एन्टिस्प्याम भन्दा बढि: कसरी सुरक्षा इमेल गेटवेबाट धेरै भन्दा धेरै प्राप्त गर्ने

ठूला इन्टरप्राइजले सम्भावित आन्तरिक आक्रमणकारीहरू र ह्याकरहरूबाट echeloned redoubts निर्माण गरिरहेको बेला, फिसिङ र स्प्याम मेलिङहरू सरल कम्पनीहरूका लागि टाउको दुखाइ बनेको छ। यदि मार्टी McFly लाई थाहा थियो कि 2015 मा (र अझ बढि 2020 मा) मानिसहरूले होभरबोर्ड आविष्कार मात्र गर्दैनन्, तर जंक मेलबाट पूर्ण रूपमा छुटकारा पाउन पनि सिक्ने छैनन्, उसले मानवतामा विश्वास गुमाउनेछ। यसबाहेक, स्प्याम आज कष्टप्रद मात्र होइन, तर अक्सर हानिकारक छ। किलचेन कार्यान्वयनको लगभग 70% मा, साइबर अपराधीहरूले संलग्नकहरूमा वा इमेलहरूमा फिसिङ लिङ्कहरू मार्फत मालवेयर प्रयोग गरेर पूर्वाधारमा प्रवेश गर्छन्।

हालसालै, संगठनको पूर्वाधारमा प्रवेश गर्ने तरिकाको रूपमा सामाजिक ईन्जिनियरिङ्को प्रसारको दिशामा स्पष्ट प्रवृत्ति भएको छ। 2017 र 2018 को तथ्याङ्कहरू तुलना गर्दा, हामी इमेलको मुख्य भागमा संलग्नकहरू वा फिसिङ लिङ्कहरू मार्फत कर्मचारी कम्प्युटरहरूमा मालवेयर डेलिभर गरिएका केसहरूको संख्यामा लगभग 50% वृद्धि देख्छौं।

सामान्यतया, इमेल प्रयोग गरेर गर्न सकिने खतराहरूको सम्पूर्ण दायरालाई धेरै कोटिहरूमा विभाजन गर्न सकिन्छ:

• आगमन स्प्याम
• आउटगोइंग स्प्याम पठाउने बोटनेटमा संगठनको कम्प्युटरहरू समावेश गर्ने
• पत्रको शरीरमा दुर्भावनापूर्ण संलग्नकहरू र भाइरसहरू (साना कम्पनीहरू प्रायः पेटिया जस्ता ठूलो आक्रमणबाट ग्रस्त हुन्छन्)।

सबै प्रकारका आक्रमणहरूबाट जोगाउन, तपाइँ या त धेरै सूचना सुरक्षा प्रणालीहरू प्रयोग गर्न सक्नुहुन्छ, वा सेवा मोडेलको मार्ग अनुसरण गर्न सक्नुहुन्छ। हामीले पहिले नै भन्यो एकीकृत साइबरसुरक्षा सेवाहरू प्लेटफर्मको बारेमा - सौर्य MSS व्यवस्थित साइबरसुरक्षा सेवाहरू इकोसिस्टमको मूल। अन्य चीजहरू मध्ये, यसले भर्चुअलाइज्ड सेक्योर इमेल गेटवे (SEG) प्रविधि समावेश गर्दछ। नियमको रूपमा, यो सेवाको सदस्यता साना कम्पनीहरू द्वारा खरिद गरिएको छ जसमा सबै आईटी र सूचना सुरक्षा कार्यहरू एक व्यक्तिलाई तोकिएको छ - प्रणाली प्रशासक। स्प्याम एक समस्या हो जुन सधैँ प्रयोगकर्ता र व्यवस्थापनमा देखिने हुन्छ, र यसलाई बेवास्ता गर्न सकिँदैन। यद्यपि, समयको साथ, व्यवस्थापन पनि स्पष्ट हुन्छ कि यो प्रणाली प्रशासकलाई "ड्रप" गर्न असम्भव छ - यसले धेरै समय लिन्छ।

मेल पार्स गर्न 2 घण्टा अलि धेरै छ

एकजना खुद्रा विक्रेताले हामीसँग यस्तै अवस्था लिएर आए। समय ट्र्याकिङ सिस्टमले देखाएको छ कि हरेक दिन उनका कर्मचारीहरूले आफ्नो कामको समयको लगभग 25% (2 घण्टा!) मेलबक्स क्रमबद्ध गर्न खर्च गरे।

ग्राहकको मेल सर्भर जडान गरिसकेपछि, हामीले SEG दृष्टान्तलाई आगमन र बाहिर जाने दुवै मेलका लागि दुई-तर्फी गेटवेको रूपमा कन्फिगर गर्यौं। हामीले पूर्व-स्थापित नीतिहरू अनुसार फिल्टर गर्न थाल्यौं। हामीले ग्राहकले उपलब्ध गराएको डाटाको विश्लेषण र सौर्य JSOC विशेषज्ञहरूले अन्य सेवाहरूको भागको रूपमा प्राप्त गरेका सम्भावित खतरनाक ठेगानाहरूको आफ्नै सूचीको आधारमा ब्ल्याकलिस्ट कम्पाइल गर्यौं - उदाहरणका लागि, सूचना सुरक्षा घटनाहरूको निगरानी। त्यस पछि, सबै मेलहरू सफा गरेपछि मात्र प्रापकहरूलाई डेलिभर गरियो, र "ठूलो छुटहरू" बारे विभिन्न स्प्याम मेलहरू ग्राहकको मेल सर्भरहरूमा टन्नमा खन्याउन रोकियो, अन्य आवश्यकताहरूको लागि ठाउँ खाली गर्दै।

तर त्यहाँ परिस्थितिहरू छन् जब वैध पत्र गलत रूपमा स्प्यामको रूपमा वर्गीकृत गरिएको थियो, उदाहरणका लागि, अविश्वसनीय प्रेषकबाट प्राप्त भएको रूपमा। यस अवस्थामा, हामीले ग्राहकलाई निर्णय गर्ने अधिकार दियौं। त्यहाँ के गर्ने भन्ने धेरै विकल्पहरू छैनन्: यसलाई तुरुन्तै मेटाउनुहोस् वा क्वारेन्टाइनमा पठाउनुहोस्। हामीले दोस्रो मार्ग रोज्यौं, जसमा यस्तो जंक मेल SEG मा भण्डारण गरिएको छ। हामीले प्रणाली प्रशासकलाई वेब कन्सोलमा पहुँच प्रदान गर्‍यौं, जसमा उसले कुनै पनि समयमा महत्त्वपूर्ण पत्र फेला पार्न सक्छ, उदाहरणका लागि, प्रतिपक्षबाट, र यसलाई प्रयोगकर्तालाई फर्वार्ड गर्नुहोस्।

परजीवीहरूबाट छुटकारा पाउन

इमेल सुरक्षा सेवाले विश्लेषणात्मक रिपोर्टहरू समावेश गर्दछ, जसको उद्देश्य पूर्वाधारको सुरक्षा र प्रयोग गरिएका सेटिङहरूको प्रभावकारिताको निगरानी गर्नु हो। थप रूपमा, यी रिपोर्टहरूले तपाईंलाई प्रवृत्तिहरू भविष्यवाणी गर्न अनुमति दिन्छ। उदाहरणका लागि, हामीले रिपोर्टमा सम्बन्धित खण्ड "प्रापकद्वारा स्पाम" वा "प्रेषकद्वारा स्प्याम" फेला पार्छौं र ब्लक गरिएका सन्देशहरूको सबैभन्दा ठूलो संख्या कसको ठेगानाले प्राप्त गर्छ भनेर हेर्छौं।

यस्तो प्रतिवेदनलाई विश्लेषण गर्दा एकजना ग्राहकको कुल संख्यामा तिब्र रुपमा वृद्धि भएको हामीलाई शंकास्पद देखिन्थ्यो । यसको पूर्वाधार सानो छ, अक्षर संख्या कम छ। र अचानक, एक कार्य दिन पछि, अवरुद्ध स्प्याम को मात्रा लगभग दोब्बर भयो। हामीले नजिकबाट हेर्ने निर्णय गर्यौं।

हामी देख्छौं कि बाहिर जाने अक्षरहरूको संख्या बढेको छ, र ती सबै "प्रेषक" फिल्डमा मेल सुरक्षा सेवामा जडान भएको डोमेनबाट ठेगानाहरू समावेश गर्दछ। तर त्यहाँ एउटा सूक्ष्मता छ: धेरै समझदार, सायद अवस्थित, ठेगानाहरू बीच, त्यहाँ स्पष्ट रूपमा अनौठो छन्। हामीले आईपीहरू हेर्यौं जसबाट पत्रहरू पठाइएका थिए, र, धेरै अपेक्षित रूपमा, यो पत्ता लाग्यो कि तिनीहरू सुरक्षित ठेगाना ठाउँसँग सम्बन्धित छैनन्। स्पष्ट रूपमा, आक्रमणकारीले ग्राहकको तर्फबाट स्प्याम पठाउँदै थिए।

यस अवस्थामा, हामीले ग्राहकका लागि DNS रेकर्डहरू, विशेष गरी SPF कसरी सही रूपमा कन्फिगर गर्ने भनेर सिफारिसहरू गर्यौं। हाम्रो विशेषज्ञले हामीलाई "v=spf1 mx ip:1.2.3.4/23 -all" नियम समावेश भएको TXT रेकर्ड सिर्जना गर्न सल्लाह दिनुभयो, जसमा संरक्षित डोमेनको तर्फबाट पत्रहरू पठाउन अनुमति दिइएको ठेगानाहरूको विस्तृत सूची समावेश छ।

वास्तवमा, यो किन महत्त्वपूर्ण छ: अज्ञात सानो कम्पनीको तर्फबाट स्पाम अप्रिय छ, तर महत्वपूर्ण छैन। स्थिति बिल्कुल फरक छ, उदाहरणका लागि, बैंकिङ उद्योग मा। हाम्रा अवलोकनहरूका अनुसार, फिसिङ इमेलमा पीडितको विश्वासको स्तर धेरै गुणा बढ्छ यदि यो कथित रूपमा अर्को बैंक वा पीडितलाई चिनेको काउन्टरपार्टीको डोमेनबाट पठाइएको हो। र यसले बैंकका कर्मचारीहरूलाई मात्र फरक पार्दैन - उदाहरणका लागि, ऊर्जा - हामी समान प्रवृत्तिको सामना गरिरहेका छौं।

भाइरस मार्दै

तर स्पूफिङ एक सामान्य समस्या होइन, उदाहरणका लागि, भाइरल संक्रमण। तपाई प्रायः भाइरल महामारीसँग कसरी लड्नुहुन्छ? तिनीहरू एक एन्टिभाइरस स्थापना गर्छन् र आशा गर्छन् कि "शत्रुले पार गर्नेछैन।" तर यदि सबै कुरा यति सरल थियो भने, एन्टिभाइरसको एकदम कम लागत दिएर, सबैले धेरै पहिले मालवेयरको समस्या बिर्सिसकेका थिए। यस बीचमा, हामी निरन्तर श्रृंखलाबाट अनुरोधहरू प्राप्त गर्छौं "फाइलहरू पुनर्स्थापना गर्न मद्दत गर्नुहोस्, हामीले सबै कुरा इन्क्रिप्ट गरेका छौं, काम रोकिएको छ, डाटा हराएको छ।" हामी हाम्रा ग्राहकहरूलाई एन्टिभाइरस एक रामबाण औषधि होइन भनेर दोहोर्याउन कहिल्यै थाक्दैनौं। एन्टिभाइरस डाटाबेसहरू द्रुत रूपमा अद्यावधिक नहुन सक्छ भन्ने तथ्यको अतिरिक्त, हामीले प्रायः मालवेयरको सामना गर्छौं जसले एन्टि-भाइरसहरूलाई मात्र नभई स्यान्डबक्सहरू पनि बाइपास गर्न सक्छ।

दुर्भाग्यवश, संस्थाका केही सामान्य कर्मचारीहरू फिसिङ र खराब इमेलहरू बारे सचेत छन् र तिनीहरूलाई नियमित पत्राचारबाट छुट्याउन सक्षम छन्। औसतमा, प्रत्येक 7 औं प्रयोगकर्ता जसले नियमित जागरूकता बढाउँदैनन् सामाजिक ईन्जिनियरिङ्को लागि झुण्डिन्छन्: संक्रमित फाइल खोल्ने वा आक्रमणकारीहरूलाई उनीहरूको डाटा पठाउने।

यद्यपि आक्रमणको सामाजिक भेक्टर, सामान्यतया, बिस्तारै बढ्दै गएको छ, यो प्रवृत्ति गत वर्ष विशेष गरी उल्लेखनीय भएको छ। फिसिङ इमेलहरू प्रमोशनहरू, आगामी कार्यक्रमहरू, इत्यादि बारे नियमित मेलिङहरू जस्तै बढ्दै गएका थिए। यहाँ हामी वित्तीय क्षेत्र मा मौन हमला सम्झन सक्छौं - बैंक कर्मचारीहरूले कथित रूपमा लोकप्रिय उद्योग सम्मेलन iFin मा भाग लिनको लागि प्रमोशनल कोडको साथ एउटा पत्र प्राप्त गरे, र चालमा झुण्डिएकाहरूको प्रतिशत धेरै उच्च थियो, यद्यपि, हामीलाई सम्झनुहोस्। , हामी बैंकिङ उद्योग बारे कुरा गर्दैछौं - सूचना सुरक्षा मामिलामा सबैभन्दा उन्नत।

पछिल्लो नयाँ वर्ष अघि, हामीले धेरै रोचक परिस्थितिहरू पनि अवलोकन गर्यौं जब औद्योगिक कम्पनीका कर्मचारीहरूले लोकप्रिय अनलाइन स्टोरहरूमा नयाँ वर्षको प्रमोशनहरूको "सूची" र छुटहरूको लागि प्रवर्धनात्मक कोडहरू सहित धेरै उच्च-गुणस्तरको फिसिङ पत्रहरू प्राप्त गरे। कर्मचारीहरूले लिङ्कलाई आफैं फलो गर्ने प्रयास मात्र गरेनन्, तर सम्बन्धित संस्थाका सहकर्मीहरूलाई पनि पत्र पठाए। फिसिङ इमेलमा रहेको लिङ्क ब्लक भएको कारणले, कर्मचारीहरूले यसलाई पहुँच प्रदान गर्न आईटी सेवामा अनुरोधहरू पेश गर्न सामूहिक रूपमा सुरु गरे। सामान्यतया, मेलिङको सफलताले आक्रमणकारीहरूको सबै अपेक्षाहरू पार गरेको हुनुपर्छ।

र भर्खरै एउटा कम्पनी जुन "इन्क्रिप्टेड" थियो मद्दतको लागि हामीलाई फर्कियो। यो सबै सुरु भयो जब लेखा कर्मचारीहरूले रूसी संघको केन्द्रीय बैंकबाट कथित पत्र प्राप्त गरे। लेखापालले पत्रको लिङ्कमा क्लिक गर्यो र WannaMine माइनरलाई आफ्नो मेसिनमा डाउनलोड गर्यो, जसले प्रसिद्ध WannaCry जस्तै, EternalBlue जोखिमको शोषण गर्यो। सबैभन्दा चाखलाग्दो कुरा यो हो कि धेरैजसो एन्टिभाइरसहरूले 2018 को सुरुदेखि नै यसको हस्ताक्षर पत्ता लगाउन सक्षम भएका छन्। तर, या त एन्टिभाइरस असक्षम गरिएको थियो, वा डाटाबेसहरू अद्यावधिक गरिएको थिएन, वा यो त्यहाँ थिएन - कुनै पनि अवस्थामा, माइनर पहिले नै कम्प्युटरमा थियो, र कुनै पनि कुराले यसलाई नेटवर्कमा थप फैलिनबाट रोकेन, सर्भरहरू लोड गर्दै। CPU र वर्कस्टेशनहरू 100% मा।

यो ग्राहकले हाम्रो फोरेन्सिक टोलीबाट रिपोर्ट प्राप्त गरिसकेपछि, भाइरसले सुरुमा इमेल मार्फत उसमा प्रवेश गरेको देख्यो, र इमेल सुरक्षा सेवा जडान गर्नको लागि एउटा पायलट परियोजना सुरु गर्यो। हामीले सेटअप गरेको पहिलो कुरा एउटा इमेल एन्टिभाइरस थियो। एकै समयमा, मालवेयरको लागि स्क्यानिङ लगातार गरिन्छ, र हस्ताक्षर अद्यावधिकहरू सुरुमा प्रत्येक घण्टामा गरिन्छ, र त्यसपछि ग्राहक दिनमा दुई पटक स्विच गरियो।

भाइरल संक्रमण विरुद्ध पूर्ण सुरक्षा तहमा हुनुपर्छ। यदि हामी इमेल मार्फत भाइरसको प्रसारणको बारेमा कुरा गर्छौं भने, त्यस्ता अक्षरहरू प्रवेशद्वारमा फिल्टर गर्न आवश्यक छ, प्रयोगकर्ताहरूलाई सामाजिक इन्जिनियरिङ पहिचान गर्न तालिम दिनुहोस्, र त्यसपछि एन्टिभाइरस र स्यान्डबक्सहरूमा भरोसा गर्नुहोस्।

SEGda मा गार्ड मा

निस्सन्देह, हामी सुरक्षित इमेल गेटवे समाधानहरू एक रामबाण हो भनेर दावी गर्दैनौं। भाला फिसिङ सहित लक्षित आक्रमणहरू रोक्न अत्यन्तै गाह्रो हुन्छ किनभने... प्रत्येक यस्तो आक्रमण एक विशिष्ट प्राप्तकर्ता (संगठन वा व्यक्ति) को लागी "अनुकूल" छ। तर सुरक्षाको आधारभूत स्तर प्रदान गर्न कोशिस गर्ने कम्पनीको लागि, यो धेरै हो, विशेष गरी सही अनुभव र कार्यमा लागू गरिएको विशेषज्ञताको साथ।

प्रायजसो, जब भाला फिसिङ गरिन्छ, खराब संलग्नकहरू अक्षरहरूको मुख्य भागमा समावेश हुँदैनन्, अन्यथा एन्टिस्प्याम प्रणालीले प्राप्तकर्तालाई आफ्नो बाटोमा यस्तो पत्र तुरुन्तै ब्लक गर्नेछ। तर तिनीहरूले पत्रको पाठमा पूर्व-तयार वेब स्रोतको लिङ्कहरू समावेश गर्दछ, र त्यसपछि यो सानो कुरा हो। प्रयोगकर्ताले लिङ्क पछ्याउनुहोस्, र त्यसपछि केही सेकेन्डमा धेरै रिडिरेक्टहरू पछि सम्पूर्ण चेनमा अन्तिममा समाप्त हुन्छ, जसको उद्घाटनले उसको कम्प्युटरमा मालवेयर डाउनलोड गर्नेछ।

अझ परिष्कृत: तपाईले पत्र प्राप्त गर्ने क्षणमा, लिङ्क हानिरहित हुन सक्छ र केहि समय बितिसकेको छ, जब यो पहिले नै स्क्यान गरिएको छ र छोडिएको छ, यसले मालवेयरमा रिडिरेक्ट गर्न सुरु गर्नेछ। दुर्भाग्यवश, सौर्य JSOC विशेषज्ञहरू, तिनीहरूको दक्षतालाई ध्यानमा राख्दै, मेल गेटवे कन्फिगर गर्न सक्षम हुनेछैनन् ताकि सम्पूर्ण चेन मार्फत मालवेयर "हेर्नुहोस्" (यद्यपि, सुरक्षाको रूपमा, तपाइँ अक्षरहरूमा सबै लिङ्कहरूको स्वचालित प्रतिस्थापन प्रयोग गर्न सक्नुहुन्छ। SEG मा, ताकि पछिल्लोले पत्रको डेलिभरीको समयमा मात्र होइन, र प्रत्येक संक्रमणमा लिङ्क स्क्यान गर्दछ)।

यस बीचमा, हाम्रो JSOC CERT र OSINT द्वारा प्राप्त डाटा सहित विभिन्न प्रकारका विशेषज्ञताहरूको सङ्कलनद्वारा पनि एक सामान्य रिडिरेक्टलाई व्यवहार गर्न सकिन्छ। यसले तपाईंलाई विस्तारित कालोसूचीहरू सिर्जना गर्न अनुमति दिन्छ, जसको आधारमा बहु फर्वार्डिङ भएको पत्र पनि अवरुद्ध हुनेछ।

SEG प्रयोग गर्नु पर्खालमा एउटा सानो इट्टा मात्र हो जुन कुनै पनि संस्थाले आफ्नो सम्पत्तिको सुरक्षा गर्न निर्माण गर्न चाहन्छ। तर यो लिङ्क पनि समग्र चित्रमा सही रूपमा एकीकृत गर्न आवश्यक छ, किनभने SEG, उचित कन्फिगरेसनको साथ, सुरक्षाको पूर्ण माध्यममा परिणत गर्न सकिन्छ।

Ksenia Sadunina, सौर JSOC उत्पादन र सेवा को विशेषज्ञ presale विभाग को सल्लाहकार

स्रोत: www.habr.com