-
𝐏𝐘𝐑𝐄𝐗
- 233
- 207
Основатель форума
Авторский экспертный материал. Простые правила, которые помогут вовремя распознать фишинговые атаки и избежать их последствий, а также краткий обзор основных видов таких атак
Большая часть компьютерных атак становятся успешными благодаря социальной инженерии. Ежедневная рутина сопровождается прочтением десятков писем, среди которых легко пропустить единственное «поддельное».Мы провели более 20 успешных проверок, в которых использовалась социальная инженерия. Раз за разом один результат — удивление и фраза «мы знали о таком, но сами не видели». Банальные и базовые ошибки в работе сотрудников и недоумевающий взгляд администраторов.
Таким образом, получилось сформулировать задачу — наглядно указать, на что обратить внимание в ежедневной работе, чтобы не стать жертвой таких атак.
Кому и как это использовать?
- Администраторам и специалистам по ИБ — пожалуйста, используйте материал как брошюру для обучения сотрудников. Информация для вас лично указана отдельной сноской.
- Сотрудникам предприятий — ознакомьтесь и знайте врага в лицо. В статье только нужная в работе информация. Не обращайте внимания на заголовки-термины (названия атак), это технические детали. Сноски для администраторов и специалистов безопасности также смело пропускайте.
Общие правила при прочтении писем
Само по себе прочтение поддельного (фишингового) письма ничего опасного за собой не влечет. Но переход по ссылке в письме или открытие документа приведут к серьёзным последствиям.Мы получили следующее письмо:
Предупреждения на этапе прочтения письма
Предупреждения почтового клиента – это не нормально:Это еще не делает письмо фишинговым, но обязано насторожить.
Адрес отправителя
Мы знаем, что наш почтовый адрес — [email protected].Адрес отправителя — [email protected].
Первое правило:
ВСЕ, что написано ДО знака «@» — неважно!
Письмо отправили не ваши коллеги, если есть различие хоть в одном символе после знака «@».
Такое письмо необязательно фишинговое, но уже нельзя слепо верить написанному, сразу же открывать вложения и переходить по ссылкам.
Как видно – письмо отправили не сотрудники финансового отдела, как написано в тексте. После «@» имя другого предприятия. Это уже повод обратиться в отдел информационной безопасности или к другому администратору, который подскажет куда обратиться и что сделать
Подпись отправителя
Взгляните на подпись. Злоумышленнику часто неизвестен формат внутренней переписки. Подпись в фишинговом сообщении будет отличаться от общепринятой. В случае несоответствия обратитесь к администраторам, высказав свои подозрения.В случае несоответствия обратитесь к администраторам, высказав свои подозрения.
Вложение в письме
Если на компьютере установлен антивирус – это ни в коем случае не защищает вас на 100%.Внимательность – лучшее средство защиты.Следующая задача – посмотреть на имя файла вложения:Формируем новое правило:
Важно только то, что написано после ПОСЛЕДНЕЙ точки.
Мы указали только популярные форматы. Если файл вызывает подозрения, то лучше перестраховаться и получить рекомендацию администратора.
В нашем случае формат вложения «.exe». Уже 2 серьезных триггера, смело обращаемся к специалистам по безопасности или администраторам. С вероятностью близкой к 100% письмо фишинговое.
Документы Microsoft Office
Если потенциальному злоумышленнику удалось убедить вас открыть документ Microsoft Office – запомните еще одно простое правило:Если источник недоверенный, как бы вас не просили – НИКОГДА не нажимайте на кнопку сверху. На любую кнопку сверху.
Ни «Разрешить редактирование», ни «Включить содержимое», ни что-либо еще. Формулировка на таких кнопках не передает сути и масштаба угрозы. Равносильно кнопке «Заразить компьютер».
Попытка убедить нажать на кнопку сигнализирует о вероятном фишинге. Сообщаем соответствующим людям.
Ссылки в тексте
Просьба перейти по ссылке и ввести свои данные – главное Орудие в фишинге.Вы переходите по ссылке в письме и видите сайт вашего предприятия.
Первое, что мы проверим – соответствие адреса сайта в адресной строке адресу сайта вашего предприятия:
Внимание на строку, отмеченную красным. Строчка, отмеченная зеленым ничего не значит. Злоумышленник способен написать там что угодно!
Различие хоть в одном символе сигнализирует об опасности сайта (сайт-оригинал goSuslugi.ru, в примере же ссылка на goZuslugi.ru) – закрываем сайт и обращаемся к администратору.
Правило для обращения со ссылками:
Просьба ввести учетные данные (авторизоваться) на сайте по ссылке – признак фишинга. Не вводите свои данные на сайтах из писем, когда не уверены в отправителе.
Замочек возле сайта
Иллюзию безопасности сайта создает замочек возле него (обычно зеленый или серый).Запомните раз и навсегда:Никакой замочек возле сайта не является гарантией безопасности!Важен только адрес сайта. Ничего больше.
Мы рассмотрели общие правила чтения электронных писем, которые помогут распознать фишинг. Перейдем от общего к частному. Краткий обзор существующих угроз.
Виды почтовых атак. Фишинг целевой
Это случай, рассмотренный ранее:Атаки нацелены на сотрудников предприятия, имеют определенную идею и часто хорошо подготовленные вредоносные вложения и сайты.
Виды почтовых атак. Фишинг массовый
Такие атаки берут не качеством, а количеством. Рассылаются во множество предприятий и склоняют сотрудника к действию под давлением на страх, «халяву» и т.д.Бесплатный сыр только в мышеловке. Поговорка точно описывает метод защиты от этого вида фишинга. Есть и дополнительное правило:
Запрещено даже вчитываться в такие письма. Злоумышленники умело управляют эмоциями жертв.
Виды почтовых атак. Вейлинг
Фишинговые атаки на конкретного человека на предприятии. Крайне тщательно подготовленные вредоносные вложения и тематика. Злоумышленник изучает жертву, либо знает о деятельности жертвы (направляет фишинговое письмо на тему закупок по адресу [email protected], например).
Виды телефонных атак. Вишинг
Часто мы при проверках не ограничиваемся одной электронной почтой. На ваш мобильный или рабочий номер может поступить звонок. Сам факт ответа на неизвестный номер безопасен. Но…Если неизвестный человек звонит на мобильный и интересуется рабочими вопросами (процедурой входа в здание предприятия, наличием охраны, рабочими программами, ФИО сотрудников, и чем-либо еще по работе) НЕ ВАЖНО кем он представился – спросите ЕГО рабочий телефон (свой не давайте) и сообщите, что готовы обсуждать рабочие вопросы только по рабочему телефону. Так же уточните как к нему обращаться и из какого собеседник отдела.
Злоумышленник может заговаривать зубы и даже угрожать (увольнением, лишением премии и т.д.). Кладите трубку с фразой: «Я не могу обсуждать это по телефону, всего доброго». И заявляете о своих подозрениях специалистам информационной безопасности или администраторам. Никаких претензий или штрафных санкций к вам после такого заявления не может быть применено.
Виды физических атак. Подбрасывание носителей информации
Подобранные (на территории предприятия или в домашнем подъезде, неважно) носители информации (флеш-карты памяти, диски и т.д.) запрещено подключать к компьютерам предприятия.Популярная атака – раскидать флешки (или что проще – диски, подписанные «Зарплата кадры 2023») по периметру предприятия, в надежде на любопытство жертвы. Сразу при подключении такого носителя компьютер заражается, и злоумышленник проникает в сеть.Если вы не удержались и решили, что информация просто не может пройти мимо вас, а после подключения носителя или запуска документа компьютер стал странно себя вести, например, на мгновение появилась командная строка (скриншот ниже), лучше перестраховаться и обратиться к администраторам.
Виды физических атак. Подключение носителей информации сторонними лицами
Пройти пост охраны дело техники. Находясь на территории предприятия злоумышленник просит случайного сотрудника распечатать документ с его компьютера. Сотрудник своими руками подключает флеш-карту памяти, открывает зараженный документ и заражает сеть. Злоумышленник покидает место проникновения с напечатанными документами и довольной улыбкой. Метод противодействия прост – ведем человека к администратору и если тот посчитает нужным, то распечатает документ. Или же правило:Не позволяйте подключать неизвестные устройства и накопители информации к своему рабочему компьютеру.
Заключение
В заключении сформулируем еще одно, последнее правило:Не пересылайте потенциально опасный документ коллегам!
Обычно это происходит со словами: «У меня не открывается, попробуй ты». Мы сталкиваемся с такой инициативой на каждом третьем аудите. Будьте внимательней.
То, что на первый взгляд кажется объемным справочником – на деле перечень простых правил, которые помогут распознать большинство атак с использованием социальной инженерии. Даже если вы попались на уловку злоумышленника, сообщили какую-либо информацию, открыли документ или ввели учетные данные – ОБЯЗАТЕЛЬНО сообщите об этом в отдел информационной безопасности или администраторам. Таким образом вы снимите с себя ответственность, а специалисты смогут быстро отреагировать и не дать злоумышленнику использовать полученную информацию.
Ответы0