Обучение осведомлённости о безопасности и защита от фишинга

Технические средства контроля — межсетевые экраны, шифрование, MFA — необходимы, однако человеческий фактор остаётся наиболее активно используемой уязвимостью в большинстве случаев нарушения Security. Обучение Security awareness направлено на формирование культуры, ориентированной на Security, в которой сотрудники распознают угрозы, соблюдают безопасные практики и понимают последствия своих действий. На экзамене Security+ проверяется понимание того, как проектировать и измерять эффективность программ awareness, а не только знание тем, которые нужно в них включить. Нееффективное формальное мероприятие раз в год почти не приносит пользы; эффективная программа должна быть непрерывной, интересной и измеримой.

Эффективная программа awareness в области Security включает несколько взаимосвязанных компонентов. Обучение с учётом роли адаптирует содержание к конкретным должностным обязанностям: руководителям нужны знания о целевом фишинге и BEC, разработчикам — о безопасном программировании, а финансовым сотрудникам — о процедурах защиты от мошенничества с переводами. Имитации фишинга обеспечивают реалистичную практику и позволяют измерять долю переходов по ссылкам. Обучение в нужный момент предоставляет учебный материал сразу после неудачи при имитации. Рассылки и сообщения о Security поддерживают постоянное внимание к Security. Такие показатели, как доля переходов по ссылкам в имитациях, доля завершивших Training и количество сообщений о фишинге, позволяют со временем оценивать эффективность программы.

Имитация фишинга проверяет сотрудников с помощью реалистичных поддельных фишинговых писем, чтобы измерить восприимчивость к атакам и определить потребности в Training. Такие платформы, как KnowBe4, Proofpoint Security Awareness и Cofense, предоставляют готовые кампании и аналитику. Рекомендуемые практики: провести исходное тестирование до Training, чтобы определить начальную долю переходов по ссылкам; менять шаблоны фишинговых сообщений, охватывая разные предлоги (кража учётных данных, вложение, BEC); немедленно обучать сотрудников, перешедших по ссылке; разделять результаты по отделам для выявления групп высокого риска; регулярно повторять тестирование, чтобы убедиться в постепенном снижении доли переходов. Никогда не используйте имитации в качестве наказания.

SPF (Sender Policy Framework) — это механизм на основе DNS, который указывает, какие почтовые серверы уполномочены отправлять электронные письма от имени домена. Владелец домена публикует запись SPF (запись TXT в DNS) со списком разрешённых IP-адресов или имён серверов. Когда принимающий почтовый сервер получает письмо, якобы отправленное с example.com, он запрашивает в DNS запись SPF для example.com и проверяет, разрешён ли IP-адрес отправляющего сервера. Письма с неавторизованных серверов могут быть помечены как спам или отклонены. Сам по себе SPF не защищает видимый адрес From, а только отправителя конверта (Return-Path).

DKIM (DomainKeys идентифицированная почта) добавляет криптографическую подпись к исходящим электронным письмам. Отправляющий почтовый сервер подписывает заголовки и тело письма с помощью закрытого ключа домена и помещает подпись в заголовок DKIM-Signature. Принимающий сервер получает соответствующий открытый ключ из DNS (запись TXT selector._domainkey.example.com) и проверяет подпись. DKIM подтверждает, что письмо не было изменено при передаче и что оно отправлено кем-то, имеющим доступ к закрытому ключу. В отличие от SPF, DKIM защищает адрес Header From и сохраняет защиту при пересылке письма.

DMARC (Domain-based аутентификация сообщений, Reporting и Conformance) развивает SPF и DKIM: он задаёт действие, которое должны выполнять принимающие почтовые серверы, если письмо не проходит обе проверки, и предоставляет Reporting. Policy DMARC с p=reject предписывает принимающим серверам отбрасывать письма, не прошедшие согласование SPF и DKIM для данного домена. DMARC также вводит понятие согласования — домен Header From должен совпадать с доменом, подтверждённым SPF/DKIM. Сводные отчёты DMARC (rua) показывают, кто отправляет письма от имени Вашего домена, выявляя неавторизованных отправителей и активные кампании подмены.

Secure Email Gateway (SEG) проверяет всю входящую и исходящую электронную почту на наличие вредоносного содержимого до доставки. SEG объединяет несколько технологий обнаружения: фильтрацию спама, проверку SPF/DKIM/DMARC, переписывание URL (преобразование ссылок в проксируемые версии для безопасного сканирования), песочницу для вложений (запуск подозрительных файлов в изолированных средах) и предотвращение утечек данных (проверку исходящей почты на наличие конфиденциальной информации). К популярным поставщикам SEG относятся Proofpoint, Mimecast, Microsoft Defender for Office 365 и Cisco Secure Email. SEG формируют первую техническую линию Defense от атак через электронную почту.

Один из наиболее ценных результатов Training по Security awareness — среда, в которой сотрудники не боятся сообщать о подозрительной активности, не опасаясь обвинений или насмешек. Если сотрудники боятся наказания за переход по фишинговой ссылке, они скроют этот факт, а не сообщат о нём, что даст злоумышленникам больше времени внутри сети. Культура сообщений без поиска виноватых означает благодарить сотрудников за сообщения о подозрительных письмах (даже если это ложные срабатывания), использовать ошибки при имитациях как возможности для обучения, а не наказания, и максимально упростить отправку сообщений с помощью выделенных почтовых псевдонимов или расширений браузера. Цель — быстрое обнаружение, а не безошибочность людей.

Технические средства контроля дополняют Training и обнаруживают фишинговые атаки, которые всё же достигают пользователей. Защита браузера от фишинга использует базы данных репутации URL в реальном времени (Google Safe Browsing, Microsoft SmartScreen), чтобы предупредить пользователей перед переходом на известные вредоносные сайты. DNS-ловушки разрешают вредоносные домены в немаршрутизируемые адреса, блокируя доступ на сетевом Layer без каких-либо действий на клиенте. Прокси-фильтрация позволяет блокировать категории URL. Сочетание Training пользователей с этими техническими средствами создаёт несколько независимых возможностей обнаружить фишинговые попытки до того, как они приведут к компрометации учётных данных или установке вредоносного ПО.

Программы awareness в области Security необходимо измерять, чтобы обосновывать затраты и постоянно улучшать их. Ключевые показатели эффективности включают: долю переходов по фишинговым ссылкам (исходное значение по сравнению со значением после Training), среднее время до сообщения о фишинговом письме, долю завершивших Training по отделам, количество подтверждённых инцидентов, связанных с человеческими ошибками, и снижение количества нарушений Security, связанных с учётными данными, с течением времени. В отчётах для руководства следует показывать тенденции (улучшение или ухудшение) и выделять отделы, которым требуется целевое вмешательство. Соотносите показатели с бизнес-риском: доля переходов 5% в финансовом отделе опаснее, чем 5% в отделе технического обслуживания.

Обучение осведомлённости должно подкрепляться обязательными к исполнению политиками. Acceptable Use Policy (AUP) определяет, как сотрудники могут и не могут использовать системы, сети и данные организации. Сотрудники должны ежегодно подтверждать ознакомление с AUP (а также при изменении политик), подписывая соответствующее соглашение. AUP создаёт правовые основания для дисциплинарных мер в случае нарушения сотрудниками политик безопасности: переход по фишинговой ссылке — это ошибка в обучении, а намеренная передача учётных данных — нарушение политики. К другим важным политикам относятся политика использования социальных сетей (что можно публиковать об организации), политика обращения с носителями и политика чистого рабочего стола.

Проверьте своё понимание концепций CompTIA Security+ (SY0-701), рассмотренных в этом уроке.

В этом уроке Вы узнали, что эффективные программы повышения осведомлённости о безопасности объединяют обучение с учётом роли сотрудника, имитацию фишинговых атак, обучение в нужный момент и измеримые KPI для снижения рисков, связанных с человеческим фактором; SPF, DKIM и DMARC совместно подтверждают подлинность отправителей email и предотвращают подмену домена; а защищённые шлюзы email обеспечивают многоуровневую техническую защиту, включая изолированное выполнение вложений в Sandbox, переписывание URL и DLP для входящих и исходящих сообщений email. Далее мы рассмотрим типы и поведение вредоносных программ.