DNS Security Checker: Τι να Ελέγξετε Πριν από Προσομοιώσεις Phishing

Πιστωτική εικόνα εξωφύλλου: Blincjoh, δημόσιο κτήμα, μέσω του Wikimedia Commons.

Ένας ελεγκτής ασφάλειας DNS βοηθά τις ομάδες ασφάλειας να επαληθεύσουν αν οι τομείς που εμπλέκονται στο email, την εκπαίδευση και την αναφορά είναι ρυθμισμένοι αρκετά καλά ώστε να υποστηρίξουν ένα πρόγραμμα προσομοίωσης phishing. Πριν εκτελέσετε ελεγχόμενες προσομοιώσεις, θα πρέπει να γνωρίζετε αν τα SPF, DKIM, DMARC, MX και οι σχετικές εγγραφές DNS υπάρχουν, είναι ευθυγραμμισμένες και τεκμηριωμένες.

Αυτό δεν σημαίνει ότι αποδυναμώνετε την ασφάλεια email ώστε να περνούν τα προσομοιωμένα μηνύματα. Σημαίνει να κατανοείτε την τρέχουσα κατάσταση πριν από μια καμπάνια, να διορθώνετε παραμελήσιμες λανθασμένες ρυθμίσεις και να αποδεικνύετε ότι το πρόγραμμα ευαισθητοποίησής σας στηρίζεται σε καθαρές τεχνικές βάσεις.

Αυτός ο οδηγός είναι γραμμένος για αμυντικές προσομοιώσεις phishing και εκπαίδευση ευαισθητοποίησης ασφάλειας. Δεν παρέχει πρότυπα phishing, τεχνικές παράκαμψης, βήματα συλλογής διαπιστευτηρίων ή οδηγίες για την αποφυγή ελέγχων ασφάλειας αλληλογραφίας.

Γιατί οι έλεγχοι DNS έχουν σημασία πριν από δοκιμές ευαισθητοποίησης

Οι προσομοιώσεις phishing βρίσκονται στο σημείο τομής ανθρώπων, συστημάτων αλληλογραφίας, τομέων και αποδεικτικών στοιχείων συμμόρφωσης. Αν το επίπεδο DNS είναι μπερδεμένο, το πρόγραμμα μπορεί να παράγει κακά δεδομένα πριν καν οι χρήστες δουν μήνυμα.

Συνηθισμένα προβλήματα περιλαμβάνουν:

νόμιμα μηνύματα εκπαίδευσης να απορρίπτονται ή να μπαίνουν απρόσμενα σε καραντίνα
αναφορές να δείχνουν χαμηλή εμπλοκή επειδή το μήνυμα δεν έφτασε ποτέ στα εισερχόμενα
ασυνεπή παράδοση μεταξύ Microsoft 365, Google Workspace και περιφερειακών πυλών
μπερδεμένα στοιχεία ελέγχου επειδή κανείς δεν κατέγραψε ποιοι τομείς είχαν εξουσιοδότηση
ομάδες ασφάλειας να δημιουργούν επικίνδυνες εξαιρέσεις ενώ μια καλύτερη διόρθωση DNS θα αρκούσε

Η σωστή απάντηση δεν είναι να χαμηλώσουν οι άμυνες. Ένα καλό πρόγραμμα προσομοίωσης phishing πρέπει να λειτουργεί μαζί με τη στοίβα ασφάλειας email, όχι να την παρακάμπτει. Μια σάρωση ασφάλειας DNS δίνει στις ομάδες IT και ασφάλειας μια κοινή αφετηρία πριν από καμπάνιες, πιλοτικές εφαρμογές, αξιολογήσεις προμηθευτών και συζητήσεις ελέγχου.

Το AutoPhish περιλαμβάνει έναν ελεγκτή ασφάλειας DNS για την αξιολόγηση της κατάστασης ενός τομέα. Η παρακάτω λίστα ελέγχου εξηγεί τι σημαίνουν αυτοί οι έλεγχοι στο πλαίσιο των προσομοιώσεων phishing και της εκπαίδευσης ευαισθητοποίησης.

Τι πρέπει να επιθεωρεί ένας ελεγκτής ασφάλειας DNS

Ένας χρήσιμος ελεγκτής ασφάλειας DNS κάνει περισσότερα από το να λέει αν ένας τομέας έχει εγγραφές. Θα πρέπει να σας βοηθά να καταλαβαίνετε αν αυτές οι εγγραφές υποστηρίζουν αξιόπιστη αποστολή, τεκμηριωμένη αναφορά και ασφαλείς λειτουργίες.

Εγγραφές SPF

Το SPF προσδιορίζει ποιοι διακομιστές αλληλογραφίας επιτρέπεται να στέλνουν για έναν τομέα. Για προσομοιώσεις phishing, το SPF έχει σημασία επειδή οι τομείς που χρησιμοποιεί η πλατφόρμα σας, οι ειδοποιήσεις και οι ροές εκπαίδευσης πρέπει να είναι προβλέψιμοι και τεκμηριωμένοι.

Ελέγξτε:

αν υπάρχει εγγραφή SPF TXT
αν περιλαμβάνει τις τρέχουσες, εγκεκριμένες υπηρεσίες αποστολής
αν έχει υπερβολικά πολλά DNS lookups
αν εξακολουθούν να αναφέρονται παλιοί προμηθευτές
αν ο τελικός μηχανισμός είναι σκόπιμος

Αποφύγετε να αντιμετωπίζετε το SPF ως μοχλό παράκαμψης της προσομοίωσης. Αν ένας προμηθευτής ζητά ευρείες ή ανεπαρκώς εξηγημένες αλλαγές SPF, ρωτήστε γιατί χρειάζονται, πώς επηρεάζουν τη συνήθη αλληλογραφία και πώς θα αναιρεθεί η αλλαγή αν τελειώσει το πιλοτικό.

Εγγραφές DKIM

Το DKIM υπογράφει τα εξερχόμενα email ώστε τα συστήματα λήψης να μπορούν να επαληθεύσουν ότι ένα μήνυμα δεν αλλοιώθηκε κατά τη μεταφορά και ότι έχει εξουσιοδοτηθεί από τον τομέα που υπογράφει. Για προγράμματα ευαισθητοποίησης, το DKIM είναι σημαντικό επειδή μειώνει την ασάφεια όταν εξετάζετε γιατί μηνύματα έγιναν αποδεκτά, απορρίφθηκαν ή επισημάνθηκαν.

Ελέγξτε:

αν υπάρχουν selectors DKIM για εγκεκριμένους αποστολείς
αν τα κλειδιά είναι ενημερωμένα και αρκετά ισχυρά σύμφωνα με τις συστάσεις του παρόχου αλληλογραφίας
αν έχουν αποσυρθεί οι αχρησιμοποίητοι selectors
αν τα μηνύματα που παράγονται από την πλατφόρμα υπογράφονται με συνέπεια

Όταν οι προσομοιώσεις παράγουν ασυνεπή αποτελέσματα, η ευθυγράμμιση DKIM είναι συχνά μία από τις πρώτες τεχνικές λεπτομέρειες που πρέπει να ελεγχθούν.

Πολιτική και ευθυγράμμιση DMARC

Το DMARC συνδέει τα SPF και DKIM με το ορατό From domain και λέει στους παραλήπτες πώς να χειριστούν μηνύματα που αποτυγχάνουν στην αυθεντικοποίηση. Η καθοδήγηση της CISA για την ασφάλεια email και ιστού επισημαίνει τα DMARC, SPF και DKIM ως βασικούς ελέγχους για τη μείωση του κινδύνου πλαστογράφησης.

Για προσομοιώσεις, το DMARC δεν είναι απλώς ένα κουτάκι συμμόρφωσης. Επηρεάζει:

αν ο ορατός τομέας αποστολέα ευθυγραμμίζεται με την πιστοποιημένη υποδομή
αν τα αποτυχημένα μηνύματα παρακολουθούνται, μπαίνουν σε καραντίνα ή απορρίπτονται
αν τα δεδομένα αναφοράς μπορούν να δείξουν αποτυχίες αυθεντικοποίησης
αν μια πλατφόρμα μπορεί να υποστηρίξει ασφαλείς επιλογές domain αποστολέα

Οι ομάδες πρέπει να είναι προσεκτικές ώστε να μην ισχυρίζονται ότι το DMARC από μόνο του κάνει έναν οργανισμό συμμορφωμένο ή άτρωτο στο phishing. Μειώνει τον κίνδυνο πλαστογράφησης τομέα, αλλά δεν σταματά κάθε κακόβουλο μήνυμα, παραβιασμένο λογαριασμό ή διαδρομή πλαστοπροσωπίας μέσω SaaS.

MX, MTA-STS, TLS-RPT και σχετικές εγγραφές

Οι εγγραφές MX δείχνουν πού λαμβάνεται η αλληλογραφία για έναν τομέα. Τα MTA-STS και οι αναφορές TLS μπορούν να βοηθήσουν στην επιβολή και παρακολούθηση της κρυπτογραφημένης μεταφοράς αλληλογραφίας μεταξύ υποστηρικτικών συστημάτων. Αυτές οι εγγραφές δεν συνδέονται πάντα άμεσα με την παράδοση προσομοιώσεων phishing, αλλά αποτελούν μέρος μιας ώριμης στάσης ασφάλειας email.

Για μια αξιολόγηση ετοιμότητας προσομοίωσης phishing, τεκμηριώστε:

τον κύριο πάροχο αλληλογραφίας και τις πύλες
αν η εισερχόμενη δρομολόγηση ταιριάζει με το αναμενόμενο περιβάλλον
αν οι πύλες ασφαλείας τροποποιούν συνδέσμους, συνημμένα ή κεφαλίδες
αν υπάρχουν εγγραφές ασφάλειας μεταφοράς και παρακολουθούνται

Αυτό το πλαίσιο βοηθά στην εξήγηση των αποτελεσμάτων της καμπάνιας. Μια πύλη που ξαναγράφει συνδέσμους, για παράδειγμα, μπορεί να αλλάξει το πώς εμφανίζονται τα κλικ, οι αναφορές και οι ασφαλείς σελίδες προορισμού στα analytics της πλατφόρμας.

Συγκεντρωτική αναφορά DMARC

Οι συγκεντρωτικές αναφορές DMARC βοηθούν τους ιδιοκτήτες τομέων να βλέπουν ποια πηγή στέλνει αλληλογραφία εκ μέρους τους. Είναι ιδιαίτερα χρήσιμες πριν από την εισαγωγή μιας νέας πλατφόρμας προσομοίωσης, επειδή μπορούν να δείξουν αν οι υπάρχοντες αποστολείς είναι ήδη μη ευθυγραμμισμένοι.

Πριν από ένα πιλοτικό, ελέγξτε αν οι αναφορές συλλέγονται και εξετάζονται. Αν κανείς δεν διαβάζει τις αναφορές, η εγγραφή DNS μπορεί να υπάρχει χωρίς να προσφέρει μεγάλη επιχειρησιακή αξία.

Μια ροή εργασίας ετοιμότητας DNS πριν από προσομοίωση

Ο καλύτερος έλεγχος DNS είναι σύντομος, επαναλαμβανόμενος και τεκμηριωμένος. Χρησιμοποιήστε αυτή τη ροή εργασίας πριν ξεκινήσετε ένα νέο πρόγραμμα προσομοίωσης phishing ή αλλάξετε προμηθευτή.

Επιλέξτε τους τομείς που εμπίπτουν στο πεδίο

Καταγράψτε τους τομείς που χρησιμοποιούνται για εταιρική αλληλογραφία, ειδοποιήσεις πλατφόρμας, συνδέσμους εκπαίδευσης, γραμματοκιβώτια αναφορών και τυχόν ειδικούς τομείς προσομοίωσης. Κρατήστε τη λίστα στενή και εγκεκριμένη.

Εκτελέστε σάρωση ασφάλειας DNS

Ελέγξτε τα SPF, DKIM, DMARC, MX και τις σχετικές εγγραφές για κάθε τομέα. Αποθηκεύστε το αποτέλεσμα μαζί με την καμπάνια ή τις σημειώσεις αξιολόγησης προμηθευτή.

Επιβεβαιώστε την ιδιοκτησία και τον σκοπό του αποστολέα

Κάθε αποστολέας που περιλαμβάνεται πρέπει να έχει επιχειρησιακό υπεύθυνο. Αφαιρέστε παρωχημένες υπηρεσίες όπου είναι δυνατόν. Αν μια εγγραφή υπάρχει επειδή «κανείς δεν ξέρει αν χρειάζεται ακόμα», λύστε το πριν προσθέσετε περισσότερη πολυπλοκότητα.

Εξετάστε το με τους υπεύθυνους ασφάλειας αλληλογραφίας

Φέρτε τα αποτελέσματα της σάρωσης στην ομάδα που είναι υπεύθυνη για Microsoft 365, Google Workspace, secure email gateways και DNS. Ο στόχος δεν είναι να πιέσετε να περάσει μια καμπάνια. Ο στόχος είναι να συμφωνήσετε τι πρέπει να κάνει η στοίβα αλληλογραφίας.

Εκτελέστε ένα μικρό πιλοτικό

Ξεκινήστε με μια ελεγχόμενη ομάδα πιλοτικού και μετά συγκρίνετε παράδοση, ανοίγματα, αναφορές και logs της πύλης. Αν οι αριθμοί διαφωνούν, διερευνήστε τη διαδρομή αλληλογραφίας πριν ερμηνεύσετε τη συμπεριφορά των χρηστών.

Διατηρήστε τα αποδεικτικά στοιχεία

Αποθηκεύστε τη σάρωση DNS, τις ρυθμίσεις της καμπάνιας, την έγκριση των ενδιαφερόμενων και την ανασκόπηση μετά την καμπάνια. Αυτό είναι χρήσιμο για συζητήσεις διακυβέρνησης και για προγράμματα ευαισθητοποίησης ευθυγραμμισμένα με πρότυπα όπως το ISO 27001 ή το SOC 2, χωρίς να υπερβάλλετε για το τι αποδεικνύει η προσομοίωση.

Τι πρέπει να ρωτούν οι αγοραστές τους προμηθευτές λογισμικού προσομοίωσης phishing

Αν αξιολογείτε λογισμικό προσομοίωσης phishing, η υποστήριξη DNS και αυθεντικοποίησης email θα πρέπει να είναι μέρος της συζήτησης αγοράς.

Ρωτήστε τους προμηθευτές:

Ποιοι τομείς θα στέλνουν αλληλογραφία, θα φιλοξενούν εκπαίδευση και θα συλλέγουν αναφορές;
Υποστηρίζετε ευθυγραμμισμένες διαμορφώσεις SPF, DKIM και DMARC;
Μπορούμε να τρέξουμε προσομοιώσεις χωρίς να αποδυναμώσουμε τη στάση ασφάλειας της παραγωγικής αλληλογραφίας;
Πώς χειρίζεστε τις διαφορές μεταξύ Microsoft 365, Google Workspace και secure email gateway;
Μπορούμε να εξάγουμε αποδεικτικά στοιχεία καμπάνιας για ελέγχους;
Μπορούν οι διαχειριστές να βλέπουν τα προβλήματα παράδοσης ξεχωριστά από τα μετρικά συμπεριφοράς των χρηστών;
Υποστηρίζετε φιλική προς την ιδιωτικότητα αναφορά και ανωνυμοποιημένες προβολές όπου χρειάζεται;

Εδώ παίζει ρόλο και ο αυτοματισμός της πλατφόρμας. Μια πλατφόρμα προσομοίωσης phishing πρέπει να βοηθά τις ομάδες να τρέχουν συνεπείς καμπάνιες, αλλά ο αυτοματισμός δεν πρέπει να κρύβει τις λεπτομέρειες DNS και παράδοσης που χρειάζονται οι μηχανικοί ασφάλειας για να εμπιστευτούν τα αποτελέσματα.

Για ευρύτερα κριτήρια αγοράς, δείτε τον οδηγό του AutoPhish για phishing simulation reporting και τον πρακτικό οδηγό για το γιατί τα phishing simulation emails go to spam.

Έλεγχοι DNS και αποδεικτικά συμμόρφωσης

Οι ομάδες συμμόρφωσης συχνά ζητούν αποδείξεις ότι γίνεται εκπαίδευση ευαισθητοποίησης. Ένας ελεγκτής ασφάλειας DNS δεν αποδεικνύει ότι οι εργαζόμενοι έμαθαν, και από μόνος του δεν πιστοποιεί τη συμμόρφωση. Μπορεί όμως να στηρίξει μια ισχυρότερη αλυσίδα αποδείξεων.

Χρήσιμα αποδεικτικά περιλαμβάνουν:

τη σάρωση DNS πριν από την καμπάνια
τους τομείς και τους προμηθευτές που εγκρίθηκαν για αποστολή
το πεδίο και την ημερομηνία της καμπάνιας
τη σύνοψη παράδοσης και αναφοράς
τις ενέργειες παρακολούθησης που έγιναν μετά την καμπάνια
την επόμενη ημερομηνία επανεξέτασης

Αυτό βοηθά να φανεί ότι οι προσομοιώσεις phishing είναι ελεγχόμενες, επανεξεταζόμενες και ενσωματωμένες στις λειτουργίες ασφάλειας. Αυτό είναι πιο πειστικό από ένα μόνο στιγμιότυπο οθόνης που δείχνει ποσοστό κλικ.

Συχνές ερωτήσεις

Είναι ένας ελεγκτής ασφάλειας DNS το ίδιο με ένα εργαλείο προσομοίωσης phishing;

Όχι. Ένας ελεγκτής ασφάλειας DNS εξετάζει τεχνικές εγγραφές όπως SPF, DKIM, DMARC και MX. Ένα εργαλείο προσομοίωσης phishing εκτελεί ελεγχόμενες καμπάνιες ευαισθητοποίησης, εκπαίδευση, αναφορές και ροές παρακολούθησης. Ο έλεγχος DNS είναι βήμα ετοιμότητας, όχι η ίδια η προσομοίωση.

Πρέπει να αλλάξουμε εγγραφές DNS μόνο και μόνο για να φτάνουν τα προσομοιωμένα phishing emails;

Να είστε προσεκτικοί. Οι αλλαγές DNS πρέπει να υποστηρίζουν νόμιμη, εγκεκριμένη αποστολή και να ελέγχονται από τον υπεύθυνο ασφάλειας αλληλογραφίας. Αποφύγετε ευρείες εξαιρέσεις, αδικαιολόγητα includes ή αλλαγές που αποδυναμώνουν την ασφάλεια παραγωγής χάριν της δοκιμής.

Το DMARC σταματά το phishing;

Το DMARC βοηθά να μειωθεί η άμεση πλαστογράφηση τομέα όταν έχει ρυθμιστεί και επιβληθεί σωστά, αλλά δεν σταματά κάθε διαδρομή phishing. Οι επιτιθέμενοι μπορούν να χρησιμοποιήσουν lookalike domains, παραβιασμένους λογαριασμούς, κατάχρηση SaaS, QR codes, SMS, φωνή και άλλα κανάλια. Η εκπαίδευση ευαισθητοποίησης και οι προσομοιώσεις εξακολουθούν να χρειάζονται ευρύτερη κάλυψη.

Τι πρέπει να κάνουμε αν η σάρωση DNS βρει κενά;

Δώστε προτεραιότητα σε διορθώσεις που μειώνουν τον κίνδυνο και βελτιώνουν την εμπιστοσύνη στα αποτελέσματα της καμπάνιας: αφαιρέστε παρωχημένους αποστολείς, ευθυγραμμίστε τις εξουσιοδοτημένες πλατφόρμες, επαληθεύστε το DKIM, ελέγξτε την πολιτική DMARC και τεκμηριώστε την ιδιοκτησία. Έπειτα εκτελέστε ένα μικρό πιλοτικό πριν κλιμακώσετε την προσομοίωση.

Κάντε την ετοιμότητα DNS μέρος του προγράμματος προσομοίωσης phishing

Οι προσομοιώσεις phishing είναι πιο χρήσιμες όταν η τεχνική βάση είναι καθαρή. Ένας ελεγκτής ασφάλειας DNS δίνει στις ομάδες IT, ασφάλειας και συμμόρφωσης μια κοινή αφετηρία πριν ερμηνεύσουν αποτελέσματα καμπάνιας ή συγκρίνουν προμηθευτές.

Το AutoPhish βοηθά τις ομάδες να τρέχουν προσομοιώσεις phishing με σεβασμό στην ιδιωτικότητα, αναφορές και ροές παρακολούθησης χωρίς να μετατρέπεται η ευαισθητοποίηση σε τιμωρητική άσκηση. Ξεκινήστε ελέγχοντας τη στάση του τομέα σας με τον ελεγκτή ασφάλειας DNS, και μετά Sign Up για να χτίσετε ένα ασφαλέστερο πρόγραμμα προσομοίωσης phishing.