Повеќе од антиспам: како да го извлечете максимумот од портата за е-пошта за безбедност

Додека големото Enterprise гради ешалонизирани сомнежи од потенцијални внатрешни напаѓачи и хакери, фишингот и спам пораките остануваат главоболка за поедноставните компании. Ако Марти МекФлај знаеше дека во 2015 година (а уште повеќе во 2020 година) луѓето не само што нема да измислуваат ховерборди, туку нема ни да научат целосно да се ослободат од непотребната пошта, веројатно ќе ја изгуби вербата во човештвото. Покрај тоа, спам денес не само што е досаден, туку честопати и штетен. Во приближно 70% од имплементациите на killchain, сајбер-криминалците продираат во инфраструктурата користејќи малициозен софтвер содржан во прилозите или преку фишинг врски во е-пошта.

Неодамна, имаше јасен тренд кон ширење на социјалниот инженеринг како начин да се навлезе во инфраструктурата на една организација. Споредувајќи ги статистиките од 2017 и 2018 година, гледаме речиси 50% зголемување на бројот на случаи кога малициозен софтвер бил доставен до компјутерите на вработените преку прилози или врски за фишинг во телото на е-пошта.

Општо земено, целиот опсег на закани што може да се извршат со користење на е-пошта може да се подели во неколку категории:

• дојдовен спам
• вклучување на компјутерите на организацијата во ботнет кој испраќа појдовен спам
• малициозни прилози и вируси во телото на писмото (малите компании најчесто страдаат од масивни напади како Петја).

За да се заштитите од сите видови напади, можете или да распоредите неколку системи за безбедност на информации или да го следите патот на модел на услуга. Ние веќе кажа за Unified Cybersecurity Services Platform - јадрото на екосистемот за сајбер-безбедност управувани од Solar MSS. Меѓу другото, вклучува виртуелизирана технологија за безбедна порта за е-пошта (SEG). Како по правило, претплата на оваа услуга ја купуваат мали компании во кои сите функции на ИТ и безбедноста на информациите се доделени на едно лице - системскиот администратор. Спам е проблем кој е секогаш видлив за корисниците и раководството и не може да се игнорира. Сепак, со текот на времето, дури и раководството станува јасно дека е невозможно едноставно да се „пушти“ на администраторот на системот - потребно е премногу време.

2 часа за анализа на пошта е малку многу

Еден од трговците ни пријде со слична ситуација. Системите за следење време покажаа дека секој ден неговите вработени трошат околу 25% од своето работно време (2 часа!) на средување на поштенското сандаче.

Откако го поврзавме серверот за пошта на клиентот, го конфигуриравме примерот на SEG како двонасочна порта и за дојдовната и за појдовната пошта. Почнавме да се филтрираме според однапред утврдени политики. Ја составивме црната листа врз основа на анализа на податоците обезбедени од клиентот и нашите сопствени списоци на потенцијално опасни адреси добиени од експертите на Solar JSOC како дел од други услуги - на пример, следење инциденти со безбедноста на информациите. После тоа, целата пошта беше доставена до примателите само по чистењето, а разни спам пораки за „големи попусти“ престанаа да се влеваат во серверите за пошта на клиентите во тони, ослободувајќи простор за други потреби.

Но, имало ситуации кога легитимното писмо било погрешно класифицирано како спам, на пример, дека било примено од недоверлив испраќач. Во овој случај, му дадовме право на одлука на клиентот. Нема многу опции за тоа што да правите: веднаш да го избришете или да го испратите во карантин. Ја избравме втората патека, во која таквата несакана пошта се складира на самиот SEG. На администраторот на системот му обезбедивме пристап до веб-конзолата, во која тој може да најде важно писмо во секое време, на пример, од друга страна и да го проследи до корисникот.

Ослободување од паразити

Услугата за заштита на е-пошта вклучува аналитички извештаи, чија цел е да се следи безбедноста на инфраструктурата и ефективноста на користените поставки. Покрај тоа, овие извештаи ви дозволуваат да ги предвидите трендовите. На пример, во извештајот го наоѓаме соодветниот дел „Спам од примач“ или „Спам од испраќач“ и гледаме чија адреса прима најголем број блокирани пораки.

Нагло зголемениот вкупен број на писма од еден од клиентите ни изгледаше сомнително додека се анализираше таков извештај. Неговата инфраструктура е мала, бројот на букви е мал. И одеднаш, по работен ден, количината на блокиран спам речиси двојно се зголеми. Решивме да погледнеме подетално.

Гледаме дека бројот на појдовни писма е зголемен и сите во полето „Испраќач“ содржат адреси од домен што е поврзан со услугата за заштита на пошта. Но, постои една нијанса: меѓу сосема здрави, можеби дури и постоечки, адреси, има јасно чудни. Ги погледнавме IP-адресите од кои се испраќаат писмата и сосема очекувано се покажа дека тие не припаѓаат на заштитениот адресен простор. Очигледно, напаѓачот испраќал спам во име на клиентот.

Во овој случај, дадовме препораки за клиентот како правилно да ги конфигурира записите на DNS, особено SPF. Нашиот специјалист не советуваше да создадеме TXT запис кој го содржи правилото „v=spf1 mx ip:1.2.3.4/23 -all“, кој содржи исцрпна листа на адреси на кои им е дозволено да испраќаат писма во име на заштитениот домен.

Всушност, зошто е ова важно: спам во име на непозната мала компанија е непријатен, но не и критичен. Сосема поинаква е ситуацијата, на пример, во банкарската индустрија. Според нашите согледувања, нивото на доверба на жртвата во фишинг е-пошта се зголемува многукратно ако наводно е испратена од доменот на друга банка или договорна страна позната на жртвата. И ова ги разликува не само вработените во банката, туку и во другите индустрии - на пример, енергетиката - се соочуваме со истиот тренд.

Убивање вируси

Но, лажирањето не е толку чест проблем како, на пример, вирусните инфекции. Како најчесто се борите со вирусни епидемии? Тие инсталираат антивирус и се надеваат дека „непријателот нема да помине“. Но, ако сè беше толку едноставно, тогаш, со оглед на прилично ниската цена на антивирусите, секој одамна ќе заборавише на проблемот со малициозен софтвер. Во меѓувреме, постојано добиваме барања од серијата „помогнете ни да ги вратиме датотеките, шифриравме сè, работата е закочена, податоците се изгубени“. Никогаш не се заморуваме да им повторуваме на нашите клиенти дека антивирусот не е лек. Покрај фактот дека антивирусните бази на податоци можеби не се ажурираат доволно брзо, често се среќаваме со малициозен софтвер кој може да ги заобиколи не само антивирусите, туку и песочните кутии.

За жал, малку обични вработени во организации се свесни за фишинг и злонамерни е-пошта и можат да ги разликуваат од редовната кореспонденција. Во просек, секој седми корисник кој не е подложен на редовно подигање на свеста подлегнува на социјалниот инженеринг: отворање заразена датотека или испраќање на своите податоци до напаѓачите.

Иако општествениот вектор на напади, генерално, постепено се зголемуваше, овој тренд стана особено забележлив минатата година. Фишинг-мејловите стануваа сè повеќе слични на редовните пораки за промоции, претстојните настани итн. Овде можеме да се потсетиме на нападот Silence на финансискиот сектор - вработените во банката добија писмо наводно со промотивна шифра за учество на популарната конференција за индустрија iFin, а процентот на оние кои подлегнаа на трикот беше многу висок, иако, да се потсетиме , зборуваме за банкарската индустрија - најнапредна во прашањата за безбедноста на информациите.

Пред последната Нова година, забележавме и неколку прилично љубопитни ситуации кога вработените во индустриските компании добиваа многу квалитетни фишинг писма со „список“ на новогодишни промоции во популарните онлајн продавници и со промотивни кодови за попусти. Вработените не само што се обидоа сами да ја следат врската, туку и писмото го проследија до колегите од сродните организации. Бидејќи ресурсот до кој води врската во е-поштата за фишинг беше блокиран, вработените почнаа масовно да поднесуваат барања до ИТ сервисот за да се обезбеди пристап до него. Генерално, успехот на испраќањето мора да ги надмина сите очекувања на напаѓачите.

И неодамна една компанија која беше „шифрирана“ се обрати кај нас за помош. Сè започнало кога вработените во сметководството добиле писмо наводно од Централната банка на Руската Федерација. Сметководителот кликнал на врската во писмото и го симнал рударот WannaMine на неговата машина, која, како и познатата WannaCry, ја искористила ранливоста на EternalBlue. Најинтересно е што повеќето антивируси можеа да ги откријат неговите потписи од почетокот на 2018 година. Но, или антивирусот беше оневозможен, или базите на податоци не беа ажурирани, или воопшто го немаше - во секој случај, рударот веќе беше на компјутерот и ништо не го спречи да се шири понатаму низ мрежата, вчитувајќи ги серверите. Процесорот и работните станици на 100%.

Овој клиент, откако доби извештај од нашиот тим за форензика, виде дека вирусот првично навлезе во него преку е-пошта и започна пилот проект за поврзување на услуга за заштита на е-пошта. Првото нешто што го поставивме беше антивирус за е-пошта. Во исто време, скенирањето за малициозен софтвер се врши постојано, а ажурирањата на потписот првично се вршеа секој час, а потоа клиентот се префрли на два пати на ден.

Целосната заштита од вирусни инфекции мора да биде слоевита. Ако зборуваме за пренос на вируси преку е-пошта, тогаш неопходно е да се филтрираат таквите букви на влезот, да се обучуваат корисниците да препознаат социјален инженеринг, а потоа да се потпрат на антивируси и песочни кутии.

во СЕГда на стража

Се разбира, не тврдиме дека решенијата на Secure Email Gateway се лек. Целните напади, вклучително и фишингот со копје, се исклучително тешки за спречување бидејќи ... Секој таков напад е „прилагоден“ за одреден примател (организација или лице). Но, за компанија која се обидува да обезбеди основно ниво на безбедност, ова е многу, особено со вистинското искуство и експертиза применети на задачата.

Најчесто, кога се врши фишинг со копје, злонамерните прилози не се вклучени во телото на буквите, инаку системот за антиспам веднаш ќе го блокира таквото писмо на патот до примачот. Но, тие вклучуваат линкови до однапред подготвен веб-ресурс во текстот на писмото, и тогаш тоа е мала работа. Корисникот ја следи врската, а потоа по неколку пренасочувања за неколку секунди завршува на последното во целиот синџир, чие отворање ќе преземе малициозен софтвер на неговиот компјутер.

Уште пософистицирано: во моментот кога ќе го добиете писмото, врската може да биде безопасна и само откако ќе помине одредено време, кога веќе е скенирана и прескокната, ќе почне да се пренасочува кон малициозен софтвер. За жал, специјалистите на Solar JSOC, дури и земајќи ги предвид нивните компетенции, нема да можат да ја конфигурираат порта за пошта за да „видат“ малициозен софтвер низ целиот синџир (иако, како заштита, можете да ја користите автоматската замена на сите врски со букви до SEG, така што вториот ја скенира врската не само во моментот на доставување на писмото, и при секоја транзиција).

Во меѓувреме, дури и со типично пренасочување може да се справи со собирање на неколку видови експертиза, вклучувајќи ги и податоците добиени од нашите JSOC CERT и OSINT. Ова ви овозможува да креирате проширени црни листи, врз основа на кои дури и писмо со повеќекратно препраќање ќе биде блокирано.

Користењето на SEG е само мала тула во ѕидот што секоја организација сака да ја изгради за да ги заштити своите средства. Но, оваа врска исто така треба правилно да се интегрира во целокупната слика, бидејќи дури и SEG, со соодветна конфигурација, може да се претвори во полноправно средство за заштита.

Ксенија Садунина, консултант на стручниот оддел за претпродажба на производи и услуги на Solar JSOC

Извор: www.habr.com