Фишинг корпоративтік деректерге қол жеткізудің ең қарапайым тәсілдерінің бірі болып қала береді. Шабуыл жасау үшін қаскүнемге серверден техникалық осалдық іздеу, қорғанысты бұзу немесе күрделі зиянды бағдарламалық қамтылым қолдану әрдайым қажет емес. Кейде қызметкерді сілтемені өзі ашуға, пароль енгізуге немесе кәдімгі жұмыс тапсырмасы сияқты көрінетін әрекетті орындауға көндіру жеткілікті.
Заманауи фишингтік хат банк, басшы, жеткізуші, мемлекеттік сервис немесе корпоративтік техникалық қолдау қызметінен келген кәдімгі хабарлама сияқты көрінуі мүмкін.
Фишинг міндетті түрде «нигериялық ханзададан» келген хат емес
Фишинг туралы айтылғанда көп адам қате толы, күтпеген ұтыс уәде етілген және күдікті сілтемесі бар нашар жазылған хатты елестетеді. Мұндай хабарламалар расында бар, бірақ заманауи шабуылдар көбіне әлдеқайда сенімді көрінеді.
Қаскүнем хатты басшының, банктің, жеткізушінің, мемлекеттік сервистің, техникалық қолдау қызметінің немесе тіпті компаниядағы таныс қызметкердің атынан жібере алады.
Мақсат әдетте біреу: адамды шабуылдаушыға ақпаратқа немесе корпоративтік инфрақұрылымға қол жеткізуге көмектесетін әрекет жасауға мәжбүрлеу.
Бұл сілтемеге өту, логин мен пароль енгізу, тіркемені ашу, авторизацияны растау, құжат жіберу немесе төлем жасау болуы мүмкін.
Сондықтан ұйымды фишингтен қорғау «бізде антивирус бар ма?» деген сұрақтан емес, қызметкерлердің электрондық поштамен қалай жұмыс істейтінін және әдеттен тыс хабарлама алғанда қалай шешім қабылдайтынын түсінуден басталады.
Фишинг неге әлі де жұмыс істейді
Қаскүнемнің негізгі құралы — компьютердің техникалық осалдығы емес, адамның реакциясы.
Фишингтік хабарламалар жиі асығыстық сезімін тудырады:
- «Пароліңіздің мерзімі 30 минуттан кейін аяқталады».
- «Есептік жазбаны шұғыл растау қажет».
- «Басшы есепшотты жұмыс күні аяқталғанша төлеуді сұрайды».
- «Сіздің атыңызға құжат келді».
- «Корпоративтік поштаға қол жеткізу бұғатталады».
Егер хабарлама бірден әрекет етуге мәжбүрлесе, әсіресе сөз пароль, төлем, тіркеме немесе жүйеге кіру туралы болса, тоқтап, дереккөзді басқа жолмен тексеруге жақсы себеп бар.
Адам таныс логотипті, үйреншікті жіберуші атын және түсінікті жұмыс жағдайын көреді. Хабарламаны талдаудың орнына тапсырманы тезірек орындауға тырысады.
Бұл әсіресе жұмыс күні тығыз болғанда, қызметкер ұқсас құжатты күтіп отырғанда немесе жіберуші таныс болып көрінгенде жақсы жұмыс істейді.
Фишинг ақпаратты алу мен шешім қабылдау арасындағы дәл осы қысқа сәтті пайдаланады.
Фишингтік шабуыл әдетте қалай дамиды
Жіберушінің мекенжайы оның атынан маңыздырақ
Пошта бағдарламасында пайдаланушы әдетте алдымен жіберушінің атын көреді. Мысалы, ол «Microsoft Support» немесе «WEB-LABS бухгалтериясы» болуы мүмкін.
Бірақ көрсетілетін аттың өзі іс жүзінде ештеңені дәлелдемейді. Оны кез келген түрде көрсетуге болады.
Нақты электрондық пошта мекенжайын қарау әлдеқайда маңызды. Белгілі компаниядан келгендей көрінетін хат мүлде бөгде доменнен келуі мүмкін.
Кейде қаскүнемдер шынайы мекенжайға көзбен ұқсас мекенжайларды пайдаланады. Мысалы, кейбір таңбалар жылдам қарағанда айырмашылық байқалмайтындай етіп ауыстырылуы мүмкін.
Әдеттен тыс сұрауды орындамас бұрын пошта бағдарламасы көрсететін атты ғана емес, жіберушінің нақты мекенжайы мен доменін де тексеріңіз.
Сілтемелер де шынайы болып көрінуі мүмкін
Сілтеме мәтіні мен оның іс жүзінде апаратын мекенжайы бір нәрсе болмауы мүмкін.
Қызметкер экранда «Корпоративтік порталды ашу» деген жазуды көруі мүмкін, бірақ нақты мекенжай мүлде басқа ресурсқа апарады.
Мұндай сайт Microsoft 365, Google Workspace, корпоративтік пошта немесе басқа сервистің кіру бетін көзбен дәл қайталауы мүмкін.
Қызметкер логин мен парольді енгізіп, «Авторизация қатесі» сияқты хабарлама алады да, жұмысын жалғастыра береді.
Пайдаланушыға ерекше ештеңе болмағандай көрінуі мүмкін, ал қаскүнем тіркелгі деректерін әлдеқашан алған болады.
Егер хаттағы сілтемеден өткеннен кейін кенет кіру формасы пайда болса, алдымен сайт мекенжайын тексеріңіз. Беттің сыртқы түріне ғана емес, доменге ерекше назар аударыңыз.
Күрделі парольді өзіңіз беріп қойсаңыз, ол да қорғамайды
Көптеген ұйым күрделі парольді есептік жазбаның негізгі қорғанысы деп санайды. Бірақ фишинг үшін парольдің сегіз таңбадан немесе жиырма таңбадан тұруының айырмашылығы шамалы.
Егер қызметкер оны жалған бетке өзі енгізсе, шабуылдаушы парольді бастапқы күйінде алады.
Сондықтан күрделі бірегей парольдерді көпфакторлы аутентификациямен толықтыру қажет.
Пароль қаскүнемге белгілі болып қалса да, кіруді қосымша растау қол жеткізуді едәуір қиындатады.
Егер қолданба сіз бастамаған кіруді растауды сұраса, оны растамаңыз. Бұл біреу пароліңізді алып, есептік жазбаға кіруге тырысып жатқанын білдіруі мүмкін.
Қауіпті тіркемелер әрдайым қауіпті болып көрінбейді
Белгісіз кеңейтімі бар файл әдетте күдік тудырады. Бірақ шабуылдаушылар әлдеқайда үйреншікті форматтарды бұрыннан пайдаланады.
Шарт, шот, акт, түйіндеме, хабарлама немесе техникалық құжат түрінде пайдаланушы зиянды мазмұнды іске қосуға арналған мұрағат, Office құжаты, ярлык немесе басқа файл алуы мүмкін.
Хат қосымша мына әрекеттерді сұраса, ерекше сақ болу керек:
- макростарды қосу;
- қорғанысты өшіру;
- белгісіз мазмұнды орындауға рұқсат беру;
- қосымша бағдарлама орнату;
- компьютердің қауіпсіздік параметрлерін өзгерту.
Егер кәдімгі шотты, актіні немесе шартты көру үшін қауіпсіздік механизмдерін өшіру талап етілсе, файлмен жұмысты тоқтатып, IT-қызметке жүгінуге елеулі себеп бар.
Күдікті хатты қалай тануға болады
Бір белгі хаттың міндетті түрде зиянды екенін білдірмейді. Бірақ бірнеше фактордың қатар келуі қызметкерді тоқтап, хабарламаны тексеруге итермелеуі тиіс.
Жіберушінің нақты мекенжайын тексеріңіз.
Сілтеме шын мәнінде қай доменге апаратынын қараңыз.
Хат таныс болып көрінеді деп күтпеген тіркемені ашпаңыз.
Күдікті бетке корпоративтік парольді енгізбеңіз.
Өзіңіз бастамаған MFA сұрауын растамаңыз.
Әдеттен тыс қаржылық сұраулар мен реквизит өзгерістерін қайта тексеріңіз.
Күмән болса, хатты IT-маманға немесе қауіпсіздікке жауапты адамға жіберіңіз.
Қызметкер сілтемеге өтіп қойған болса не істеу керек
Сілтемеге өтудің өзі әрдайым компрометацияны білдірмейді. Одан кейін не болғанын түсіну әлдеқайда маңызды.
Егер бет тек ашылған болса
Егер пайдаланушы күдікті бетті ашып, бірақ ештеңе енгізбесе, жүктемесе және іске қоспаса, тәуекел әдетте әлдеқайда төмен. Дегенмен инцидент туралы IT-маманға хабарлаған дұрыс, әсіресе хат корпоративтік мекенжайға келген болса.
Егер пароль енгізілген болса
Егер күдікті сайтқа корпоративтік тіркелгі деректері енгізілсе, парольді мүмкіндігінше тез өзгертіп, жауапты маманға хабарлау қажет.
Егер сол пароль басқа жүйелерде де қолданылса, оны ол жерде де өзгерту қажет.
Егер MFA сұрауы расталған болса
Жағдайды ықтимал инцидент деп қарау керек. IT-қызмет белсенді сеанстарды, әдеттен тыс кірулерді және есептік жазбаның күйін тексеруі қажет.
IT-қызмет күдікті әрекет туралы неғұрлым ерте білсе, шабуылды тоқтату мүмкіндігі соғұрлым жоғары. Жасырылған инцидент көбіне қате басылған батырманың өзінен қауіпті.
Неге бір антивирус жеткіліксіз
Заманауи пошта қорғаныс құралдары зиянды хабарламалардың едәуір бөлігін бұғаттай алады.
Антивирустар файлдарды тексереді. Пошта жүйелері сілтемелерді талдайды. DNS-сүзгілеу белгілі зиянды ресурстарды бұғаттай алады. Көпфакторлы аутентификация ұрланған парольді пайдалану қаупін азайтады.
Бірақ техникалық құралдар барлық хатты міндетті түрде тоқтатады деп кепілдік беру мүмкін емес.
Әсіресе шабуылда зиянды файл мүлде болмай, тек кәдімгі мәтіннен тұрса: мысалы, төлемді жаңа банк реквизиттері бойынша шұғыл аудару туралы өтініш.
Техникалық тұрғыдан мұндай хатта антивирус зиянды деп анықтайтын ештеңе болмауы мүмкін.
Сондықтан ұйымның ақпараттық қауіпсіздігі әрдайым техникалық қорғаныс құралдары мен қызметкерлердің дұрыс әрекеттеріне қатар сүйенеді.
Қызметкерлерді оқыту — инфрақұрылым қорғанысының бір бөлігі
Киберқауіпсіздік бойынша оқыту жүздеген күрделі термині бар бірнеше сағаттық дәріске айналмауы тиіс.
Қарапайым қызметкерге TLS құрылымын, SIEM жұмыс принциптерін немесе Active Directory архитектурасын білу міндетті емес.
Оған практикалық нәрселерді түсіну әлдеқайда маңызды:
- күдікті сілтеме қалай көрінеді;
- парольді неге беруге болмайды;
- MFA-ны қашан растауға болмайды;
- күтпеген тіркемемен не істеу керек;
- әдеттен тыс сұрауды қалай қайта тексеру керек;
- күдікті хат туралы кімге хабарлау керек.
Оқыту нақты жұмыс жағдайларына неғұрлым жақын болса, қызметкер шабуыл сәтінде дұрыс әрекетті есіне түсіру ықтималдығы соғұрлым жоғары.
Ұйым не істей алады
Фишингтен қорғаныс бірден бірнеше деңгейде құрылуы тиіс.
Заманауи сүзгілеу механизмдері бар корпоративтік поштаны пайдалану.
Критикалық жүйелер үшін көпфакторлы аутентификацияны қосу.
Бірегей парольдерді пайдаланып, пайдаланушылар құқықтарын бөлу.
Бағдарламалық қамтылым мен жұмыс станцияларын өзекті күйде ұстау.
Критикалық деректердің резервтік көшірмесін баптау.
Корпоративтік пошта домені үшін SPF, DKIM және DMARC баптау.
Қызметкерлерді әлеуметтік инженерияның кең таралған сценарийлерін тануға үйрету.
Күдікті хаттар мен инциденттер туралы хабарлаудың түсінікті тәртібін жасау.
Жұмыс компьютерінің техникалық қорғаныс шараларын қосымша мына құралмен бағалауға болады: жұмыс орнының қауіпсіздігін тексеру. Ол әкімшілік құқықтарды, Windows жаңартуларын, антивирустық қорғанысты, желіаралық экранды, MFA-ны, қашықтан қол жеткізуді және жұмыс деректерінің сақталуын тексеруге мүмкіндік береді.
Адам факторын жою мүмкін емес — оны басқаруға болады
Кейде қызметкерлерді ақпараттық қауіпсіздіктің ең әлсіз буыны деп атайды. Бұл тым қарапайым көзқарас.
Қызметкер расында қателесуі мүмкін. Бірақ сол адамның өзі күдікті хатты бірінші байқап, шабуыл туралы хабарлап, бүкіл ұйым үшін инциденттің алдын ала алады.
Компанияның міндеті — әр пайдаланушыдан киберқауіпсіздік маманының деңгейін күтпеу.
Қауіпсіз әрекет түсінікті әрі үйреншікті болатын орта құру қажет.
Техникалық қорғаныс қауіпті хабарламалар санын азайтады. Оқыту пайдаланушыға бәрібір жеткендерін тануға көмектеседі. Ал инцидент туралы хабарлаудың түсінікті тәртібі қате болып қойған жағдайда жылдам әрекет етуге мүмкіндік береді.
Дәл осы шаралардың үйлесімі қорғанысты шын мәнінде жұмыс істейтін етеді.
Киберқауіпсіздік дұрыс әрекеттерден басталады.
WEB-LABS проводит обучение сотрудников основам кибербезопасности на рабочем месте: безопасной работе с электронной почтой, паролями, файлами, интернет-ресурсами и корпоративными системами.
После прохождения курса сотрудники проходят итоговое тестирование и получают персональный сертификат WEB-LABS.