Security-awareness-training en anti-phishingmaatregelen

Technische maatregelen — firewalls, versleuteling en MFA — zijn essentieel, maar de menselijke factor blijft de kwetsbaarheid die bij de meeste inbreuken het vaakst wordt uitgebuit. Training in beveiligingsbewustzijn is bedoeld om een beveiligingsbewuste cultuur op te bouwen waarin medewerkers bedreigingen herkennen, veilige werkwijzen volgen en de gevolgen van hun handelingen begrijpen. Het Security+-examen toetst of je begrijpt hoe je effectieve bewustwordingsprogramma's ontwerpt en meet, niet alleen welke onderwerpen je moet behandelen. Een ineffectieve jaarlijkse oefening waarbij je alleen een vakje aanvinkt, heeft weinig effect; een effectief programma is doorlopend, boeiend en meetbaar.

Een effectief programma voor beveiligingsbewustzijn bestaat uit meerdere onderdelen die samenwerken. Functiegerichte training stemt de inhoud af op specifieke functies: leidinggevenden hebben bewustzijn van whaling en BEC nodig, ontwikkelaars van veilig programmeren en financiële medewerkers van procedures voor betalingsfraude. Phishingsimulaties bieden realistische oefening en meten het klikpercentage. Training op het juiste moment biedt direct na een mislukte simulatie een leermoment. Nieuwsbrieven over beveiliging en communicatie houden beveiliging onder de aandacht. Kengetallen zoals klikpercentages bij simulaties, voltooiingspercentages van trainingen en gemelde phishingpogingen meten de effectiviteit van het programma in de loop van de tijd.

Een phishingsimulatie test medewerkers met realistische, neppe phishing-e-mails om hun vatbaarheid te meten en trainingsbehoeften vast te stellen. Platforms zoals KnowBe4, Proofpoint Security Awareness en Cofense bieden sjablooncampagnes en analyses. Goede werkwijzen zijn: voer vóór de training een nulmeting uit om het aanvankelijke klikpercentage vast te stellen, wissel phishingsjablonen af zodat verschillende voorwendsels aan bod komen (inloggegevens buitmaken, bijlagen, BEC), geef medewerkers die klikken direct training, splits resultaten per afdeling uit om risicogroepen te vinden en voer herhaalde tests uit om te controleren of klikpercentages na verloop van tijd dalen. Gebruik simulaties nooit als strafmaatregel.

SPF (Sender Policy Framework) is een op DNS gebaseerd mechanisme dat specificeert welke e-mailservers gemachtigd zijn om e-mail voor een domein te verzenden. De domeineigenaar publiceert een SPF-record (een TXT-record in DNS) met daarin gemachtigde IP-adressen of hostnamen van servers. Wanneer een ontvangende e-mailserver een e-mail ontvangt die afkomstig lijkt te zijn van example.com, vraagt deze in DNS het SPF-record van example.com op en controleert of het IP-adres van de verzendende server gemachtigd is. E-mails van niet-gemachtigde servers kunnen als spam worden gemarkeerd of worden geweigerd. SPF beschermt op zichzelf niet het zichtbare From-adres, maar alleen de envelopafzender (Return-Path).

DKIM (DomainKeys Identified Mail) voegt een cryptografische handtekening toe aan uitgaande e-mailberichten. De verzendende e-mailserver ondertekent de e-mailheaders en de inhoud met de privésleutel van het domein en neemt de handtekening op in een DKIM-Signature-header. De ontvangende server haalt de bijbehorende publieke sleutel op uit DNS (selector._domainkey.example.com TXT-record) en controleert de handtekening. DKIM bewijst dat de e-mail tijdens het transport niet is gewijzigd en afkomstig is van iemand die toegang heeft tot de privésleutel. In tegenstelling tot SPF beschermt DKIM het Header From-adres en blijft het werken wanneer e-mail wordt doorgestuurd.

DMARC (Domain-based Message Authentication, Reporting, and Conformance) bouwt voort op SPF en DKIM door te specificeren welke actie ontvangende e-mailservers moeten uitvoeren wanneer een e-mail niet voor beide controles slaagt, en door rapportage te bieden. Een DMARC-beleid met p=reject instrueert ontvangers om e-mails weg te gooien die niet voldoen aan de afstemming van SPF en DKIM voor het domein. DMARC introduceert ook afstemming: het Header From-domein moet overeenkomen met het domein dat door SPF of DKIM is gevalideerd. Geaggregeerde DMARC-rapporten (rua) laten zien wie e-mail met jouw domein verzendt en brengen ongeautoriseerde afzenders en actieve vervalsingscampagnes aan het licht.

Een Secure Email Gateway (SEG) scant alle inkomende en uitgaande e-mail op schadelijke inhoud voordat deze wordt afgeleverd. SEG's combineren meerdere detectietechnologieën: antispamfiltering, SPF/DKIM/DMARC-verificatie, URL-herschrijving (links omzetten in versies via een proxy voor veilige scanning), sandboxing van bijlagen (verdachte bestanden uitvoeren in geïsoleerde omgevingen) en preventie van gegevensverlies (uitgaande e-mail scannen op gevoelige gegevens). Bekende leveranciers van SEG's zijn Proofpoint, Mimecast, Microsoft Defender for Office 365 en Cisco Secure Email. SEG's vormen de eerste technische verdedigingslinie tegen aanvallen via e-mail.

Een van de waardevolste resultaten van training in beveiligingsbewustzijn is een omgeving waarin medewerkers zich veilig voelen om verdachte activiteiten te melden, zonder bang te zijn voor schuld of spot. Als medewerkers bang zijn voor straf wanneer ze op een phishinglink klikken, zullen ze dit verbergen in plaats van melden — waardoor aanvallers meer tijd in het netwerk krijgen. Een schuldenvrije meldcultuur betekent dat je medewerkers bedankt die verdachte e-mails melden (ook valse positieven), mislukte simulaties gebruikt als leermomenten in plaats van als straf en melden zo eenvoudig mogelijk maakt met speciale e-mailaliassen of browserplug-ins. Het doel is snelle detectie, niet perfect menselijk gedrag.

Technische maatregelen vullen training aan door phishing te onderscheppen die gebruikers toch bereikt. Antiphishing in browsers gebruikt realtime-databases met de reputatie van URL's (Google Safe Browsing, Microsoft SmartScreen) om gebruikers te waarschuwen voordat ze bekende schadelijke sites bezoeken. DNS-sinkholes verwijzen schadelijke domeinen naar niet-routeerbare adressen en blokkeren zo de toegang op netwerkniveau, zonder actie op de client. Proxyfiltering maakt het mogelijk URL-categorieën te blokkeren. Door gebruikerstraining met deze technische maatregelen te combineren, ontstaan meerdere onafhankelijke kansen om phishingpogingen te onderscheppen voordat ze leiden tot het buitmaken van inloggegevens of de installatie van malware.

Programma's voor beveiligingsbewustzijn moeten worden gemeten om investeringen te rechtvaardigen en voortdurende verbetering te stimuleren. Belangrijke prestatie-indicatoren zijn: klikpercentage bij phishing (nulmeting tegenover meting na de training), gemiddelde tijd tot het melden van een phishing-e-mail, voltooiingspercentage van trainingen per afdeling, aantal bevestigde incidenten waarbij menselijke fouten een rol speelden en afname van inbreuken op basis van gestolen inloggegevens in de loop van de tijd. Rapportages aan het management moeten trends tonen (verbetering of verslechtering) en afdelingen uitlichten die gerichte interventie nodig hebben. Stem kengetallen af op bedrijfsrisico's: een klikpercentage van 5% bij financiën brengt meer risico met zich mee dan 5% bij de technische dienst.

Bewustwordingstraining moet worden ondersteund door afdwingbaar beleid. Een beleid voor aanvaardbaar gebruik (AUP) bepaalt hoe werknemers de systemen, netwerken en gegevens van de organisatie wel en niet mogen gebruiken. Werknemers moeten het AUP jaarlijks en bij beleidswijzigingen bevestigen met een ondertekende overeenkomst. Het AUP biedt een juridische basis voor disciplinaire maatregelen wanneer werknemers het beveiligingsbeleid overtreden — op een phishinglink klikken is een trainingsfout; bewust inloggegevens delen is een beleidsovertreding. Andere relevante beleidsregels zijn een socialmediabeleid (wat er over de organisatie mag worden gedeeld), een beleid voor mediaverwerking en een clean-deskbeleid.

In deze les heb je geleerd dat effectieve programma's voor beveiligingsbewustzijn training op basis van functies, phishing-simulaties, leren op het juiste moment en meetbare KPI's combineren om het risico van de menselijke factor te verkleinen, dat SPF, DKIM en DMARC samenwerken om afzenders van e-mail te authenticeren en domeinspoofing te voorkomen, en dat beveiligde e-mailgateways gelaagde technische bescherming bieden, waaronder sandboxing van bijlagen, het herschrijven van URL's en DLP voor inkomende en uitgaande e-mail. Hierna bekijken we typen malware en hun gedrag.