Szkolenia z zakresu świadomości bezpieczeństwa i ochrona przed phishingiem

Kontrole techniczne — zapory sieciowe, szyfrowanie i MFA — są niezbędne, ale czynnik ludzki pozostaje najczęściej wykorzystywaną podatnością w większości naruszeń. Szkolenia z zakresu świadomości bezpieczeństwa mają budować kulturę świadomą zagrożeń, w której pracownicy rozpoznają zagrożenia, stosują bezpieczne praktyki i rozumieją konsekwencje swoich działań. Egzamin Security+ sprawdza znajomość sposobów projektowania i mierzenia skuteczności programów uświadamiających, a nie tylko zakresu poruszanych tematów. Nieefektywne, jednorazowe w roku szkolenie będące formalnością ma minimalny wpływ; skuteczny program jest ciągły, angażujący i mierzalny.

Skuteczny program uświadamiania w zakresie bezpieczeństwa obejmuje wiele współdziałających elementów. Szkolenia oparte na rolach dopasowują treści do konkretnych obowiązków — kadra kierownicza potrzebuje wiedzy o whalingu i BEC, deweloperzy o bezpiecznym programowaniu, a pracownicy działu finansowego o procedurach dotyczących oszustw polegających na przekierowaniu płatności. Symulacje phishingu zapewniają realistyczne ćwiczenia i umożliwiają pomiar odsetka kliknięć. Szkolenia just-in-time przekazują wiedzę bezpośrednio po nieudanym wyniku symulacji. Biuletyny bezpieczeństwa i komunikaty pomagają utrzymać bezpieczeństwo w centrum uwagi. Wskaźniki takie jak odsetek kliknięć w symulacjach, odsetek ukończonych szkoleń i liczba zgłoszonych prób phishingu pozwalają z czasem mierzyć skuteczność programu.

Symulacja phishingu polega na testowaniu pracowników za pomocą realistycznych, fałszywych wiadomości phishingowych w celu zmierzenia podatności i określenia potrzeb szkoleniowych. Platformy takie jak KnowBe4, Proofpoint Security Awareness i Cofense udostępniają gotowe kampanie oraz narzędzia analityczne. Dobre praktyki obejmują: rozpoczęcie od testu bazowego przed szkoleniem w celu zmierzenia początkowego odsetka kliknięć, stosowanie różnych szablonów phishingu obejmujących różne preteksty (wyłudzanie danych uwierzytelniających, załączniki, BEC), natychmiastowe szkolenie pracowników, którzy kliknęli, podział wyników według działów w celu wykrycia grup wysokiego ryzyka oraz powtarzanie testów, aby potwierdzić, że odsetek kliknięć z czasem maleje. Nigdy nie należy wykorzystywać symulacji jako środka karnego.

SPF (Sender Policy Framework) to mechanizm oparty na DNS, który określa, które serwery pocztowe mają uprawnienia do wysyłania wiadomości e-mail w imieniu domeny. Właściciel domeny publikuje rekord SPF (rekord TXT w DNS) zawierający listę autoryzowanych adresów IP lub nazw hostów serwerów. Gdy serwer pocztowy odbierający wiadomość otrzyma e-mail rzekomo wysłany z example.com, odpytuje DNS o rekord SPF domeny example.com i sprawdza, czy adres IP serwera wysyłającego jest autoryzowany. Wiadomości z nieautoryzowanych serwerów mogą zostać oznaczone jako spam lub odrzucone. Sam SPF nie chroni widocznego adresu From, lecz wyłącznie nadawcę koperty (Return-Path).

DKIM (DomainKeys Identified Mail) dodaje do wychodzących wiadomości e-mail podpis kryptograficzny. Wysyłający serwer pocztowy podpisuje nagłówki i treść wiadomości kluczem prywatnym domeny, a następnie umieszcza podpis w nagłówku DKIM-Signature. Serwer odbierający pobiera odpowiadający mu klucz publiczny z DNS (rekord TXT selector._domainkey.example.com) i weryfikuje podpis. DKIM potwierdza, że wiadomość nie została zmodyfikowana podczas przesyłania oraz że pochodzi od osoby mającej dostęp do klucza prywatnego. W przeciwieństwie do SPF DKIM chroni adres Header From i zachowuje działanie po przekazaniu wiadomości dalej.

DMARC (Domain-based Message Authentication, Reporting, and Conformance) rozszerza SPF i DKIM, określając działanie, jakie odbierające serwery pocztowe powinny podjąć, gdy wiadomość nie przejdzie obu kontroli, oraz zapewniając raportowanie. Zasada DMARC z wartością p=reject nakazuje odbiorcom odrzucać wiadomości, które nie spełniają wymogu zgodności SPF i DKIM dla danej domeny. DMARC wprowadza także pojęcie zgodności — domena Header From musi odpowiadać domenie zweryfikowanej przez SPF/DKIM. Raporty zbiorcze DMARC (rua) pokazują, kto wysyła wiadomości e-mail z użyciem Państwa domeny, ujawniając nieautoryzowanych nadawców i aktywne kampanie spoofingu.

Bezpieczna brama pocztowa (SEG) skanuje wszystkie przychodzące i wychodzące wiadomości e-mail pod kątem złośliwej zawartości przed ich dostarczeniem. SEG łączy wiele technologii wykrywania: filtrowanie antyspamowe, weryfikację SPF/DKIM/DMARC, przepisywanie adresów URL (zamianę odnośników na wersje przekierowane przez serwer pośredniczący w celu bezpiecznego skanowania), uruchamianie załączników w piaskownicy (otwieranie podejrzanych plików w izolowanych środowiskach) oraz zapobieganie utracie danych (skanowanie wychodzących wiadomości e-mail pod kątem poufnych danych). Do popularnych dostawców SEG należą Proofpoint, Mimecast, Microsoft Defender for Office 365 i Cisco Secure Email. SEG stanowią pierwszą techniczną linię obrony przed atakami wykorzystującymi pocztę e-mail.

Jednym z najcenniejszych efektów szkoleń z zakresu świadomości bezpieczeństwa jest środowisko, w którym pracownicy czują się bezpiecznie, zgłaszając podejrzane działania, i nie obawiają się obwiniania ani wyśmiania. Jeśli pracownicy boją się kary za kliknięcie odnośnika phishingowego, ukryją ten fakt zamiast go zgłosić — dając atakującym więcej czasu na pozostanie w sieci. Kultura zgłaszania bez obwiniania oznacza dziękowanie pracownikom za zgłaszanie podejrzanych wiadomości (nawet fałszywych alarmów), wykorzystywanie nieudanych symulacji jako okazji do nauki, a nie jako podstawy do karania, oraz maksymalne uproszczenie zgłaszania dzięki dedykowanym aliasom e-mail lub wtyczkom do przeglądarek. Celem jest szybkie wykrywanie, a nie osiągnięcie idealnego działania przez ludzi.

Kontrole techniczne uzupełniają szkolenia, wykrywając phishing, który dotarł do użytkowników. Ochrona przeglądarek przed phishingiem korzysta z aktualizowanych w czasie rzeczywistym baz reputacji adresów URL (Google Safe Browsing, Microsoft SmartScreen), aby ostrzegać użytkowników przed odwiedzeniem znanych złośliwych stron. DNS sinkhole kierują złośliwe domeny na nieroutowalne adresy, blokując dostęp na poziomie sieci bez żadnych działań po stronie klienta. Filtrowanie przez serwer proxy umożliwia blokowanie kategorii adresów URL. Połączenie szkoleń użytkowników z tymi kontrolami technicznymi tworzy wiele niezależnych możliwości zatrzymania prób phishingu, zanim doprowadzą one do przejęcia danych uwierzytelniających lub instalacji złośliwego oprogramowania.

Programy uświadamiania w zakresie bezpieczeństwa należy mierzyć, aby uzasadniać inwestycje i napędzać ciągłe doskonalenie. Do kluczowych wskaźników należą: odsetek kliknięć w wiadomości phishingowe (wartość bazowa w porównaniu z wynikiem po szkoleniu), średni czas zgłoszenia wiadomości phishingowej, odsetek ukończonych szkoleń według działu, liczba potwierdzonych incydentów związanych z błędem ludzkim oraz spadek liczby naruszeń opartych na danych uwierzytelniających w czasie. Raporty dla kierownictwa powinny przedstawiać trendy (poprawę lub pogorszenie) i wskazywać działy wymagające ukierunkowanej interwencji. Wskaźniki należy dostosować do ryzyka biznesowego — odsetek kliknięć wynoszący 5% w dziale finansowym oznacza większe ryzyko niż taki sam wynik w dziale utrzymania technicznego.

Szkolenia uświadamiające muszą być wsparte egzekwowalnymi zasadami. Zasady dopuszczalnego użycia (AUP) określają, w jaki sposób pracownicy mogą i nie mogą korzystać z systemów, sieci i danych organizacji. Pracownicy powinni co roku potwierdzać zapoznanie się z AUP, a także robić to po każdej zmianie zasad, podpisując stosowne oświadczenie. AUP stanowią podstawę prawną do podejmowania działań dyscyplinarnych w przypadku naruszenia przez pracowników zasad bezpieczeństwa — kliknięcie łącza phishingowego jest niepowodzeniem szkolenia, natomiast celowe udostępnienie danych uwierzytelniających stanowi naruszenie zasad. Inne istotne zasady obejmują zasady korzystania z mediów społecznościowych (co można udostępniać na temat organizacji), zasady postępowania z nośnikami i mediami oraz zasadę czystego biurka.

Sprawdź swoją znajomość zagadnień CompTIA Security+ (SY0-701) omówionych w tej lekcji.

W tej lekcji poznali Państwo następujące zagadnienia: skuteczne programy podnoszenia świadomości bezpieczeństwa łączą szkolenia zależne od roli, symulacje phishingu, naukę just-in-time i mierzalne wskaźniki KPI, aby ograniczać ryzyko związane z czynnikiem ludzkim; SPF, DKIM i DMARC współpracują ze sobą w celu uwierzytelniania nadawców wiadomości e-mail i zapobiegania podszywaniu się pod domeny; natomiast bezpieczne bramy pocztowe zapewniają warstwową ochronę techniczną, obejmującą piaskownicowanie załączników, przepisywanie adresów URL i DLP dla poczty przychodzącej oraz wychodzącej. W następnej części omówimy typy i działanie złośliwego oprogramowania.