანსი: საკმაოდ გონივრული, შესაძლოა უკვე არსებულ, მისამართებს შორის აშკარად უცნაურია. ჩვენ გადავხედეთ IP-ებს, საიდანაც იგზავნებოდა წერილები და, სავსებით მოსალოდნელი იყო, რომ ისინი არ მიეკუთვნებოდნენ დაცულ მისამართთა სივრცეს. ცხადია, თავდამსხმელი აგზავნიდა სპამს მომხმარებლის სახელით.

ამ შემთხვევაში, ჩვენ მივეცით რეკომენდაციები მომხმარებლისთვის, თუ როგორ უნდა დააკონფიგურიროთ DNS ჩანაწერები, კონკრეტულად SPF. ჩვენმა სპეციალისტმა გვირჩია შეგვექმნა TXT ჩანაწერი, რომელიც შეიცავს წესს „v=spf1 mx ip:1.2.3.4/23 -all“, რომელიც შეიცავს მისამართების ამომწურავ ჩამონათვალს, რომლებსაც უფლება აქვთ წერილების გაგზავნა დაცული დომენის სახელით.

სინამდვილეში, რატომ არის ეს მნიშვნელოვანი: უცნობი მცირე კომპანიის სახელით სპამი უსიამოვნოა, მაგრამ არა კრიტიკული. სულ სხვა სიტუაციაა, მაგალითად, საბანკო ინდუსტრიაში. ჩვენი დაკვირვებით, მსხვერპლის ნდობის დონე ფიშინგის ელფოსტაზე ბევრჯერ იზრდება, თუ ის სავარაუდოდ იგზავნება სხვა ბანკის დომენიდან ან მსხვერპლისთვის ცნობილი კონტრაგენტიდან. და ეს განასხვავებს არა მხოლოდ ბანკის თანამშრომლებს, არამედ სხვა ინდუსტრიებში - მაგალითად ენერგეტიკის სექტორში - იგივე ტენდენციას ვაწყდებით.

ვირუსების მოკვლა

მაგრამ გაყალბება არ არის ისეთი გავრცელებული პრობლემა, როგორც, მაგალითად, ვირუსული ინფექციები. როგორ ებრძვით ყველაზე ხშირად ვირუსულ ეპიდემიებს? ისინი აყენებენ ანტივირუსს და იმედოვნებენ, რომ "მტერი არ გაივლის". მაგრამ ყველაფერი ასე მარტივი რომ ყოფილიყო, მაშინ, ანტივირუსების საკმაოდ დაბალი ღირებულების გათვალისწინებით, ყველას დიდი ხნის წინ დაივიწყებდა მავნე პროგრამის პრობლემა. იმავდროულად, ჩვენ მუდმივად ვღებულობთ სერიებიდან მოთხოვნებს „დამეხმარეთ ფაილების აღდგენაში, ჩვენ ყველაფერი დავშიფრეთ, სამუშაო შეჩერებულია, მონაცემები იკარგება“. ჩვენ არასდროს გვბეზრდება იმის გამეორება ჩვენს მომხმარებლებს, რომ ანტივირუსი არ არის პანაცეა. გარდა იმისა, რომ ანტივირუსული მონაცემთა ბაზები შეიძლება საკმარისად სწრაფად არ განახლდეს, ხშირად ვხვდებით მავნე პროგრამას, რომელსაც შეუძლია გვერდის ავლით არა მხოლოდ ანტივირუსები, არამედ ქვიშის ყუთებიც.

სამწუხაროდ, ორგანიზაციების რამდენიმე რიგითმა თანამშრომელმა იცის ფიშინგისა და მავნე ელ.ფოსტის შესახებ და შეუძლია განასხვავოს ისინი ჩვეულებრივი მიმოწერისგან. საშუალოდ, ყოველი მე-7 მომხმარებელი, რომელიც არ გადის რეგულარულ ცნობიერების ამაღლებას, ემორჩილება სოციალურ ინჟინერიას: ხსნის ინფიცირებულ ფაილს ან უგზავნის თავის მონაცემებს თავდამსხმელებს.

მიუხედავად იმისა, რომ თავდასხმების სოციალური ვექტორი, ზოგადად, თანდათან იზრდება, ეს ტენდენცია განსაკუთრებით შესამჩნევი გასულ წელს გახდა. ფიშინგის ელფოსტა სულ უფრო და უფრო ემსგავსებოდა რეგულარულ ფოსტით გაგზავნას აქციების, მომავალი ღონისძიებების შესახებ და ა.შ. აქ შეგვიძლია გავიხსენოთ ფინანსური სექტორის დუმილის თავდასხმა - ბანკის თანამშრომლებმა მიიღეს წერილი, თითქოსდა სარეკლამო კოდით პოპულარულ ინდუსტრიულ კონფერენციაში iFin-ში მონაწილეობისთვის, და მათი პროცენტი, ვინც დამორჩილდა ხრიკს, ძალიან მაღალი იყო, თუმცა, გავიხსენოთ. , საუბარია საბანკო ინდუსტრიაზე - ყველაზე მოწინავე ინფორმაციული უსაფრთხოების საკითხებში.

წინა ახალ წლამდე ჩვენ ასევე დავაკვირდით რამდენიმე საკმაოდ ცნობისმოყვარე სიტუაციას, როდესაც ინდუსტრიული კომპანიების თანამშრომლებმა მიიღეს ძალიან მაღალი ხარისხის ფიშინგ წერილები საახალწლო აქციების "სიით" პოპულარულ ონლაინ მაღაზიებში და ფასდაკლების სარეკლამო კოდებით. თანამშრომლები არა მხოლოდ თავად ცდილობდნენ ბმულის მიყოლას, არამედ წერილი გადაუგზავნეს კოლეგებს დაკავშირებული ორგანიზაციებიდან. მას შემდეგ, რაც რესურსი, რომელსაც მიჰყავდა ფიშინგ ელ.ფოსტის ბმული, დაიბლოკა, თანამშრომლებმა მასობრივად დაიწყეს მოთხოვნის გაგზავნა IT სერვისში, რათა უზრუნველყონ მასზე წვდომა. ზოგადად, გაგზავნის წარმატებამ თავდამსხმელთა ყველა მოლოდინს უნდა გადააჭარბა.

და ახლახან კომპანიამ, რომელიც „დაშიფრული“ იყო, დახმარებისთვის მოგვმართა. ყველაფერი დაიწყო, როდესაც ბუღალტერიის თანამშრომლებმა მიიღეს წერილი, თითქოსდა რუსეთის ფედერაციის ცენტრალური ბანკიდან. ბუღალტერმა დააწკაპუნა წერილში მოცემულ ბმულზე და ჩამოტვირთა WannaMine მაინერი თავის აპარატზე, რომელმაც, ცნობილი WannaCry-ის მსგავსად, გამოიყენა EternalBlue დაუცველობა. ყველაზე საინტერესო ის არის, რომ ანტივირუსების უმეტესობამ შეძლო მისი ხელმოწერების აღმოჩენა 2018 წლის დასაწყისიდან. მაგრამ, ან ანტივირუსი იყო გამორთული, ან მონაცემთა ბაზები არ იყო განახლებული, ან საერთოდ არ იყო - ყოველ შემთხვევაში, მაინერი უკვე კომპიუტერზე იყო და არაფერი უშლიდა ხელს, რომ შემდგომ გავრცელებულიყო ქსელში, იტვირთა სერვერები. CPU და სამუშაო სადგურები 100%-ით.

ამ მომხმარებელმა, რომელმაც მიიღო მოხსენება ჩვენი სასამართლო ექსპერტიზის გუნდისგან, დაინახა, რომ ვირუსმა თავდაპირველად შეაღწია მასში ელექტრონული ფოსტის საშუალებით და წამოიწყო საპილოტე პროექტი ელექტრონული ფოსტის დაცვის სერვისის დასაკავშირებლად. პირველი, რაც ჩვენ დავაყენეთ, იყო ელ.ფოსტის ანტივირუსი. ამავდროულად, მავნე პროგრამების სკანირება მუდმივად ტარდება და ხელმოწერის განახლებები თავდაპირველად ხდებოდა ყოველ საათში, შემდეგ კი მომხმარებელი გადადიოდა დღეში ორჯერ.

ვირუსული ინფექციებისგან სრული დაცვა უნდა იყოს ფენიანი. თუ ვსაუბრობთ ელექტრონული ფოსტით ვირუსების გადაცემაზე, მაშინ აუცილებელია ასეთი ასოების გაფილტვრა შესასვლელში, მომხმარებლების მომზადება სოციალური ინჟინერიის ამოცნობაში და შემდეგ დაეყრდნონ ანტივირუსებს და ქვიშის ყუთებს.

სეგდაში დაცვაზე

რა თქმა უნდა, ჩვენ არ ვამტკიცებთ, რომ Secure Email Gateway გადაწყვეტილებები არის პანაცეა. მიზანმიმართული თავდასხმები, მათ შორის შუბის ფიშინგი, ძალიან რთულია თავიდან აცილება, რადგან... ყოველი ასეთი თავდასხმა „მორგებულია“ კონკრეტულ მიმღებზე (ორგანიზაციაზე ან პიროვნებაზე). მაგრამ კომპანიისთვის, რომელიც ცდილობს უზრუნველყოს უსაფრთხოების საბაზისო დონე, ეს ძალიან ბევრია, განსაკუთრებით სათანადო გამოცდილებითა და გამოცდილებით, რომელიც გამოიყენება ამოცანის შესასრულებლად.

ყველაზე ხშირად, როდესაც შუბის ფიშინგი ხორციელდება, მავნე დანართები არ შედის ასოების სხეულში, წინააღმდეგ შემთხვევაში ანტისპამის სისტემა დაუყოვნებლივ დაბლოკავს ასეთ წერილს მიმღებისკენ მიმავალ გზაზე. მაგრამ ისინი შეიცავს ბმულებს წინასწარ მომზადებულ ვებ-რესურსზე წერილის ტექსტში და შემდეგ ეს პატარა საკითხია. მომხმარებელი მიჰყვება ბმულს და შემდეგ რამდენიმე გადამისამართების შემდეგ რამდენიმე წამში მთავრდება ბოლოზე მთელ ჯაჭვში, რომლის გახსნითაც ჩამოტვირთავს მავნე პროგრამას მის კომპიუტერზე.

კიდევ უფრო დახვეწილი: იმ მომენტში, როდესაც თქვენ მიიღებთ წერილს, ბმული შეიძლება იყოს უვნებელი და მხოლოდ გარკვეული დროის გასვლის შემდეგ, როდესაც ის უკვე დასკანირებული და გამოტოვებული იქნება, ის დაიწყებს გადამისამართებას მავნე პროგრამაზე. სამწუხაროდ, Solar JSOC სპეციალისტები, მათი კომპეტენციების გათვალისწინებითაც კი, ვერ შეძლებენ ფოსტის კარიბჭის კონფიგურაციას ისე, რომ "ნახონ" მავნე პროგრამა მთელი ჯაჭვის საშუალებით (თუმცა, როგორც დაცვა, შეგიძლიათ გამოიყენოთ ყველა ბმულის ავტომატური ჩანაცვლება ასოებით. SEG-ს, რათა ეს უკანასკნელი ასკანირებს ბმულს არა მხოლოდ წერილის მიწოდების დროს, არამედ ყოველი გადასვლისას).

იმავდროულად, ტიპიური გადამისამართებაც კი შეიძლება განიხილებოდეს რამდენიმე სახის ექსპერტიზის გაერთიანებით, მათ შორის ჩვენი JSOC CERT-ისა და OSINT-ის მიერ მიღებული მონაცემების ჩათვლით. ეს საშუალებას გაძლევთ შექმნათ გაფართოებული შავი სიები, რომლებზედაც დაბლოკილი იქნება წერილიც კი, მრავალჯერადი გადაგზავნით.

SEG-ის გამოყენება მხოლოდ პატარა აგურია კედელში, რომელიც ნებისმიერ ორგანიზაციას სურს ააშენოს თავისი აქტივების დასაცავად. მაგრამ ეს ბმული ასევე უნდა იყოს სწორად ინტეგრირებული საერთო სურათში, რადგან SEG-იც კი, სათანადო კონფიგურაციით, შეიძლება გადაიქცეს დაცვის სრულფასოვან საშუალებად.

ქსენია სადუნინა, Solar JSOC-ის პროდუქტებისა და სერვისების ექსპერტის წინასწარი გაყიდვის განყოფილების კონსულტანტი

წყარო: www.habr.com