Säkerhetsmedvetenhet och skydd mot nätfiske

Tekniska kontroller – brandväggar, kryptering och MFA – är nödvändiga, men den mänskliga faktorn är fortfarande den sårbarhet som utnyttjas mest vid de flesta dataintrång. Säkerhetsmedvetenhetsutbildning syftar till att bygga en säkerhetsmedveten kultur där anställda känner igen hot, följer säkra arbetssätt och förstår konsekvenserna av sina handlingar. Security+-provet testar din förståelse av hur effektiva program för säkerhetsmedvetenhet utformas och mäts, inte bara vilka ämnen som ska tas upp. En ineffektiv avprickningsövning en gång om året har minimal effekt; ett effektivt program är kontinuerligt, engagerande och mätbart.

Ett effektivt program för säkerhetsmedvetenhet innehåller flera komponenter som samverkar. Rollbaserad utbildning anpassar innehållet efter specifika arbetsuppgifter – chefer behöver medvetenhet om whaling och BEC, utvecklare behöver säker kodning och ekonomipersonal behöver rutiner för trådbedrägerier. Nätfiskesimuleringar ger realistisk övning och mäter klickfrekvensen. Utbildning i rätt tid ger ett lärandetillfälle direkt efter ett misslyckande i en simulering. Säkerhetsnyhetsbrev och annan kommunikation håller säkerhet högst upp på agendan. Mätvärden som klickfrekvens i simuleringar, slutförandegrad för utbildningar och rapporterade nätfiskeförsök mäter programmets effektivitet över tid.

Nätfiskesimulering testar anställda med realistiska, falska nätfiskemeddelanden för att mäta mottaglighet och identifiera utbildningsbehov. Plattformar som KnowBe4, Proofpoint Security Awareness och Cofense erbjuder mallbaserade kampanjer och analysfunktioner. Bästa praxis omfattar att börja med ett baslinjetest före utbildningen för att mäta den initiala klickfrekvensen, variera nätfiskemallarna så att olika förevändningar täcks (insamling av inloggningsuppgifter, bilagor och BEC), ge omedelbar utbildning till anställda som klickar, dela upp resultaten per avdelning för att hitta högriskgrupper och genomföra upprepade tester för att bekräfta att klickfrekvensen minskar över tid. Använd aldrig simuleringar som bestraffning.

SPF (Sender Policy Framework) är en DNS-baserad mekanism som anger vilka e-postservrar som har behörighet att skicka e-post för en domän. Domänägaren publicerar en SPF-post (en TXT-post i DNS) som listar behöriga IP-adresser eller servervärdnamn. När en mottagande e-postserver får ett meddelande som påstås komma från example.com frågar den DNS efter example.coms SPF-post och verifierar att den sändande serverns IP-adress är behörig. E-post från obehöriga servrar kan markeras som skräppost eller avvisas. SPF skyddar inte ensamt den synliga From-adressen, utan endast kuvertavsändaren (Return-Path).

DKIM (DomainKeys Identified Mail) lägger till en kryptografisk signatur i utgående e-postmeddelanden. Den sändande e-postservern signerar e-posthuvudena och meddelandets brödtext med domänens privata nyckel och inkluderar signaturen i ett DKIM-Signature-huvud. Den mottagande servern hämtar motsvarande publika nyckel från DNS (TXT-posten selector._domainkey.example.com) och verifierar signaturen. DKIM bevisar att e-postmeddelandet inte har ändrats under överföringen och att det kommer från någon som har åtkomst till den privata nyckeln. Till skillnad från SPF skyddar DKIM Header From-adressen och fungerar även när e-post vidarebefordras.

DMARC (Domain-based Message Authentication, Reporting, and Conformance) bygger vidare på SPF och DKIM genom att ange vilken åtgärd mottagande e-postservrar ska vidta när ett meddelande inte klarar båda kontrollerna samt genom att tillhandahålla rapportering. En DMARC-policy med p=reject instruerar mottagarna att kasta meddelanden som inte klarar SPF- och DKIM-justeringen för domänen. DMARC introducerar även justering – domänen i Header From måste matcha den domän som har validerats med SPF/DKIM. DMARC:s samlingsrapporter (rua) visar vem som skickar e-post med din domän och avslöjar obehöriga avsändare och pågående spoofingkampanjer.

En Secure Email Gateway (SEG) söker igenom all inkommande och utgående e-post efter skadligt innehåll innan leverans. SEG-lösningar kombinerar flera detekteringstekniker: skräppostfiltrering, SPF/DKIM/DMARC-verifiering, URL-omskrivning (länkar omvandlas till proxierade versioner för säker genomsökning), sandlådekörning av bilagor (misstänkta filer körs i isolerade miljöer) och dataförlustskydd (utgående e-post genomsöks efter känsliga uppgifter). Populära SEG-leverantörer är Proofpoint, Mimecast, Microsoft Defender for Office 365 och Cisco Secure Email. SEG-lösningar utgör den första tekniska försvarslinjen mot e-postbaserade angrepp.

Ett av de mest värdefulla resultaten av säkerhetsmedvetenhetsutbildning är en miljö där anställda känner sig trygga med att rapportera misstänkt aktivitet utan rädsla för skuld eller förlöjligande. Om anställda är rädda för bestraffning när de klickar på en nätfiskelänk kommer de att dölja det i stället för att rapportera det – vilket ger angripare mer tid inne i nätverket. En skuldfri rapporteringskultur innebär att tacka anställda som rapporterar misstänkta e-postmeddelanden (även falska positiva), använda misslyckade simuleringar som lärandetillfällen i stället för bestraffningar och göra rapporteringen enkel genom särskilda e-postalias eller webbläsartillägg. Målet är snabb upptäckt, inte perfekt mänsklig prestation.

Tekniska kontroller kompletterar utbildningen genom att stoppa nätfiske som når användarna. Webbläsarskydd mot nätfiske använder realtidsdatabaser för URL-rykte (Google Safe Browsing, Microsoft SmartScreen) för att varna användare innan de besöker kända skadliga webbplatser. DNS-sänkhål låter skadliga domäner slå upp icke-routningsbara adresser och blockerar åtkomsten på nätverkslagret utan någon åtgärd på klienten. Proxyfiltrering möjliggör blockering baserat på URL-kategori. Genom att kombinera användarutbildning med dessa tekniska kontroller skapas flera oberoende möjligheter att stoppa nätfiskeförsök innan de leder till komprometterade inloggningsuppgifter eller installation av skadlig kod.

Program för säkerhetsmedvetenhet måste mätas för att motivera investeringar och driva kontinuerliga förbättringar. Viktiga resultatindikatorer omfattar: klickfrekvens för nätfiske (baslinje jämfört med efter utbildningen), genomsnittlig tid till rapportering av ett nätfiskemeddelande, slutförandegrad för utbildningar per avdelning, antal bekräftade incidenter som involverar mänskliga fel samt minskning av dataintrång baserade på komprometterade inloggningsuppgifter över tid. Rapportering till ledningen bör visa trender (förbättring eller försämring) och lyfta fram avdelningar som behöver riktade insatser. Anpassa mätvärdena efter verksamhetsrisken – en klickfrekvens på 5 % inom ekonomi innebär högre risk än 5 % inom underhåll.

Medvetenhetsutbildning måste stödjas av policyer som går att verkställa. En policy för godtagbar användning (AUP) definierar hur anställda får och inte får använda organisationens system, nätverk och data. Anställda bör bekräfta AUP:n årligen (och när policyerna ändras) genom att underteckna ett avtal. AUP:n utgör den rättsliga grunden för disciplinära åtgärder när anställda bryter mot säkerhetspolicyer – att klicka på en nätfiskelänk är ett utbildningsmisslyckande, medan avsiktlig delning av inloggningsuppgifter är ett policybrott. Andra relevanta policyer omfattar en policy för sociala medier (vad som får delas om organisationen), en policy för mediehantering och en policy för ett rent skrivbord.

I den här lektionen har du lärt dig att effektiva program för säkerhetsmedvetenhet kombinerar rollbaserad utbildning, nätfiskesimuleringar, just-in-time-lärande och mätbara KPI:er för att minska risken kopplad till den mänskliga faktorn, att SPF, DKIM och DMARC samverkar för att autentisera e-postavsändare och förhindra förfalskning av domäner, samt att säkra e-postgateways ger ett skiktat tekniskt skydd med bland annat sandboxning av bilagor, omskrivning av URL:er och DLP för inkommande och utgående e-post. Härnäst går vi igenom typer av skadlig programvara och deras beteenden.