스팸 방지 그 이상: Security Email Gateway를 최대한 활용하는 방법

대기업이 잠재적인 내부 공격자와 해커로부터 계층화된 보루를 구축하는 동안 피싱 및 스팸 메일은 단순한 회사의 골칫거리로 남아 있습니다. Marty McFly가 2015년(2020년에는 더욱 그러함)에 사람들이 호버보드를 발명하지 못할 뿐만 아니라 정크 메일을 완전히 제거하는 방법도 배우지 못할 것이라는 사실을 안다면 그는 아마도 인류에 대한 믿음을 잃을 것입니다. 더욱이 오늘날 스팸은 짜증스러울 뿐만 아니라 해를 끼치는 경우가 많습니다. 킬체인 구현의 약 70%에서 사이버 범죄자는 첨부 파일에 포함된 악성 코드나 이메일의 피싱 링크를 통해 인프라에 침투합니다.

최근에는 조직의 인프라에 침투하는 방법으로 소셜 엔지니어링이 확산되는 분명한 추세가 있습니다. 2017년과 2018년의 통계를 비교해 보면, 첨부 파일이나 이메일 본문의 피싱 링크를 통해 직원 컴퓨터에 악성 코드가 전달된 사례 수가 거의 50% 증가한 것으로 나타났습니다.

일반적으로 이메일을 사용하여 수행할 수 있는 위협의 전체 범위는 여러 범주로 나눌 수 있습니다.

• 스팸 수신
• 스팸을 보내는 봇넷에 조직의 컴퓨터를 포함시키는 행위
• 편지 본문에 악성 첨부 파일 및 바이러스가 포함되어 있습니다(소규모 회사는 Petya와 같은 대규모 공격에 가장 자주 어려움을 겪습니다).

모든 유형의 공격으로부터 보호하려면 여러 정보 보안 시스템을 배포하거나 서비스 모델 경로를 따를 수 있습니다. 우리는 이미 말한 Solar MSS 관리형 사이버 보안 서비스 생태계의 핵심인 통합 사이버 보안 서비스 플랫폼에 대해 설명합니다. 무엇보다도 가상화된 SEG(Secure Email Gateway) 기술이 포함되어 있습니다. 일반적으로 이 서비스에 대한 구독은 모든 IT 및 정보 보안 기능이 시스템 관리자 한 사람에게 할당되는 소규모 회사에서 구매합니다. 스팸은 사용자와 관리자가 항상 볼 수 있는 문제이므로 무시할 수 없습니다. 그러나 시간이 지남에 따라 시스템 관리자에게 단순히 "삭제"하는 것이 불가능하다는 것이 경영진조차도 분명해졌습니다. 시간이 너무 많이 걸립니다.

메일을 분석하는 데 2시간은 좀 깁니다.

소매업체 중 한 곳도 비슷한 상황으로 우리에게 접근했습니다. 시간 추적 시스템에 따르면 그의 직원은 매일 근무 시간의 약 25%(2시간!)를 우편함 정리에 소비했습니다.

고객의 메일 서버를 연결한 후 SEG 인스턴스를 수신 및 발신 메일 모두에 대한 양방향 게이트웨이로 구성했습니다. 사전 설정된 정책에 따라 필터링을 시작했습니다. 우리는 고객이 제공한 데이터 분석과 Solar JSOC 전문가가 다른 서비스(예: 정보 보안 사고 모니터링)의 일부로 얻은 잠재적으로 위험한 주소 목록을 기반으로 블랙리스트를 작성했습니다. 그 후 모든 메일은 청소 후에야 수신자에게 배달되었으며, '대할인'에 대한 다양한 스팸 메일이 고객의 메일 서버에 쏟아져 들어오는 것을 중단하여 다른 요구 사항을 위한 공간을 확보했습니다.

그러나 합법적인 편지가 신뢰할 수 없는 발신자로부터 수신된 것처럼 실수로 스팸으로 분류되는 상황이 있었습니다. 이 경우 당사는 고객에게 결정권을 부여했습니다. 수행할 작업에 대한 옵션은 많지 않습니다. 즉시 삭제하거나 격리소로 보냅니다. 우리는 이러한 정크 메일이 SEG 자체에 저장되는 두 번째 경로를 선택했습니다. 우리는 시스템 관리자에게 웹 콘솔에 대한 액세스 권한을 제공했습니다. 이를 통해 언제든지 상대방으로부터 중요한 편지를 찾아 사용자에게 전달할 수 있었습니다.

기생충 제거

이메일 보호 서비스에는 분석 보고서가 포함되어 있으며, 그 목적은 인프라 보안과 사용된 설정의 효율성을 모니터링하는 것입니다. 또한 이러한 보고서를 통해 추세를 예측할 수 있습니다. 예를 들어 보고서에서 "수신자별 스팸" 또는 "발신자별 스팸" 섹션을 찾아 차단된 메시지를 가장 많이 받은 주소의 주소를 살펴봅니다.

그러한 보고서를 분석하는 동안 고객 중 한 사람이 보낸 편지의 총량이 급격히 증가한 것이 우리에게 의심스러워 보였습니다. 인프라가 작고 문자 수가 적습니다. 그리고 근무일을 마치고 갑자기 차단된 스팸의 양이 거의 두 배로 늘어났습니다. 우리는 자세히 살펴보기로 결정했습니다.

보내는 편지의 수가 증가했으며 "발신자" 필드의 모든 편지에는 메일 보호 서비스에 연결된 도메인의 주소가 포함되어 있음을 알 수 있습니다. 그러나 한 가지 뉘앙스가 있습니다. 상당히 정상적인 주소, 심지어 기존 주소 중에도 분명히 이상한 주소가 있습니다. 우리는 편지가 전송된 IP를 살펴본 결과 예상대로 해당 IP가 보호된 주소 공간에 속하지 않는 것으로 나타났습니다. 분명히 공격자는 고객을 대신하여 스팸을 보내고 있었습니다.

이 경우 DNS 레코드, 특히 SPF를 올바르게 구성하는 방법에 대해 고객에게 권장 사항을 제시했습니다. 우리 전문가는 보호된 도메인을 대신하여 편지를 보낼 수 있는 전체 주소 목록이 포함된 "v=spf1 mx ip:1.2.3.4/23 -all" 규칙을 포함하는 TXT 레코드를 생성하라고 조언했습니다.

실제로 이것이 중요한 이유: 알려지지 않은 소규모 회사를 대신하여 스팸을 보내는 것은 불쾌하지만 치명적이지는 않습니다. 예를 들어 은행 업계에서는 상황이 완전히 다릅니다. 우리의 관찰에 따르면 피싱 이메일에 대한 피해자의 신뢰 수준은 해당 이메일이 다른 은행의 도메인이나 피해자가 알고 있는 상대방의 도메인에서 전송된 경우보다 몇 배나 증가합니다. 이는 은행 직원뿐만 아니라 다른 산업(예: 에너지 부문)에서도 동일한 추세에 직면해 있습니다.

바이러스 죽이기

그러나 스푸핑은 예를 들어 바이러스 감염만큼 일반적인 문제는 아닙니다. 바이러스 전염병에 가장 자주 어떻게 대처합니까? 그들은 바이러스 백신을 설치하고 "적이 통과하지 못하기"를 바랍니다. 그러나 모든 것이 너무 간단하다면 바이러스 백신 비용이 상당히 저렴하기 때문에 모든 사람이 오래 전에 맬웨어 문제를 잊어 버렸을 것입니다. 그 사이에 우리는 시리즈로부터 "파일 복원을 도와주세요. 모든 것을 암호화했습니다. 작업이 중단되고 데이터가 손실되었습니다"라는 요청을 지속적으로 받습니다. 우리는 바이러스 백신이 만병통치약이 아니라는 점을 고객에게 끊임없이 반복합니다. 안티 바이러스 데이터베이스가 충분히 빠르게 업데이트되지 않을 수 있다는 사실 외에도 안티 바이러스뿐만 아니라 샌드박스도 우회할 수 있는 악성 코드가 종종 발생합니다.

안타깝게도 조직의 일반 직원 중 피싱 및 악성 이메일을 인지하고 이를 일반 서신과 구별할 수 있는 사람은 거의 없습니다. 평균적으로 정기적인 인식 제고를 거치지 않은 7번째 사용자는 사회 공학에 굴복합니다. 즉, 감염된 파일을 열거나 공격자에게 데이터를 보내는 것입니다.

일반적으로 공격의 사회적 벡터는 점차 증가하고 있지만 이러한 추세는 작년에 특히 두드러졌습니다. 피싱 이메일은 프로모션, 예정된 이벤트 등에 대한 일반 메일링과 점점 더 유사해지고 있습니다. 여기에서 우리는 금융 부문에 대한 침묵 공격을 기억할 수 있습니다. 은행 직원은 인기 있는 업계 컨퍼런스 iFin에 참여하기 위한 프로모션 코드가 포함된 편지를 받았고 트릭에 굴복한 사람들의 비율은 매우 높았습니다. , 우리는 정보 보안 문제에서 가장 발전된 은행 산업에 대해 이야기하고 있습니다.

지난 새해 이전에 우리는 산업 회사의 직원들이 인기 있는 온라인 상점의 새해 프로모션 "목록"과 할인 프로모션 코드가 포함된 매우 고품질의 피싱 편지를 받았던 다소 흥미로운 상황을 관찰했습니다. 직원들은 스스로 링크를 따라가려고 했을 뿐 아니라 관련 기관 동료들에게도 편지를 전달하기도 했다. 피싱 이메일의 링크가 연결된 리소스가 차단되자 직원들은 IT 서비스에 이에 대한 액세스 권한을 일괄적으로 요청하기 시작했습니다. 일반적으로 메일링의 성공은 공격자의 모든 기대를 뛰어넘었습니다.

그리고 최근에는 "암호화"된 회사가 우리에게 도움을 요청했습니다. 회계 직원이 러시아 중앙 은행으로부터 편지를 받았을 때 모든 것이 시작되었습니다. 회계사는 편지에 있는 링크를 클릭하고 유명한 WannaCry와 마찬가지로 EternalBlue 취약점을 악용한 WannaMine 채굴기를 자신의 컴퓨터에 다운로드했습니다. 가장 흥미로운 점은 2018년 초부터 대부분의 바이러스 백신이 서명을 탐지할 수 있다는 것입니다. 그러나 바이러스 백신이 비활성화되었거나 데이터베이스가 업데이트되지 않았거나 전혀 없었습니다. 어쨌든 광부는 이미 컴퓨터에 있었고 네트워크를 통해 더 이상 확산되어 서버를 로드하는 것을 막는 것은 아무것도 없었습니다. CPU 및 워크스테이션이 100%입니다.

당사 포렌식 팀으로부터 보고서를 받은 이 고객은 바이러스가 처음에 이메일을 통해 자신에게 침투했다는 것을 확인하고 이메일 보호 서비스를 연결하는 파일럿 프로젝트를 시작했습니다. 우리가 가장 먼저 설정한 것은 이메일 바이러스 백신이었습니다. 동시에 악성코드 검사도 지속적으로 진행되며 시그니처 업데이트는 처음에는 XNUMX시간 간격으로 진행되다가 이후 하루 XNUMX회로 전환됐다.

바이러스 감염에 대한 완전한 보호는 계층화되어야 합니다. 이메일을 통한 바이러스 전파에 대해 이야기하려면 입구에서 이러한 문자를 필터링하고 사용자에게 사회 공학을 인식하도록 교육한 다음 바이러스 백신 및 샌드박스에 의존해야 합니다.

SEGda에서 경비 중

물론, 우리는 Secure Email Gateway 솔루션이 만병통치약이라고 주장하지 않습니다. 스피어 피싱을 포함한 표적 공격은 예방하기가 매우 어렵습니다. 이러한 각 공격은 특정 수신자(조직 또는 개인)에 맞게 "맞춤화"됩니다. 그러나 기본적인 수준의 보안을 제공하려는 회사의 경우 특히 해당 작업에 적합한 경험과 전문 지식이 적용되면 이는 많은 일입니다.

대부분의 경우 스피어 피싱을 수행할 때 악성 첨부 파일이 편지 본문에 포함되지 않습니다. 그렇지 않으면 안티스팸 시스템이 해당 편지를 수신자에게 전달하는 과정에서 즉시 차단합니다. 그러나 편지 본문에는 미리 준비된 웹 리소스에 대한 링크가 포함되어 있으며 이는 사소한 문제입니다. 사용자는 링크를 따라간 다음 몇 초 만에 여러 번의 리디렉션 후에 전체 체인의 마지막 링크에 도달하게 되며 링크를 열면 컴퓨터에 악성 코드가 다운로드됩니다.

훨씬 더 정교합니다. 편지를 받는 순간 링크는 무해할 수 있으며 일정 시간이 지난 후에야 이미 검사하고 건너뛴 후에야 악성 코드로 리디렉션되기 시작합니다. 불행히도 Solar JSOC 전문가는 자신의 역량을 고려하더라도 전체 체인을 통해 맬웨어를 "볼" 수 있도록 메일 게이트웨이를 구성할 수 없습니다(단, 보호를 위해 모든 링크를 문자로 자동 교체하는 기능을 사용할 수 있음). SEG로 보내면 후자가 편지 전달 시뿐만 아니라 각 전환 시에도 링크를 스캔합니다.

한편, 일반적인 리디렉션도 JSOC CERT 및 OSINT에서 얻은 데이터를 포함하여 여러 유형의 전문 지식을 종합하여 처리할 수 있습니다. 이를 통해 여러 번 전달되는 편지도 차단되는 확장된 블랙리스트를 만들 수 있습니다.

SEG를 사용하는 것은 모든 조직이 자산을 보호하기 위해 만들고 싶어하는 작은 벽에 불과합니다. 그러나 이 링크는 전체 그림에 올바르게 통합되어야 합니다. 왜냐하면 적절한 구성을 사용하면 SEG도 완전한 보호 수단으로 전환될 수 있기 때문입니다.

Ksenia Sadunina, Solar JSOC 제품 및 서비스 전문 사전 판매 부서 컨설턴트

출처 : habr.com