Sikkerhedsbevidsthed og anti-phishing-kontroller

Tekniske kontroller — firewalls, kryptering og MFA — er afgørende, men det menneskelige element er stadig den sårbarhed, der oftest udnyttes ved de fleste sikkerhedsbrud. Undervisning i sikkerhedsbevidsthed har til formål at opbygge en sikkerhedsbevidst kultur, hvor medarbejdere genkender trusler, følger sikre fremgangsmåder og forstår konsekvenserne af deres handlinger. Security+-eksamen tester din forståelse af, hvordan man designer og måler effektive programmer for sikkerhedsbevidsthed — ikke kun hvilke emner de skal dække. En ineffektiv årlig afkrydsningsøvelse har minimal effekt; et effektivt program er løbende, engagerende og målbart.

Et effektivt program for sikkerhedsbevidsthed består af flere komponenter, der fungerer sammen. Rollebaseret undervisning tilpasser indholdet til bestemte jobfunktioner — ledere har brug for bevidsthed om whaling og BEC, udviklere har brug for sikker kodning, og økonomimedarbejdere har brug for procedurer mod banksvindel. Phishing-simuleringer giver realistisk øvelse og måler klikrater. Undervisning på det rette tidspunkt leverer et læringsøjeblik umiddelbart efter en fejl i en simulering. Sikkerhedsnyhedsbreve og anden kommunikation holder sikkerhed øverst i bevidstheden. Målepunkter som klikrater i simuleringer, gennemførelsesrater for undervisning og rapporterede phishingforsøg måler programmets effektivitet over tid.

Phishing-simulering tester medarbejdere med realistiske, falske phishingmails for at måle deres sårbarhed og identificere undervisningsbehov. Platforme som KnowBe4, Proofpoint Security Awareness og Cofense tilbyder kampagneskabeloner og analyser. God praksis omfatter: Start med en nulmåling før undervisningen for at fastslå den indledende klikrate, varier phishing-skabelonerne, så de dækker forskellige påskud (indsamling af legitimationsoplysninger, vedhæftet fil og BEC), giv straks undervisning til medarbejdere, der klikker, opdel resultaterne efter afdeling for at finde højrisikogrupper, og gentag testene for at kontrollere, at klikraterne falder over tid. Brug aldrig simuleringer som straf.

SPF (Sender Policy Framework) er en DNS-baseret mekanisme, der angiver, hvilke mailservere der er autoriseret til at sende mail for et domæne. Domæneejeren offentliggør en SPF-post (en TXT-post i DNS), der oplister autoriserede IP-adresser eller serverværtsnavne. Når en modtagende mailserver modtager en mail, der hævder at komme fra example.com, slår den example.com's SPF-post op i DNS og bekræfter, at afsenderens IP-adresse er autoriseret. Mails fra uautoriserede servere kan markeres som spam eller afvises. SPF alene beskytter ikke den synlige From-adresse, men kun envelope-afsenderen (Return-Path).

DKIM (DomainKeys Identified Mail) føjer en kryptografisk signatur til udgående mails. Den afsendende mailserver signerer mailens headere og brødtekst med domænets private nøgle og medtager signaturen i en DKIM-Signature-header. Den modtagende server henter den tilsvarende offentlige nøgle fra DNS (selector._domainkey.example.com TXT record) og verificerer signaturen. DKIM beviser, at mailen ikke blev ændret under transporten, og at den stammer fra nogen, der har adgang til den private nøgle. I modsætning til SPF beskytter DKIM Header From-adressen og fungerer også efter videresendelse af mail.

DMARC (Domain-based Message Authentication, Reporting, and Conformance) bygger videre på SPF og DKIM ved at angive, hvilken handling modtagende mailservere skal udføre, når en mail ikke består begge kontroller, samt ved at levere rapportering. En DMARC-politik med p=reject instruerer modtagere i at kassere mails, der ikke består SPF- og DKIM-justeringen for domænet. DMARC introducerer også justering — domænet i Header From skal stemme overens med det domæne, der er valideret af SPF/DKIM. Samlede DMARC-rapporter (rua) viser, hvem der sender mail ved hjælp af dit domæne, og afslører uautoriserede afsendere og aktive spoofing-kampagner.

En Secure Email Gateway (SEG) scanner al indgående og udgående mail for skadeligt indhold før levering. SEG'er kombinerer flere detektionsteknologier: spamfiltrering, SPF/DKIM/DMARC-verificering, omskrivning af URL'er (links konverteres til proxiede versioner, så de kan scannes sikkert), sandboxing af vedhæftede filer (mistænkelige filer køres i isolerede miljøer) og forebyggelse af datatab (scanning af udgående mail for følsomme data). Populære SEG-leverandører omfatter Proofpoint, Mimecast, Microsoft Defender for Office 365 og Cisco Secure Email. SEG'er udgør den første tekniske forsvarslinje mod mailbaserede angreb.

Et af de mest værdifulde resultater af undervisning i sikkerhedsbevidsthed er et miljø, hvor medarbejdere føler sig trygge ved at rapportere mistænkelige aktiviteter uden frygt for bebrejdelser eller latterliggørelse. Hvis medarbejdere frygter straf for at klikke på et phishinglink, vil de skjule det i stedet for at rapportere det — og dermed give angribere mere tid på netværket. En kultur uden skyldplacering indebærer, at man takker medarbejdere, der rapporterer mistænkelige mails (også falske positiver), bruger fejl i simuleringer som læringsmuligheder i stedet for straf og gør rapportering enkel via dedikerede mailaliaser eller browserplugins. Målet er hurtig detektion, ikke fejlfri menneskelig adfærd.

Tekniske kontroller supplerer undervisningen ved at opdage phishing, der når frem til brugerne. Anti-phishing i browseren bruger realtidsdatabaser med URL-omdømme (Google Safe Browsing og Microsoft SmartScreen) til at advare brugere, før de besøger kendte skadelige websteder. DNS-sinkholes opløser skadelige domæner til adresser, der ikke kan routes, og blokerer adgangen på netværkslaget uden nogen handling på klienten. Proxyfiltrering gør det muligt at blokere URL-kategorier. Ved at kombinere brugerundervisning med disse tekniske kontroller skabes der flere uafhængige muligheder for at opdage phishingforsøg, før de fører til kompromittering af legitimationsoplysninger eller installation af malware.

Programmer for sikkerhedsbevidsthed skal måles for at begrunde investeringer og drive løbende forbedringer. Vigtige resultatindikatorer omfatter: klikrate for phishing (nulmåling sammenlignet med efter undervisningen), gennemsnitlig tid til rapportering af en phishingmail, gennemførelsesrate for undervisning efter afdeling, antal bekræftede hændelser, der involverer menneskelige fejl, og reduktion i brud baseret på legitimationsoplysninger over tid. Rapportering til ledelsen bør vise tendenser (forbedring eller forværring) og fremhæve afdelinger, der har brug for målrettede tiltag. Tilpas målepunkterne til forretningsrisikoen — en klikrate på 5 % i økonomiafdelingen indebærer større risiko end 5 % i vedligeholdelsesafdelingen.

Oplæring i sikkerhedsbevidsthed skal understøttes af politikker, der kan håndhæves. En Politik for acceptabel brug (AUP) definerer, hvordan medarbejdere må og ikke må bruge organisationens systemer, netværk og data. Medarbejderne bør bekræfte AUP'en hvert år (og når politikker ændres) med en underskrevet aftale. AUP'en danner det juridiske grundlag for disciplinære sanktioner, når medarbejdere overtræder sikkerhedspolitikker — at klikke på et phishinglink er en fejl i oplæringen; bevidst deling af legitimationsoplysninger er en overtrædelse af en politik. Andre relevante politikker omfatter en politik for sociale medier (hvad der må deles om organisationen), en politik for mediehåndtering og en politik for et ryddeligt skrivebord.

I denne lektion har du lært, at effektive programmer for sikkerhedsbevidsthed kombinerer rollebaseret oplæring, phishing-simuleringer, behovsbaseret læring og målbare KPI'er for at reducere risikoen fra den menneskelige faktor, at SPF, DKIM og DMARC arbejder sammen om at godkende e-mailafsendere og forhindre forfalskning af domæner, og at sikre e-mailgateways leverer lagdelt teknisk beskyttelse, herunder sandboxing af vedhæftede filer, omskrivning af URL'er og DLP for indgående og udgående e-mail. Næste emne er malwaretyper og deres adfærd.