Как остановить направленные фишинг-атаки

О фишинге мы знаем давно, и несмотря на это количество фишинговых атак продолжает расти. Большинство из нас открывали сообщения электронной почты, которые оказывались фишинговыми.

Статистика фишинговых атак (по данным Anti-Phishing Work Group Global Phishing Report, 1H/2014)

	2H/2011	1H/2012	2H/2012	1H/2013	2H/2013	1H/2014
Фишинговые доменные имена	50 298	64 206	89 748	53 685	82 163	87 901
Количество фишинговых атак	83 083	93 462	123 476	72 758	115 565	123 741
Уникальные фишинговые IP	1681	1864	1981	1626	837	2317

В данной заметке приведены лучшие подсказки экспертов, найденные мной и используемые для обучения сотрудников.

Три способа остановить 95-99% направленных фишинговых атак

Проверка входящей электронной почты. Разверните решение, проверяющее безопасность ссылок, получаемых по электронной почте, в момент, когда пользователь щелкает по ней.

Анализ в реальном времени и контроль вашего веб-трафика. Контролируйте весь веб-трафик. Несмотря на то, что сообщения входящей электронной почты будут проверяться, возможны случаи, когда пользователи могут получить фишинговое письмо, используя персональный почтовый ящик. В этом случае ваша корпоративная защита от направленной фишинговой атаки окажется неспособной вас защитить. Одним из вариантов такой защиты является использование веб-антивируса, контролирующего посещаемые страницы Интернета. Предпочтительным вариантом является веб-антивирус с использованием облачной составляющей.

Поведение сотрудника. Огромное значение в противодействии фишингу имеет человеческий фактор. Потому чрезвычайное значение имеет обучение сотрудников. Существует несколько возможных способов изменить поведение вашего сотрудника:

Фишинговый тест вашей организации

Один из лучших, хотя и весьма спорный метод — заставить людей сделать ошибки, показать им затем эти ошибки и исправить их.

Выберите группу людей из каждого ведущего подразделения и пошлите им целенаправленные фишинговые письма, используя внешний адрес электронной почты. При этом используйте только общедоступную информацию, которую вы можете получить с помощью социальных сетей (Facebook, Twitter, LinkedIn и т. д.). Например, вы видите, что сотруднику нравится некая спортивная команда. Отправьте ему информацию о возможности участия в мероприятии любимой команды. Как только пользователь щелкнет по соответствующей ссылке, сообщите ему, что он стал жертвой фишинга.

Использование различных форм обучения

Некоторые люди учатся визуально, другие предпочитают слушать, многие предпочитают комбинацию. Используйте все возможные каналы получения информации. Запустите ежемесячную рассылку электронной почты, веб-семинары и другие каналы обучения. Комбинируйте данные способы с личным обучением и использованием видеоуроков. Используя различные способы донесения информации, доведите ваши требования большому количеству сотрудников. Помните, вы должны будете многократно повторять доведение информации до сотрудников, чтобы они запомнили то, что от них требуется.

Вознаградите хорошее поведение

Как правило, требования службы безопасности сопровождаются угрозами наказания сотрудников, но что если вы постараетесь изменить это восприятие? Начните вознаграждать своих сотрудников. Запустите внутреннее соревнование, в ходе которого сотрудники, переславшие подозрительную электронную почту, полученную как на корпоративный, так и на личный почтовый ящик, будут вознаграждаться за каждое фишинговое письмо. Проделывайте это регулярно и предавайте каждый такой случай гласности.

Что не стоит делать в социальной сети

Социальные сети — золотые рудники персональных данных для киберпреступников. Информация из социальных сетей как будто специально предназначена для злоумышленников, организующих фишинговые атаки. Не стоит публиковать в социальных сетях:

Любые элементы, используемые для создания ваших паролей (день рождения, адрес и т. д.). Несмотря на то что я уверен, что ваши пароли не содержат элементов персональных данных, но все же предусматривать и этот вариант надо обязательно.

Ваше расписание каникул и домашние фотографии. Фактически в этом случае вы сами активно привлекаете преступников. Вы сами заявляете им «Ограбьте меня пожалуйста!». Не так давно в США был случай, когда в городке грабили дома, выбирая место для грабежа из Facebook. Хозяева на личных страницах указывали, что уезжают в отпуск. Вот их и грабили.

Cвой номер телефона. Киберпреступники становятся более творческими. Например, некоторые злоумышленники звонят от имени справочной службы и просят сбросить пароли. Если вы сомневаетесь и не знаете звонящего, запросите соответствующую контактную информацию и изучите ее. В конечном счете куда важнее быть в безопасности, чем вежливым.

Направленные фишинговые атаки никуда не исчезнут. Пока люди используют социальные сети и электронную почту, направленные атаки будут оружием злоумышленников. Мы и в дальнейшем будем видеть, что злоумышленники совершенствуют свои направленные фишинговые атаки через все новые каналы, например, Twitter, SMS.

Автор статьи — MVP Consumer Security, Microsoft Security Trusted Advisor.