Что предпринять, чтобы минимизировать человеческий фактор в обеспечении информационной безопасности компании? 12.06.2023 08:11Перед прочтением сжечь! Как распознать фишинговое письмо
Открывая утром почтовый сервис, далеко не каждый офисный работник подозревает, что среди входящих электронных писем его может поджидать «письмо счастья». Фишинговое письмо обычно имеет такие тему и содержание, которые побуждают пользователя не задумываясь совершить нужные хакеру действия: например, «Срочно! Каждому сотруднику в течение часа отметиться в списке отпусков».
Такое послание может содержать несколько опасных компонентов: например, вложение с вредоносным файлом, открытие которого приведет к заражению ПК. Или ссылку на поддельный ресурс, откуда может начаться автоматическая загрузка вредоноса на машину. Ссылка также может вести на поддельный сайт, маскирующийся под официальный интернет-ресурс (например, банковский или внутрикорпоративный) и предлагающий пользователю заполнить веб-форму конфиденциальными данными. Несколько кликов — и чувствительная информация достанется мошенникам. Проблема в том, что даже при наличии на ПК сотрудника современных средств защиты информации (СЗИ) не все из них могут распознать фишинговые рассылки и предупредить сотрудника об опасности.
Что делать администратору ИБ
Антивирусы сами по себе — давно не панацея. Необходимо комплексно защитить почтовый сервер и точку входа в Интернет (роутер): Грамотно настроенный антиспам, почтовые шлюзы — лучшие средства для борьбы с фишерами. Не лишней будет блокировка некоторых видов вложений, таких как исполняемые или системные файлы. Для развития цифровой культуры сотрудников необходимо систематически проводить тренинги и проверки. Кстати, такие услуги предоставляют многие аутсорсинговые ИБ-компании и операторы SOC (Security Operations Center).
Что делать сотруднику
Надеясь на автоматизированные средства мониторинга ИБ, нужно и самим сохранять бдительность: например, замечать подозрительные имена и адреса отправителей электронных писем, проверять ссылки, по которым предлагается перейти — не перепутаны ли буквы в названии сайта? Как правило, мошенники регистрируют схожие с оригинальными домены, рассчитывая на невнимательность пользователей. В частности, под сайт online.sberbank.ru могут маскироваться такие сайты, как online.sber.ru, onllinesberbank.ru и другие. Помните, что даже сообщение якобы от вашего руководителя или лучшего друга может быть фишинговым и выглядеть очень достоверно. Сомнительное вложение из письма стоит оценить по степени важности, и если оно действительно выглядит нужным — прогнать через антивирус.
Звонит техподдержка — что может пойти не так?
Попытки мошенников обманом выведать у жертвы конфиденциальные сведения по телефону затрагивают не только пользователей-физлиц. Например, сотруднику компании может позвонить домой «специалист технической поддержки» работодателя с просьбой предоставить логин-пароль от рабочего компьютера для «неотложных работ». Или использовать удаленный доступ для неких манипуляций в корпоративной сети, перейти по определенной ссылке, раскрыть другие важные сведения. Контактные данные жертвы злоумышленники чаще всего узнают из предварительной переписки с ней. Проблема таких звонков в том, что их невозможно отследить системами мониторинга, если они поступают на личный телефон сотрудника, не оборудованный MDM-системой.
Что делать администратору ИБ
Как и в предыдущем сценарии, ключевую роль играет повышение цифровой культуры сотрудников.
Что делать сотруднику
Проявлять бдительность и помнить о правилах безопасности, которые, вероятно, прописаны в корпоративных документах. Например, не сообщать данные своей учетной записи третьим лицам, даже если они сильно об этом просят.
Флеш-бэк из 2010-х
Около десяти лет назад флешки являлись настоящим кошмаром для служб безопасности. Сотрудники приносили на них из дома простенькие, непонятно откуда скачанные игрушки типа «Куриной мести» — и заодно заражали вредоносами целые отделы. Есть и другие способы использовать USB-накопитель с исполняемым вредоносным кодом в корыстных целях: например, «случайно оставить» в переговорной комнате.
Сегодня в большинстве крупных организаций запрет на использование флеш-накопителей на рабочих станциях распространяется по умолчанию. Однако настольные ПК часто заменяются нпортативными ноутбуками, и в этом случае пользователь сам волен решать, что ему втыкать в свои порты.
Что делать администратору ИБ
Рекомендовать пользователям не передавать через флеш-накопители файлы на рабочие устройства — для этого можно использовать, например, проверенные облачные хранилища. Отключить автозапуск флешек на рабочих машинах.
Что делать сотруднику
Подозрительную флешку следует отдать коллегам из отдела безопасности, а не проверять самому.
Внутренний враг
Как мы уже упоминали вначале, часто причиной утечек и распространения компрометирующей информации становятся сами сотрудники компании. Это люди, которые по какой-то причине утратили лояльность к работодателю, преследуют личные цели. Зачастую сотрудник просто старается навредить руководству: например, удалить или присвоить клиентскую базу. Но есть и более опасные вредители — в том числе, те, кто периодически сливает информацию конкурентам или продает персональные данные. Типичный пример — «мобильный пробив», когда сотрудник оператора связи предоставляет злоумышленникам сведения о номере телефона абонента по ФИО, детализацию звонков и т. д.
Что делать администратору ИБ
Современные средства мониторинга и предотвращения внутренних угроз (DLP), грамотно настроенные, позволяют предотвратить большинство сценариев утечек. Труднее всего бороться с тем, что не фиксируется в периметре безопасности, — с фотографированием экрана на смартфон. В ряде случаев единственный выход — установить над рабочим местом сотрудника видеокамеру.
Что делать сотруднику
В большинстве случаев внутренние нарушители рано или поздно попадаются, и стоит ли оно того — большой вопрос.
Безопасность на "удалёнке"
Горящие дедлайны крупных проектов, гибридный режим, сверхурочная работа сотрудника из дома — многие компании поощряют это, даже с учетом повышенных рисков безопасности. Ведь на личном компьютере сотрудника, который он использует для общения в соцсетях, скачивания с торрентов и других целей, может скопиться целый ряд угроз. Проблем добавляют и злоумышленники. После массового распространения дистанционного формата работы очень популярной стала атака протоколов для подключения к удаленным рабочим столам RDP. Используя уязвимости этого протокола, хакер способен получить полный доступ к одному компьютеру или серверу, а затем через него проникнуть в корпоративную сеть, получив все необходимые права.
Что делать администратору ИБ
Сегодня в арсенале безопасников обширный инструментарий СЗИ, начиная с двухфакторной аутентификации при удаленном доступе пользователя к корпоративным ресурсам и упомянутой выше DLP-системы.
Что делать сотруднику
Элементарные правила цифровой гигиены позволят сохранить в безопасности и корпоративные, и личные данные. К таким правилам относятся, например, использование антивирусной защиты с актуальными базами, регулярное обновление ПО, частая смена сложных паролей, неразглашение личной информации в соцсетях. В некоторых случаях может потребоваться VPN и система резервного копирования.