เปิดเผยการโจมตีเมลหลอกฟิชชิ่ง | เหตุใดระบบอีเมลของเราจึงถูกโจมตีด้วยอีเมลหลอกลวงและฟิชชิ่ง | ตอนที่ 5#9 .com

เริ่มต้นด้วยการประกาศเกี่ยวกับปรากฏการณ์แปลกๆ: การโจมตีด้วยเมลหลอกและการโจมตีด้วยเมลฟิชชิ่ง เป็นการโจมตีที่รู้จักกันดี และถือเป็นการโจมตีที่ได้รับความนิยมในหมู่ “องค์ประกอบที่ไม่เป็นมิตร” ” องค์กรที่มีอยู่ส่วนใหญ่ไม่มีกลไกการป้องกันที่มีประสิทธิภาพต่อการโจมตีข้างต้น และมีโอกาสสูงที่จุดหนึ่งที่องค์กรของคุณจะได้สัมผัสกับรสชาติอันขมขื่นของการโจมตีด้วยการปลอมแปลงหรือฟิชชิ่ง!

เหตุใดระบบเมลของเราจึงถูกโจมตีด้วยเมลหลอกลวงและฟิชชิ่ง

ดังนั้นคำถามที่ชัดเจนที่สุดอาจเป็น:

1. ข้อความนี้ถูกต้องหรือไม่?
2. และถ้าข้อความนี้ถูกต้องถูกต้องจะไม่มีใครสนใจปัญหานี้และทำอะไรสอดคล้องกันได้อย่างไร?

ในบทความปัจจุบัน ผมอยากจะให้ “อาหารแห่งความคิด” แก่คุณเกี่ยวกับปรากฏการณ์ประหลาดนี้ ซึ่งเราอยากจะมองข้ามอันตรายจากการโจมตีด้วยเมลหลอกและการโจมตีด้วยเมลฟิชชิ่ง ปิดตาของเรา และประกาศต่อไปว่า “เราเป็น พยายามอย่างเต็มที่เพื่อปกป้องโครงสร้างพื้นฐานเมลของเรา!”

ความเข้าใจผิดที่พบบ่อยที่ทำให้เราเพิกเฉยต่อภัยคุกคามจากการโจมตีด้วยเมลหลอกและการโจมตีเมลฟิชชิ่ง

1. มันจะไม่เกิดขึ้นกับฉัน

ในบางครั้ง เราได้อ่านเรื่องราวเกี่ยวกับบริษัทที่ถูกโจมตีด้วยอีเมลฟิชชิ่ง และเรื่องราวที่น่าเศร้า เช่น - เรื่องราวเกี่ยวกับ CEO ที่ถูกล่อลวงให้โอนเงินจำนวนมากเข้าบัญชีธนาคารของผู้โจมตี แต่เราไม่ ไม่เชื่อจริงๆว่ามันจะเกิดขึ้นกับเรา

คำตอบของฉันคือไม่ใช่เรื่องของ "ถ้า" แต่เป็นเรื่องของ "เมื่อไหร่" เท่านั้น

โอกาสส่วนใหญ่ที่องค์กรของคุณจะประสบกับการโจมตีทางอีเมล์ปลอมและการโจมตีทางอีเมล์ฟิชชิ่งในบางจุด

<แข็งแกร่ง>2. อยู่ในใจมากเกินไป

สมาชิกไอทีหรือผู้จัดการไอทีโดยเฉลี่ยทุกคนต่างมีความรู้สึก “คิดมากเกินไป”
ทุกๆ วัน “เชิญชวน” ความท้าทายใหม่ๆ และวิกฤติใหม่ๆ

“ฉันรู้ว่าหัวข้อของการโจมตีเมลหลอกและการโจมตีเมลฟิชชิ่งนั้นมีความสำคัญ แต่ฉันมีปัญหาที่สำคัญมากกว่านั้นซึ่งฉันต้องจัดการในขณะนี้”

ความลับเล็กๆ น้อยๆ ก็คือบางที; คุณจะไม่มีเวลาที่ต้องการ!

หากคุณไม่พบเวลาที่กำหนด การโจมตีเมลหลอกครั้งต่อไปและการโจมตีเมลฟิชชิ่งจะทำให้คุณไม่ได้เตรียมพร้อม และผลลัพธ์ที่ได้อาจกลายเป็นเรื่องสำคัญมาก!

เมื่อคุณทราบถึงความสำคัญของความเสี่ยงนี้เท่านั้น คุณจะ "จัดเวลา"

<แข็งแกร่ง>3. องค์กรของฉันได้รับการปกป้องอย่างดีจากการโจมตีเมลหลอกและเมลฟิชชิ่ง

เราทุกคนมีความต้องการอย่างมากที่จะเชื่อว่ามีคนเฝ้าดูเราและจะปกป้องเราเมื่อจำเป็น

นี่เป็นความต้องการขั้นพื้นฐานของมนุษย์

เมื่อเกี่ยวข้องกับความเสี่ยงของ - การโจมตีด้วยอีเมลปลอมและการโจมตีด้วยอีเมลแบบฟิชชิ่ง โดยส่วนใหญ่แล้ว เราเลือกที่จะไม่ให้เกิดขึ้นจริง

แต่เรากลับเลือกที่จะยึดติดกับความคิดทั่วไปที่ว่า “พวกเขา” (ฝ่ายไอทีของฉัน ผู้ให้บริการอีเมลของฉัน และอื่นๆ) กำลังทำในสิ่งที่พวกเขารู้ว่าจะทำ และ “พวกเขา” กำลังทำทุกอย่างเพื่อปกป้ององค์กรของเราจาก การโจมตีด้วยอีเมลปลอมและการโจมตีด้วยอีเมลฟิชชิ่ง

ความจริงนั้นซับซ้อนกว่ามาก!

ส่วนใหญ่แล้ว “ไอที” ไม่รวมถึงหน่วยงานมืออาชีพที่เชี่ยวชาญในเรื่อง “ความปลอดภัยของเมล” หรือไม่รู้ว่าอะไรคือภัยคุกคามเฉพาะที่เกี่ยวข้องกับโครงสร้างพื้นฐานเมลสมัยใหม่ อักขระเฉพาะคืออะไร ของการโจมตีเมลหลอกและการโจมตีเมลฟิชชิ่ง วิธีแก้ปัญหาที่ใช้ได้คืออะไร? และอื่นๆ

โครงสร้างพื้นฐานเมลที่โฮสต์ เช่น Office 365 (Exchange Online) | โครงสร้างพื้นฐานเมลของฉันได้รับการป้องกันโดยอัตโนมัติ!

ในสถานการณ์ที่โครงสร้างพื้นฐานเมลของคุณโฮสต์อยู่ที่ "ผู้ให้บริการเมลภายนอก" เช่น Office 365 และ Exchange Online สมมติฐานที่ไม่ถูกต้องนี้แสดงให้เห็นอย่างชัดเจนที่สุด

ผู้ให้บริการเมลส่วนใหญ่ เช่น Office 365 มีเครื่องมือและโครงสร้างพื้นฐานที่จำเป็นทั้งหมดสำหรับการจัดการและป้องกันการโจมตีอีเมลปลอมและการโจมตีเมลฟิชชิ่ง

“สิ่งเล็กๆ น้อยๆ” ที่เราไม่ทราบถึงข้อเท็จจริงง่ายๆ ที่ว่า “กลไกการป้องกัน” เหล่านี้ไม่ได้เปิดใช้งานโดยค่าเริ่มต้น แต่พวกเขากลับนั่งรอให้เราใช้มันแทน!

สาเหตุหลักที่กลไกการป้องกันนี้ไม่เปิดใช้งานโดยอัตโนมัติคือ เนื่องจากกลไกการป้องกันนี้สามารถสกัดกั้นอีเมลที่ถูกต้องตามกฎหมายโดยไม่ตั้งใจ

สิ่งสำคัญที่พวกเราส่วนใหญ่ไม่ทราบว่าเป็น - ความรับผิดชอบในการใช้กลไกการป้องกันที่มีอยู่คือความรับผิดชอบของเรา!

ตัวอย่างเช่น เมื่อเกี่ยวข้องกับหัวข้อการโจมตีเมลปลอม Exchange Online รองรับมาตรฐานเมลสามมาตรฐานที่ใช้การตรวจสอบผู้ส่ง + รองรับตัวเลือกในการสร้างกฎ Exchange ที่จะระบุเหตุการณ์ของการโจมตีเมลปลอม

ความรับผิดชอบในการทราบลักษณะเฉพาะของมาตรฐานเมลยืนยันผู้ส่ง การตั้งค่าการกำหนดค่าที่จำเป็นสำหรับแต่ละมาตรฐานนี้ วิธีกำหนดค่าการปรับเปลี่ยนที่จำเป็นเพื่อให้เหมาะกับความต้องการเฉพาะขององค์กรของเราคือ ความรับผิดชอบของเรา!

จุดอ่อนที่องค์ประกอบที่ไม่เป็นมิตรใช้ประโยชน์เมื่อใช้การโจมตีเมลหลอกและการโจมตีเมลฟิชชิ่งคืออะไร

พื้นฐานสำหรับการโจมตีเมลหลอกและการโจมตีเมลฟิชชิ่งนั้นอาศัยจุดอ่อนหลักสองประการ:

1. จุดอ่อนของโปรโตคอล SMTP
2. ความอ่อนแอของปัจจัยมนุษย์

การโจมตีด้วยอีเมลปลอมและ SMTP เป็นโปรโตคอลที่ไร้เดียงสา

เมื่อเราได้ยินหรือประสบกับการโจมตีทางอีเมลหลอกลวง คำถามแรกที่ปรากฏในใจของเราอาจเป็น:

คำถามที่ 1: เหตุใดเซิร์ฟเวอร์อีเมลจึงไม่รู้วิธีป้องกันตนเองจากการโจมตีด้วยอีเมลปลอมและการโจมตีด้วยอีเมลฟิชชิ่ง

A1: คำตอบง่ายๆ ก็คือ “ผู้สร้าง ” ของโปรโตคอล SMTP ไม่ได้เกี่ยวข้องกับปัญหาของ “ความปลอดภัยของอีเมล” แต่มุ่งเน้นไปที่การสร้างโปรโตคอลอีเมลที่จะส่งข้อความอีเมลแทน จากจุด A ไปยังจุด B ได้อย่างมีประสิทธิภาพและเชื่อถือได้

ปัญหาของ “ความปลอดภัยของเมล” ถูกละเลย เนื่องจากในขณะนั้น ความนิยมของโปรโตคอล SMTP ยังไม่มากนัก และการใช้โปรโตคอล SMTP ก็ไม่ธรรมดานัก

ในการสื่อสารเมลมาตรฐานที่เกี่ยวข้องกับทั้งสองฝ่าย โปรโตคอล SMTP ขึ้นอยู่กับแนวคิดที่เมลเซิร์ฟเวอร์ปลายทาง (ด้าน B) “เชื่อ” ในตัวตน
(ที่อยู่อีเมล) ที่ผู้ส่ง (ด้าน A) จัดให้
ผู้ส่ง (ด้าน A) ไม่จำเป็นต้องพิสูจน์ตัวตน!

การโจมตีด้วยอีเมลฟิชชิ่งและเราในฐานะมนุษย์

สำหรับการโจมตีด้วยฟิชชิ่งเมล พื้นฐานของการโจมตีนี้คือ - ความสามารถในการใช้ประโยชน์จาก “สิ่ง” ที่ทำให้เรา “เป็นมนุษย์”

คำถามที่ 1: เหตุใดการจัดการกับการโจมตีด้วยอีเมลแบบฟิชชิ่งจึงเป็นเรื่องยาก หรือเหตุใดจึงมีผู้คนมากมายตกเป็นเหยื่อของการโจมตีด้วยอีเมลแบบฟิชชิ่ง?

A1:

การโจมตีด้วยอีเมลฟิชชิ่งมาตรฐานโดยอิงตาม "ส่วน" สองส่วนที่ใช้ประโยชน์จากลักษณะของมนุษย์:

การโจมตีด้วยอีเมลแบบฟิชชิ่งเริ่มต้นด้วย “ส่วนที่ไว้วางใจ” ซึ่งองค์ประกอบที่ไม่เป็นมิตรจะใช้ที่อยู่อีเมลของคนที่เรามั่นใจ หรือที่อยู่อีเมลที่ดูเหมือนอีเมลที่ส่งจากแหล่งที่น่านับถือและเชื่อถือได้

“ส่วนที่ไว้วางใจของผู้ส่ง” อาศัย “ความบริสุทธิ์” ของโปรโตคอล SMTP ซึ่งไม่มีกลไกในตัวสำหรับการตรวจสอบตัวตนของ “อีกด้านหนึ่ง”

ส่วนที่สองของการโจมตีจดหมายฟิชชิ่งตาม “เนื้อหา” ที่ปรากฏในข้อความอีเมล

เพลงที่โด่งดังของ Michael Jackson “ธรรมชาติของมนุษย์ ” ซึ่งเป็นองค์ประกอบที่ไม่เป็นมิตรในการโจมตีด้วยอีเมลแบบฟิชชิ่ง ตระหนักถึง "ปุ่มของมนุษย์" ที่แตกต่างกันซึ่งสามารถผลักและควบคุมได้

เนื้อหาอีเมลฟิชชิ่งได้รับการออกแบบมาเพื่อตอบสนองลักษณะทั่วไปของมนุษย์ เช่น ความสงสาร ความกลัว ความโลภ ความอยากรู้อยากเห็น และอื่นๆ

ผู้โจมตีกล่าวถึงหนึ่งใน “ความล้มเหลวของมนุษย์” ในการจัดการเหยื่อให้ “ทำบางสิ่ง” เช่น - เปิดไฟล์เฉพาะ (มัลแวร์) หรือคลิกลิงก์เฉพาะในอีเมลฟิชชิ่งที่จะนำเหยื่อไปยังเว็บไซต์ฟิชชิ่ง

การตื่นรู้ของเราเกี่ยวกับปัญหาการโจมตีเมลหลอกและการโจมตีเมลฟิชชิ่ง | อุปสรรคเพิ่มเติม

สมมติว่าคุณตัดสินใจว่าคุณยอมรับว่าการโจมตีเมลหลอกและการโจมตีเมลฟิชชิ่งก่อให้เกิดความเสี่ยงอย่างมากต่อองค์กรของคุณ และคุณยินดีที่จะใช้ความพยายามและจัดการกับภัยคุกคามนี้อย่างจริงจัง

ในส่วนนี้ ฉันอยากจะตรวจสอบอุปสรรคเพิ่มเติมที่อาจเกิดขึ้นระหว่างทาง
เพื่อให้สามารถเริ่มจัดการกับการโจมตีด้วยอีเมลหลอกลวงและภัยคุกคามจากการโจมตีด้วยอีเมลฟิชชิ่ง คุณจะต้องเอาชนะอุปสรรคเหล่านี้

1. ยุติธรรมจากการทำสิ่งที่จะส่งผลเสียต่อการรับส่งจดหมายขององค์กร

เรามาพูดถึงอุปสรรคที่โดดเด่นที่สุดกัน: ความกลัวต่อสถานการณ์ ซึ่งโซลูชันที่จะนำไปใช้จะสร้างความเสียหายให้กับการรับส่งอีเมลตามปกติ

ฉากของการบวกลวง ซึ่งอีเมลที่ถูกต้องซึ่งส่งถึงผู้ใช้ของเราจะระบุอย่างผิดพลาดว่าเป็นอีเมลหลอกลวงหรืออีเมลฟิชชิ่ง และด้วยเหตุนี้ จะถูก "บล็อก" หรือลบโดยกลไกการป้องกันอีเมลปลอมโดยเฉพาะ ที่เราใช้

เมื่อใช้กลไกความปลอดภัยที่เกี่ยวข้องกับอีเมลหลอกลวง เรากำลังเผชิญกับสถานการณ์ที่เป็นปัญหาสองประการ:

จดหมายขาเข้า

ในการรับส่งอีเมลมาตรฐาน เรายินดีต้อนรับทุกข้อความอีเมลที่ส่งถึงผู้ใช้ของเรา ตราบใดที่ผู้รับปลายทางยังคงอยู่ กล่าวอีกนัยหนึ่ง เราไม่สนใจเกี่ยวกับองค์ประกอบที่เป็นต้นกำเนิดของข้อความอีเมล (ผู้ส่ง) แต่เมลเซิร์ฟเวอร์ที่เป็นตัวแทนขององค์กรของเรามีหน้าที่รับผิดชอบในการตรวจสอบข้อมูลเกี่ยวกับผู้รับปลายทางเท่านั้น (ที่เขาโฮสต์ ตู้ไปรษณีย์ของผู้รับเป้าหมาย)

เมื่อเราใช้กลไกการป้องกันที่ควรปกป้องเราจากการโจมตีทางเมลปลอม เราสามารถเปรียบเทียบกับสถานการณ์ที่เราวาง "ยาม" ไว้ที่ทางเข้าฐานของเรา (โครงสร้างพื้นฐานเมลของเรา)

เทียบกับ สถานการณ์ที่แขกทุกคนได้รับการต้อนรับให้เข้าสู่ขอบเขตของเราเมื่อเราบังคับให้ใช้การยืนยันผู้ส่ง เราได้ใช้กระบวนการที่เราพยายามตรวจสอบตัวตนของแต่ละหน่วยงานที่ต้องการ "เข้าสู่ฐานของเรา"

เมื่อเราใช้ชั้นการรักษาความปลอดภัยเพิ่มเติมนี้ มีโอกาสที่สมเหตุสมผลที่เราจะพบกับสถานการณ์ผลบวกลวง

ในสถานการณ์นี้ “แขกที่ชอบด้วยกฎหมาย” บางรายของเราจะไม่ได้รับอนุญาตให้เข้าไปในฐานของเรา และจะถูกปฏิเสธเนื่องจากไม่มีหลักฐานที่จำเป็นในการแสดงตัวตนหรือจากปัญหาทางเทคนิคใดๆ ที่เกี่ยวข้องกับหลักฐานการแสดงตัวตนของพวกเขา (ของพวกเขา ข้อความอีเมลจะถูกปฏิเสธ)

จดหมายขาออก

อีกแง่มุมหนึ่งของการใช้กลไกการยืนยันผู้ส่งคือความสามารถในการ "ประทับตรา"
ข้อความอีเมลที่ถูกต้องซึ่งส่งโดยผู้ใช้ที่ถูกต้องตามกฎหมายของเรา ดังนั้น "อีกด้านหนึ่ง" จะสามารถยืนยันตัวตนของเราได้ และจะสามารถ เพื่อแยกความแตกต่างผู้ส่งที่ถูกต้องตามกฎหมายของเราจากข้อความอีเมลที่ส่งโดยองค์ประกอบที่ไม่เป็นมิตรซึ่งปลอมแปลงเอกลักษณ์องค์กรของเรา

ปัญหา "ผลบวกลวง" ยังสามารถเกิดขึ้นได้เมื่อเกี่ยวข้องกับสถานการณ์ของการรับส่งอีเมลขาออก ซึ่งหมายถึงข้อความอีเมลที่ผู้ใช้ของเราส่งไปยังผู้รับปลายทางภายนอก

ในโครงสร้างพื้นฐานเมลที่ซับซ้อน ความสามารถในการ “ประทับตรา” ข้อความอีเมลทั้งหมดที่ส่งจากโครงสร้างพื้นฐานเมลของเราทั้งหมดและในลักษณะที่ “เหมาะสม” ถือเป็นงานที่ท้าทายทีเดียว!

ในกรณีที่เราไม่สามารถ "ประทับตรา" แต่ละข้อความอีเมลที่ใช้ข้อมูลประจำตัวองค์กรของเราได้อย่างถูกต้อง (ข้อความอีเมลที่ผู้ส่งใช้ชื่อโดเมนของเรา) สิ่งนี้อาจนำไปสู่สถานการณ์และ E ที่ถูกต้องตามกฎหมาย -ข้อความเมลที่ส่งจากผู้ใช้ของเราจะถูกปฏิเสธโดยโครงสร้างพื้นฐานเมล "อื่น ๆ "

<แข็งแกร่ง>2. กลัวว่าจะกระทบต่อกิจกรรมทางธุรกิจ

การใช้กลไกการรักษาความปลอดภัยของโซลูชันทุกครั้งอาจทำให้กิจกรรมทางธุรกิจหยุดชะงัก อย่างน้อยก็ในระยะแรกของการนำไปใช้และการดูดซึม

ความกลัวว่าจะมีการหยุดชะงักที่คาดการณ์ไว้นี้ทำให้เรามีทัศนคติที่ว่า - อย่าเขย่าเรือ!

อีกทางหนึ่งถ้าไม่มีใครบ่นจนถึงตอนนี้ฉันเดาว่าทุกอย่างโอเค!

ความรู้สึกผิดๆ ว่าถ้าจนถึงตอนนี้ทุกอย่างเรียบร้อยดี ในอนาคตทุกอย่างจะโอเค ก็จะระเบิดใส่หน้าเราในที่สุด

กล่าวอีกนัยหนึ่ง - หากคุณทนความร้อนไม่ได้ ให้ออกจากครัว

<แข็งแกร่ง>3. ปัญหาด้านทรัพยากร
เพื่อให้สามารถเข้าใจ "ศัตรู" ได้อย่างชัดเจน เราจะต้องถาม (และตอบ) คำถามมากมาย เช่น:

• ศัตรูคิดและทำงานอย่างไร?
• ช่องโหว่ของโครงสร้างพื้นฐานเมลของคุณคืออะไร?
• วิธีแก้ปัญหาที่เป็นไปได้สำหรับช่องโหว่ของโครงสร้างพื้นฐานเมลที่มีอยู่คืออะไร?
• อะไรคือความแตกต่างระหว่างโซลูชันต่างๆ เช่น SPF, DKIM, DMARC?

คุณจะต้องมีความอดทนและความเต็มใจที่จะสละเวลาที่จำเป็นในการอ่านและรวบรวมข้อมูลภายใน

<แข็งแกร่ง>4. กลุ่มอาการโต๊ะเครื่องแป้ง

การที่คุณเป็นผู้เชี่ยวชาญด้านไอทีที่มีประสบการณ์ไม่ได้หมายความว่าคุณเป็นมืออาชีพด้านความปลอดภัย และไม่ได้หมายความว่าคุณคุ้นเคยกับความเสี่ยงในปัจจุบันที่คุกคามสภาพแวดล้อมเมลของคุณ และวิธีแก้ปัญหาที่เป็นไปได้สำหรับความเสี่ยงนี้

<แข็งแกร่ง>5. ความกลัวต่ออาการไม่ทราบสาเหตุ

เช่นเดียวกับ “ดินแดนที่ไม่รู้จัก” อาณาเขตมาตรฐานการรักษาความปลอดภัยของเมล ก็เป็นดินแดนที่ไม่รู้จัก” สำหรับพวกเราส่วนใหญ่

ในกระบวนการปรับใช้วิธีแก้ปัญหาเฉพาะสำหรับปัญหาการโจมตีด้วยอีเมลหลอกลวงและการโจมตีด้วยอีเมลฟิชชิ่ง คุณจะต้องพบกับคำถามและปัญหามากมายอย่างไม่ต้องสงสัย
ไม่เป็นไร สิ่งนี้คาดว่าจะเป็นส่วนหนึ่งของกระบวนการ

<แข็งแกร่ง>6. ความจำเป็นของกลุ่มอาการเรียบง่าย

โดยส่วนใหญ่แล้ว เรากำลังมองหาโซลูชันที่เรียบง่าย และพยายามหลีกเลี่ยงความจำเป็นในการทำความเข้าใจและนำโซลูชันที่ซับซ้อนไปใช้

คำตอบง่ายๆ คือ - ไม่มีวิธีแก้ปัญหาง่ายๆ สำหรับงานในการจัดการกับการโจมตีทางอีเมลหลอกลวงและการโจมตีเมลฟิชชิ่ง

<แข็งแกร่ง>7. กลุ่มอาการเข้าใกล้ทางการทหาร

นี่เป็นหนึ่งในคุณสมบัติที่เห็นได้ชัดเจนของผู้จัดการหลายคน

เนื้อหาย่อยของแนวทางนี้คือ - ฉันไม่สนใจว่าอย่างไร แค่ทำให้มันใช้งานได้!
เราสามารถทำให้มันใช้งานได้ แต่เฉพาะในกรณีที่ “ฝ่ายจัดการ” ผูกพันกับกระบวนการ และยินดีที่จะจัดสรรความต้องการ ทรัพยากรสำหรับการดำเนินการตามแนวทางแก้ไขที่เป็นไปได้

เหตุใดจึงไม่มีวิธีแก้ปัญหาง่ายๆ สำหรับปัญหาการโจมตีด้วยอีเมลหลอกลวงและการโจมตีด้วยอีเมลฟิชชิ่ง

คำตอบง่ายๆ ก็คือการโจมตีด้วยอีเมลแบบฟิชชิ่งนั้นไม่ใช่เรื่องง่าย!

การโจมตีด้วยฟิชชิ่งเมลเป็นการโจมตีที่ซับซ้อนซึ่งรวมการโจมตีสองสามครั้งเข้าด้วยกัน ซึ่งเราจะต้องจัดการกับการโจมตีแต่ละอย่างแยกกัน

นอกจากนี้ ความสามารถในการจัดการกับโครงสร้างพื้นฐานสำหรับการโจมตีเมลฟิชชิ่ง - การโจมตีเมลปลอมนั้นไม่ใช่เรื่องง่าย!

ความสับสนทั่วไประหว่างการโจมตีเมลหลอกกับการโจมตีเมลฟิชชิ่ง

ข้อสังเกตที่จำเป็นที่ฉันต้องการพูดถึงเกี่ยวกับงานของ “การจัดการกับสถานการณ์ของการโจมตีอีเมลปลอมและการโจมตีเมลฟิชชิ่ง” คือ เราควรแยกแยะการโจมตีเมลหลอกจากการโจมตีเมลฟิชชิ่ง

การโจมตีแต่ละประเภทมีลักษณะเฉพาะที่แตกต่างกัน และด้วยเหตุนี้ จึงต้องมีวิธีแก้ไขที่แตกต่างกัน

การโจมตีเมลฟิชชิ่งส่วนใหญ่ใช้การโจมตีเมลหลอกในระยะเริ่มแรกของการโจมตี

ด้วยเหตุนี้ จึงสมเหตุสมผลที่จะถือว่าในกรณีที่เราระบุและบล็อก
อีเมลหลอกลวง อนุพันธ์จะบล็อกการโจมตีจดหมายฟิชชิ่ง

อย่างไรก็ตาม สิ่งสำคัญคือ เราไม่สามารถสร้างโครงสร้างพื้นฐานด้านการป้องกันของเราตามสมมติฐานนี้ได้ด้วยเหตุผลสองประการ:

• การโจมตีด้วยอีเมลแบบฟิชชิ่งไม่ได้ทั้งหมดใช้ตัวเลือกในการปลอมแปลงข้อมูลระบุตัวตนของผู้ส่ง
  มีทางเลือกที่สมเหตุสมผล โดยการโจมตีด้วยอีเมลแบบฟิชชิ่งจะใช้เพียงที่อยู่อีเมลมาตรฐานจากผู้ให้บริการอีเมลที่มีชื่อเสียง เช่น Gmail, Hotmail หรือยาฮู
• มีเหตุผลอย่างยิ่งที่จะสรุปได้ว่าแม้ว่าเราจะใช้กลไกการป้องกันบางอย่างที่จะใช้เพื่อระบุการโจมตีเมลหลอก เราก็จะไม่สามารถระบุและบล็อกการโจมตีเมลหลอกได้ 100%

อะไรคือความท้าทายที่เราต้องเผชิญเมื่อเราต้องการต่อสู้กับการโจมตีทางอีเมลหลอกลวง?

เกี่ยวกับความสามารถของเราในการปกป้องโครงสร้างพื้นฐานเมลของเราจากการโจมตีเมลปลอม มีมาตรฐานเมลที่รู้จักกันดีอยู่สองสามมาตรฐาน ที่สร้างขึ้นโดยการกรอกโปรโตคอล SMTP “ส่วนที่ขาดหายไป” ซึ่งหมายถึงความสามารถในการตรวจสอบตัวตนของผู้ส่ง

ในบทความชุดปัจจุบัน เราจะตรวจสอบรายละเอียดเกี่ยวกับมาตรฐานอีเมลยืนยันผู้ส่งต่างๆ เช่น - SPF, DKIM และ DMARC และโซลูชันเสริมอื่นๆ เช่น - โซลูชันที่เราสามารถนำมาใช้ในสภาพแวดล้อมที่ใช้ Exchange

หากคุณคิดว่าคุณสามารถนั่งพักผ่อนและดื่มค็อกเทลสดชื่นได้ เพราะคุณพบวิธีแก้ปัญหาอีเมลหลอกลวงที่สมบูรณ์แบบ คุณคิดผิด!

เป็นความจริงที่ว่ามีมาตรฐานและวิธีแก้ปัญหาที่สร้างขึ้นเพื่อจัดการกับปรากฏการณ์ของอีเมลหลอกลวง แต่โซลูชันนี้ยังห่างไกลจากการมอบโซลูชันที่สมบูรณ์แบบมากนัก

1. การใช้กลไกการระบุผู้ส่งนั้นไม่ใช่เรื่องง่าย

แต่ละมาตรฐานที่แตกต่างกันมีข้อดี ข้อเสีย และ “จุดบอด” จุด ".

การนำมาตรฐานนี้ไปใช้ไม่ใช่เรื่องง่าย และต้องมีการประเมิน การวางแผน และการสนับสนุนเบื้องต้นอย่างต่อเนื่อง

ตัวอย่างเช่น ในปัจจุบัน เราสามารถพูดถึงมาตรฐานเมลสามมาตรฐานที่สร้างขึ้นเพื่อจัดการกับความจำเป็นในการตรวจสอบตัวตนของผู้ส่ง

มาตรฐานแต่ละฉบับใช้วิธีการที่แตกต่างกันในการตรวจสอบตัวตนของผู้ส่ง และมาตรฐานแต่ละฉบับจำเป็นต้องใช้ในการเตรียมการและการตั้งค่าการกำหนดค่าที่แตกต่างกัน

การนำมาตรฐานนี้ไปใช้ (มาตรฐานการตรวจสอบผู้ส่ง) ค่อนข้างซับซ้อนและท้าทายในสภาพแวดล้อมเมลที่ซับซ้อนซึ่งรวมถึงเมลเซิร์ฟเวอร์จำนวนมาก หลายไซต์ ฯลฯ

มาตรฐาน เช่น SPF ซึ่งถือเป็นมาตรฐานที่ปรับเปลี่ยนได้ง่าย แต่มี "จุดบอด" ในตัว ซึ่งสามารถใช้ประโยชน์จากองค์ประกอบที่ไม่เป็นมิตรซึ่งจะข้าม "กำแพง SPF" ที่มีอยู่

มาตรฐาน DKIM สามารถให้การป้องกันที่ดีเยี่ยม แต่เนื่องจากโซลูชันที่ใช้โครงสร้างพื้นฐานคีย์สาธารณะ (ใบรับรอง ลายเซ็นดิจิทัล และอื่นๆ) จึงไม่ใช่เรื่องง่ายที่จะนำมาตรฐานนี้ไปใช้ในสภาพแวดล้อมเมลผสมที่มีเอนทิตีต่างๆ จำนวนมากที่ส่งเมล ในนามขององค์กร

<แข็งแกร่ง>2. ไม่ใช่ทุกองค์กรที่ใช้กลไกการระบุผู้ส่ง

ปัญหาสำคัญอีกประการหนึ่งคือเราไม่ควรลืมว่า การดำเนินการแก้ไขปัญหา "อีเมลปลอม" อย่างสมบูรณ์นั้นขึ้นอยู่กับ "วงจรลอจิคัล" ซึ่งจะรวมถึงสองด้าน: โครงสร้างพื้นฐานในการส่งอีเมลและการรับ ( ปลายทาง) โครงสร้างพื้นฐานเมล

ในกรณีที่ “ฝั่งของเรา” ใช้โซลูชั่นที่จำเป็นทั้งหมดในการจัดการกับปรากฏการณ์อีเมลปลอม แต่ “อีกด้านหนึ่ง” ไม่ได้ใช้โซลูชั่นป้องกันการปลอมแปลงอีเมล ผลลัพธ์ก็คือทุกองค์ประกอบที่ไม่เป็นมิตรสามารถใช้ของเรา ระบุตัวตนและโจมตี "อีกด้านหนึ่ง" โดยใช้เอกลักษณ์องค์กรของเรา

อะไรคือความท้าทายที่เราต้องเผชิญเมื่อเราต้องการต่อสู้กับการโจมตีทางอีเมลฟิชชิ่ง?

ในส่วนของแนวทางแก้ไขที่มีอยู่สำหรับปัญหาการโจมตีด้วยอีเมลฟิชชิ่งนั้น สถานการณ์นั้นย่ำแย่กว่ามากเมื่อเทียบกับสถานะของโซลูชันอีเมลหลอกลวง

การโจมตีด้วยอีเมลฟิชชิ่งถือเป็นการโจมตีที่ซับซ้อน ความสามารถในการระบุและบล็อกการโจมตีเมลฟิชชิ่งนั้นซับซ้อนกว่าการจัดการกับการโจมตีเมลหลอกมาก

“ข่าวที่น่าตื่นเต้น ” คือในปัจจุบัน ไม่มีมาตรฐานที่เป็นทางการ หรือกลไกการป้องกันที่ทราบกันดี ซึ่งสามารถจัดการและป้องกันการโจมตีจดหมายฟิชชิ่งทุกประเภทได้โดยตรง

หากคุณทำการค้นหาง่ายๆ โดยใช้คำถาม เช่น - “วิธีแก้ปัญหาสำหรับการโจมตีด้วยอีเมลฟิชชิ่ง” ผลลัพธ์ส่วนใหญ่ที่ปรากฏขึ้นเกี่ยวข้องกับเคล็ดลับและคำแนะนำ หลักเกณฑ์ และแนวทางปฏิบัติที่ดีที่สุดที่จะแนะนำผู้ใช้ถึงวิธีหลีกเลี่ยง หรือเพื่อรับรู้สถานการณ์ของจดหมายฟิชชิ่ง

“ส่วนที่ขาดหายไป” คือคำตอบและวิธีแก้ปัญหาเกี่ยวข้องกับความหมาย “จุดสิ้นสุด” ผู้ใช้ และไม่ใช่กับ “ฝั่งเซิร์ฟเวอร์” ซึ่งหมายถึงโครงสร้างพื้นฐานเมลของเรา

ข้อมูล ไม่เกี่ยวข้อง กับเทคโนโลยีเฉพาะหรือมาตรฐานที่สามารถนำไปใช้บน “ฝั่งเซิร์ฟเวอร์ ”

ลิงก์บางลิงก์จะนำคุณไปสู่บริษัทที่ให้บริการทดสอบโครงสร้างพื้นฐานเมลของคุณ (โดยการจำลองการโจมตีเมลฟิชชิ่ง) และปฏิกิริยาของผู้ใช้ของคุณต่อการโจมตีเมลฟิชชิ่ง
แต่ แต่ความจริงอันเจ็บปวดก็คือ ไม่มีมาตรฐาน “ที่จับต้องได้” ที่สัญญาว่าจะปกป้องโครงสร้างพื้นฐานเมลของคุณจากการโจมตีเมลฟิชชิ่งทั้งหมด

คำตอบของฉันสำหรับคำถามที่ว่า “เหตุใดจึงไม่มีวิธีแก้ปัญหาอย่างเป็นทางการสำหรับภัยคุกคามจากการโจมตีด้วยอีเมลฟิชชิ่ง? ” คือการโจมตีเมลฟิชชิ่งที่เกิดจาก “ส่วนต่างๆ”
เราไม่สามารถถือว่าการโจมตีเมลฟิชชิ่งเป็น “ปัญหาเดียว” แต่เป็น “การรวบรวมปัญหา” แทน

ตัวอย่างเช่น-

• องค์ประกอบหนึ่งของการโจมตีเมลแบบฟิชชิ่งคือการโจมตีเมลหลอก
  เพื่อให้สามารถจัดการกับการโจมตีเมลฟิชชิ่งได้สำเร็จ เราจะต้องค้นหาวิธีแก้ปัญหาที่ดีสำหรับปัญหาการโจมตีเมลหลอก เช่น - การใช้งาน มาตรฐานการตรวจสอบผู้ส่ง - SPF, DKIM, DMARC และอื่นๆ
• องค์ประกอบสำคัญของการโจมตีด้วยอีเมลแบบฟิชชิ่งคือการติดมัลแวร์บนเดสก์ท็อปของผู้ใช้ (โดยส่วนใหญ่คือ “มัลแวร์อัจฉริยะ” ที่แทรกเข้าไปในไฟล์ที่ถูกต้องตามกฎหมาย)
  เพื่อให้สามารถจัดการกับการโจมตีด้วยอีเมลแบบฟิชชิ่งได้สำเร็จ เราจะ จำเป็นต้องค้นหาวิธีแก้ปัญหาที่ดีสำหรับปัญหามัลแวร์ เช่น - โซลูชัน “กล่องส่ง”
• องค์ประกอบสำคัญของการโจมตีด้วยอีเมลแบบฟิชชิ่งคือวิศวกรรมสังคม
  เพื่อให้สามารถจัดการกับการโจมตีด้วยอีเมลแบบฟิชชิ่งได้สำเร็จ เราจะต้องค้นหาวิธีแก้ปัญหาที่ดีสำหรับปัญหาวิศวกรรมสังคม เช่น - แนะนำและแนะนำผู้ใช้ของเรา เกี่ยวกับตัวละครของการโจมตีฟิชชิ่งเมล

คำถามที่ 1: ฉันควรจะรู้สึกสิ้นหวังกับความจริงที่ว่าไม่มีวิธีแก้ปัญหาอย่างเป็นทางการสำหรับภัยคุกคามจากการโจมตีด้วยอีเมลฟิชชิ่งหรือไม่

A1: ไม่! แม้ว่าจะไม่มี “ปุ่มวิเศษ” ที่เราสามารถใช้เพื่อจัดการกับการโจมตีด้วยอีเมลฟิชชิ่งได้ แต่ก็มีวิธีแก้ปัญหาสองสามอย่างที่เราสามารถใช้ได้ และการรวมกันของ “วิธีแก้ปัญหา” เหล่านี้สามารถให้การป้องกันที่ดีและมีประสิทธิภาพสำหรับส่วนใหญ่ สถานการณ์การโจมตีด้วยอีเมลฟิชชิ่ง

ในบทความ - การใช้การยืนยันผู้ส่งเพื่อระบุอีเมลหลอกลวง | SPF, DKIM, DMARC, Exchange และ Exchange Online |ตอนที่ 8#9 เราจะตรวจสอบรายการโซลูชันที่เราสามารถใช้ได้

บทความถัดไปในชุดบทความปัจจุบัน

การจัดการกับภัยคุกคามจากการโจมตีเมลหลอกและฟิชชิ่ง | ตอนที่ 6#9