Podczas gdy duże przedsiębiorstwa budują wielopoziomowe obrony przed potencjalnymi wewnętrznymi zagrożeniami i hakerami, mniejsze firmy wciąż zmagają się z problemem phishingu i wiadomości spamowych. Gdyby Marty McFly wiedział, że w 2015 roku (a tym bardziej w 2020) ludzie nie tylko nie wynalazli hoverboardów, ale nawet nie nauczą się w pełni pozbywać niechcianej poczty, pewnie straciłby wiarę w ludzkość. Co więcej, spam dziś nie tylko jest uciążliwy, ale często również szkodliwy. Około 70% przypadków w trakcie realizacji killchain cyberprzestępcy włamują się do infrastruktury za pomocą złośliwego oprogramowania zawartego w załącznikach lub poprzez phishingowe linki w e-mailach.
Ostatnio wyraźnie widać tendencję do rozwoju inżynierii społecznej jako sposobu na wejście do infrastruktury organizacji. Porównując statystyki z lat 2017 i 2018, obserwujemy prawie 50-procentowy wzrost przypadków, w których złośliwe oprogramowanie dostarczano na komputery pracowników właśnie przez załączniki lub linki phishingowe w treści e-maili.
Ogólnie rzecz biorąc, cały wachlarz zagrożeń, które mogą być realizowane za pomocą poczty elektronicznej, można podzielić na kilka kategorii:
- przychodzący spam
- włączenie komputerów organizacji do botnetu rozsyłającego wychodzący spam
- złośliwe załączniki i wirusy w treści e-maila (małe firmy najczęściej cierpią z powodu masowych ataków typu Petya).
Aby bronić się przed wszystkimi rodzajami ataków, można albo wdrożyć kilka systemów zabezpieczeń, albo zdecydować się na model usługowy. Już o Jednolitej platformie usług cyberbezpieczeństwa – jądrze ekosystemu zarządzanych usług cyberbezpieczeństwa Solar MSS. Obejmuje ona między innymi wirtualizowaną technologię Secure Email Gateway (SEG). Zazwyczaj subskrypcję tego serwisu kupują małe firmy, w których wszystkie funkcje IT i bezpieczeństwa są powierzone jednej osobie – administratorowi systemu. Spam to problem, który zawsze jest widoczny dla użytkowników i kierownictwa, i nie można go ignorować. Jednak z czasem nawet kierownictwo zaczyna rozumieć, że po prostu „rzucenie” go administratorowi systemów nie załatwia sprawy – zajmuje to zbyt dużo czasu.
2 godziny na przetwarzanie poczty — to sporo
Z takim problemem do nas zwrócił się jeden z detalistów. Systemy rejestracji czasu pracy pokazywały, że każdego dnia jego pracownicy spędzali około 25% czasu pracy (2 godziny!) na przeglądaniu skrzynki mailowej.
Podłączając serwer poczty klienta, skonfigurowaliśmy instancję SEG jako dwustronną bramkę dla poczty przychodzącej i wychodzącej. Uruchomiliśmy filtrowanie zgodnie z wcześniej ustalonymi politykami. Czarne listy stworzyliśmy na podstawie analizy danych dostarczonych przez klienta oraz naszych własnych list potencjalnie niebezpiecznych adresów, otrzymanych od ekspertów Solar JSOC w ramach innych usług — na przykład monitorowania incydentów bezpieczeństwa. Po tym cała poczta trafiała do adresatów tylko po oczyszczeniu, a różne spamowe wiadomości o „wielkich zniżkach” przestały zasypywać serwery pocztowe klienta, zwalniając miejsce na inne potrzeby.
Zdarzały się jednak sytuacje, gdy legitymna wiadomość była błędnie klasyfikowana jako spam, na przykład jeśli pochodziła od nieznanego nadawcy. W takim przypadku decyzję pozostawiliśmy klientowi. Opcji, co zrobić, nie ma wiele: natychmiast usunąć lub wysłać do kwarantanny. Wybraliśmy drugi sposób, w którym niechciana poczta pozostaje na samej SEG. Administratorowi udostępniliśmy dostęp do konsoli webowej, w której w każdej chwili mógł znaleźć ważny e-mail, na przykład od kontrahenta, i przepuścić go do użytkownika.
Pozbywamy się pasożytów
W skład usługi ochrony poczty elektronicznej wchodzą raporty analityczne, których celem jest kontrola bezpieczeństwa infrastruktury oraz efektywności zastosowanych ustawień. Ponadto raporty te pozwalają prognozować trendy. Na przykład, znajdujemy w raporcie odpowiedni dział „Spam według odbiorcy” lub „Spam według nadawcy” i sprawdzamy, na jaki adres trafia najwięcej blokowanych wiadomości.
Właśnie podczas analizy takiego raportu zwróciliśmy uwagę na podejrzany wzrost całkowitej liczby wiadomości u jednego z klientów. Jego infrastruktura jest niewielka, a liczba wiadomości niska. I nagle po godzinach pracy liczba zablokowanego spamu wzrosła prawie dwukrotnie. Postanowiliśmy przyjrzeć się temu bliżej.
Zauważamy, że liczba wychodzących wiadomości wzrosła, a w polu „Nadawca” znajdują się adresy z domeny, która jest właśnie podłączona do usługi ochrony poczty. Ale jest jeden niuans: wśród całkiem sensownych, możliwe że nawet istniejących adresów, pojawiają się wyraźnie dziwne. Sprawdziliśmy adresy IP, z których wysyłano wiadomości, i, co zupełnie oczywiste, okazało się, że nie należą one do chronionej przestrzeni adresowej. Oczywiście, potencjalny sprawca wysyłał spam w imieniu klienta.
W tym przypadku przygotowaliśmy dla klienta zalecenia dotyczące prawidłowej konfiguracji rekordów DNS, a konkretnie SPF. Nasz specjalista doradził utworzenie rekordu TXT, zawierającego regułę „v=spf1 mx ip:1.2.3.4/23 -all”, która zawiera wyczerpujący wykaz adresów, którym pozwolono wysyłać wiadomości w imieniu chronionej domeny.
Właściwie, dlaczego to ważne: spam w imieniu nikomu nieznanej małej firmy — to nieprzyjemne, ale nie krytyczne. Całkowicie inaczej wygląda sytuacja w bankowości. Z naszych obserwacji wynika, że poziom zaufania ofiary do phishingowego e-maila wielokrotnie wzrasta, jeśli jest on rzekomo wysyłany z domeny innego banku lub znanego ofierze kontrahenta. I to różni nie tylko pracowników banków, w innych branżach – w energetyce – spotykamy się z podobną tendencją.
Zabijamy wirusy
Ale spoofing nie jest tak częstym problemem, jak na przykład zarażenia wirusowe. A jak najczęściej walczy się z wirusowymi epidemiami? Instalują programy antywirusowe i mają nadzieję, że „wróg nie przejdzie”. Ale gdyby wszystko było takie proste, to, biorąc pod uwagę niezbyt wysoką cenę programów antywirusowych, wszyscy dawno zapomnieliby o problemie złośliwego oprogramowania. A tymczasem ciągle dostajemy zapytania w rodzaju „pomóżcie przywrócić pliki, wszystko zostało zaszyfrowane, praca stoi, dane utracone”. Nie przestajemy powtarzać klientom, że program antywirusowy to nie panaceum. Oprócz tego, że bazy danych programów antywirusowych mogą dostatecznie szybko się nie aktualizować, często spotykamy złośliwe oprogramowanie, które potrafi omijać nie tylko programy antywirusowe, ale także piaskownice.
Niestety, mało który z pracowników organizacji jest świadomy phishingowych i złośliwych wiadomości oraz jest w stanie odróżnić je od zwykłej korespondencji. Średnio co siódmy użytkownik, który nie przechodzi regularnych sesji podnoszenia świadomości, daje się nabrać na socjotechnikę: otwiera zainfekowany plik lub przesyła swoje dane przestępcom.
Chociaż socjalny wektor ataku generalnie systematycznie się nasilał, w ubiegłym roku ten trend stał się szczególnie zauważalny. Phishingowe wiadomości stawały się coraz bardziej podobne do zwykłych newsletterów o promocjach, nadchodzących wydarzeniach itp. Można tu przypomnieć atak Silence na sektor finansowy – pracownicy banków otrzymywali wiadomość rzekomo z kodem promocyjnym na udział w popularnej konferencji branżowej i procent osób, które dały się nabrać na ten chwyt, był bardzo wysoki, mimo że przypomnijmy, mowa o sektorze bankowym – najbardziej zaawansowanym w kwestiach bezpieczeństwa informacji.
Przed zeszłorocznym Nowym Rokiem również obserwowaliśmy kilka dość zabawnych sytuacji, gdy pracownicy firm przemysłowych otrzymali bardzo dobrze przygotowane phishingowe wiadomości z "listą" noworocznych promocji w popularnych sklepach internetowych oraz z kodami promocyjnymi na zniżki. Pracownicy nie tylko sami próbowali kliknąć w link, ale także przesyłali wiadomość kolegom z pokrewnych organizacji. Ponieważ zasób, do którego prowadził link w phishingowej wiadomości, był zablokowany, pracownicy zaczęli masowo składać do działu IT wnioski o przyznanie dostępu do niego. Ogólnie rzecz biorąc, sukces wysyłki musiał przewyższyć wszelkie oczekiwania przestępców.
Ostatnio skontaktowała się z nami firma, którą "zaszyfrowano". Wszystko zaczęło się od tego, że pracownicy księgowości otrzymali wiadomość rzekomo od Banku Centralnego Federacji Rosyjskiej. Księgowy kliknął w link w wiadomości – i ściągnął sobie na komputer koparkę WannaMine, która, podobnie jak znany WannaCry, wykorzystała lukę EternalBlue. Najciekawsze jest to, że większość programów antywirusowych potrafi wykrywać jego sygnatury już od początku 2018 roku. Ale to czy to antywirus był wyłączony, czy bazy danych nie były aktualizowane, czy po prostu go tam nie było – w każdym razie koparka już była na komputerze, i nic jej nie przeszkodziło w dalszym rozprzestrzenianiu się po sieci, obciążając CPU serwerów i ARM w 100%.
Ten klient, otrzymując raport naszej grupy forenzicznej, zauważył, że wirus początkowo dostał się do niego przez pocztę, i uruchomił pilotażowy projekt związany z podłączeniem usługi ochrony poczty elektronicznej. Pierwszym krokiem, który podjęliśmy, był konfiguracja antywirusów pocztowych. Skanowanie pod kątem złośliwego oprogramowania odbywa się nieustannie, a aktualizacje sygnatur początkowo odbywały się co godzinę, a następnie klient przeszedł na tryb dwa razy dziennie.
Pełna ochrona przed zakażeniami wirusami powinna być złożona. Mówiąc o transmisji wirusów przez pocztę elektroniczną, konieczne jest filtrowanie takich wiadomości na wejściu, nauka użytkowników rozpoznawania inżynierii społecznej, a potem można już liczyć na programy antywirusowe i piaskownice.
zawsze w gotowości
Oczywiście, nie twierdzimy, że rozwiązania klasy Secure Email Gateway to panaceum. Ataki celowane, w tym phishing celowany, są niezwykle trudne do powstrzymania, ponieważ każdy taki atak jest 'dopasowywany' do konkretnego odbiorcy (organizacji lub osoby). Ale dla firmy, która stara się zapewniać podstawowy poziom bezpieczeństwa, to sporo, szczególnie z odpowiednio dopasowanym doświadczeniem i ekspertyzą.
Najczęściej podczas realizacji phishingu celowanego w treści wiadomości nie umieszczają złośliwych załączników, w przeciwnym razie system antyspamowy od razu zablokuje taką wiadomość w drodze do odbiorcy. Zamiast tego umieszczają w treści wiadomości linki do wcześniej przygotowanych zasobów internetowych, a wtedy reszta zależy od użytkownika. Użytkownik klika w link, a następnie poprzez kilka przekierowań w ułamku sekundy ląduje na ostatnim etapie łańcucha, którego otwarcie załadowuje złośliwe oprogramowanie na jego komputer.
Jeszcze bardziej wyrafinowane: w momencie otrzymania wiadomości link może być niegroźny i dopiero po upływie pewnego czasu, kiedy już został przeskanowany i przepuszczony, zacznie przekierowywać do złośliwego oprogramowania. Niestety, specjaliści Solar JSOC, nawet mając na uwadze swoje kompetencje, nie będą w stanie skonfigurować bramy pocztowej tak, aby 'widzieć' złośliwe oprogramowanie przez cały łańcuch (chociaż jako ochrony można używać automatycznej zamiany wszystkich linków w wiadomościach na SEG, aby ostatni skanował link nie tylko w momencie dostarczenia wiadomości, ale przy każdym kliknięciu).
W międzyczasie, nawet przy typowym przekierowaniu, agregacja różnych rodzajów ekspertyz, w tym danych otrzymywanych z naszego JSOC CERT i OSINT, pomaga w radzeniu sobie z problemem. Umożliwia to tworzenie zaawansowanych czarnych list, na podstawie których nawet e-mail z wieloma przekierowaniami zostanie zablokowany.
Wykorzystanie SEG to tylko mała cegiełka w murze, który każda organizacja chce zbudować w celu ochrony swoich aktywów. Ale to ogniwo musi być umiejętnie włączone do ogólnego obrazu, ponieważ nawet SEG, przy odpowiedniej konfiguracji, można uczynić pełnoprawnym narzędziem ochrony.
Ksenia Sadunina, konsultantka ds. przedsprzedaży produktów i usług Solar JSOC
Źródło: habr.com
