Σάρωση τομέων πριν από προσομοιώσεις phishing: Τι πρέπει να ελέγχουν οι ομάδες ασφαλείας

Η σάρωση των domain πρέπει να πραγματοποιείται πριν από ένα πρόγραμμα προσομοίωσης phishing, και όχι αφού η πρώτη εκστρατεία προκαλέσει σύγχυση. Μια σάρωση παρέχει στις ομάδες ασφαλείας μια πρακτική εικόνα της επαλήθευσης ταυτότητας των email, των σημάτων εκτεθειμένων domain και του κινδύνου από παρόμοια domain, που μπορούν να επηρεάσουν τόσο την πραγματική έκθεση σε phishing όσο και την αξιοπιστία των αποτελεσμάτων της εκπαίδευσης.

Ο στόχος δεν είναι να μετατραπεί η εκπαίδευση ευαισθητοποίησης σε έργο DNS. Ο στόχος είναι να διαχωριστούν δύο ζητήματα που συχνά συγχέονται: μπορούν οι επιτιθέμενοι να υποδυθούν τεχνικά τον οργανισμό και μπορούν οι εργαζόμενοι να αναγνωρίσουν και να αναφέρουν ύποπτα μηνύματα όταν τα εντοπίζουν;

Αυτός ο οδηγός εξηγεί τι πρέπει να ελέγχεται κατά τη σάρωση τομέων, πώς αυτή υποστηρίζει ασφαλέστερες προσομοιώσεις phishing και πού σταματά η σάρωση. Έχει αποκλειστικά αμυντικό χαρακτήρα και δεν περιλαμβάνει πρότυπα phishing, τακτικές αποστολής, συλλογή διαπιστευτηρίων ή οδηγίες επίθεσης.

Γιατί η σάρωση τομέων πρέπει να προηγείται του σχεδιασμού της προσομοίωσης

Οι προσομοιώσεις phishing μετρούν τη συμπεριφορά των υπαλλήλων σε μια ελεγχόμενη άσκηση. Η σάρωση τομέων μετρά τμήματα του τεχνικού περιβάλλοντος που επηρεάζουν την αξιοπιστία των email, την αντοχή στην πλαστογράφηση και τον κίνδυνο πλαστοπροσωπίας της επωνυμίας.

Εάν παραλειφθούν αυτοί οι έλεγχοι, οι ομάδες ενδέχεται να ερμηνεύσουν εσφαλμένα τα αποτελέσματα της προσομοίωσης. Ένα υψηλό ποσοστό κλικ μπορεί να υποδηλώνει ανεπαρκή εκπαίδευση, αλλά μπορεί επίσης να αντανακλά αδύναμα σήματα πιστοποίησης, ασαφείς πρακτικές αποστολέα ή ασυνεπείς διαδρομές αναφοράς. Ένα χαμηλό ποσοστό κλικ μπορεί να φαίνεται καθησυχαστικό, αλλά δεν αποδεικνύει ότι ο τομέας είναι δύσκολο να πλαστογραφηθεί.

Πριν ξεκινήσετε μια εκστρατεία, χρησιμοποιήστε τη σάρωση τομέων για να απαντήσετε σε πρακτικά ερωτήματα:

• Έχουν ρυθμιστεί με συνέπεια τα SPF, DKIM και DMARC για τους τομείς που αναγνωρίζουν οι εργαζόμενοι;
• Οι σημαντικές υπηρεσίες αποστολής είναι σύμφωνες με την πολιτική;
• Υπάρχουν παλιοί ή ξεχασμένοι τομείς που εξακολουθούν να είναι ορατοί και εύκολο να χρησιμοποιηθούν καταχρηστικά;
• Αξίζει να παρακολουθούνται οι ομοιόμορφοι τομείς ή οι συνήθεις παραλλαγές;
• Έχουν εκπαιδευτεί οι υπάλληλοι να αναφέρουν ύποπτα μηνύματα τόσο από αποστολείς που φαίνονται εσωτερικοί όσο και από εξωτερικούς;

Η σελίδα σάρωσης ασφαλείας του AutoPhish είναι το φυσικό σημείο εκκίνησης αν θέλετε να συνδυάσετε τους ελέγχους domain με τις δράσεις ευαισθητοποίησης, αντί να τους αντιμετωπίζετε ως ξεχωριστά έργα.

Τι πρέπει να καλύπτει μια χρήσιμη σάρωση domain

Μια σάρωση domain δεν χρειάζεται να είναι θεαματική. Η χρήσιμη εκδοχή είναι απλή, επαναλαμβανόμενη και εύκολη στην εξήγηση προς τους ενδιαφερόμενους από τους τομείς της πληροφορικής, της ασφάλειας και της συμμόρφωσης.

Εγγραφές επαλήθευσης ταυτότητας email

Ξεκινήστε με τα βασικά: SPF, DKIM και DMARC. Αυτά τα αρχεία δεν εμποδίζουν κάθε απόπειρα phishing, αλλά βοηθούν τα συστήματα λήψης αλληλογραφίας να αξιολογήσουν αν ένα μήνυμα είναι εξουσιοδοτημένο να χρησιμοποιεί έναν τομέα.

Οι ομάδες ασφάλειας πρέπει να ελέγχουν:

• αν υπάρχει SPF και αν παραμένει εντός των ορίων αναζήτησης
• αν υπάρχουν κλειδιά DKIM για ενεργές υπηρεσίες αποστολής
• αν υπάρχει DMARC και αν διαθέτει πολιτική που αντιστοιχεί στο επίπεδο ωριμότητας του οργανισμού
• αν συλλέγονται και εξετάζονται αναφορές
• αν οι υποτομείς καλύπτονται σκόπιμα

Μην το υπερβάλλετε. Ένας τομέας με ισχυρή πιστοποίηση μπορεί ακόμα να αποτελέσει αντικείμενο κατάχρησης μέσω ομοίων ονομάτων, παραβιασμένων λογαριασμών, πλαστοπροσωπίας προμηθευτών ή καναλιών εκτός ηλεκτρονικού ταχυδρομείου. Ωστόσο, η αδύναμη πιστοποίηση διευκολύνει την πλαστοπροσωπία και δημιουργεί περιττό θόρυβο κατά τη διάρκεια της εκπαίδευσης ευαισθητοποίησης.

Κατάλογος υπηρεσιών αποστολής

Πολλοί οργανισμοί αποστέλλουν νόμιμα μηνύματα ηλεκτρονικού ταχυδρομείου μέσω εργαλείων μάρκετινγκ, συστημάτων υποστήριξης χρηστών, πλατφορμών ανθρώπινου δυναμικού, συστημάτων τιμολόγησης, CRM και σουιτών παραγωγικότητας στο cloud. Εάν ο κατάλογος είναι ακατάστατος, οι εργαζόμενοι εκπαιδεύονται να αποδέχονται ασυνεπή συμπεριφορά των αποστολέων.

Πριν ξεκινήσουν οι προσομοιώσεις, καταγράψτε τα νόμιμα πρότυπα αποστολής στα οποία αναμένεται να εμπιστεύονται οι εργαζόμενοι. Αυτό περιλαμβάνει τομείς, υποτομείς, συμβάσεις ονομάτων εμφάνισης και τη διαδικασία επαλήθευσης ασυνήθιστων αιτημάτων.

Αυτό είναι ιδιαίτερα σημαντικό για τις συζητήσεις σχετικά με τη συμμόρφωση και τον έλεγχο. Μια προσομοίωση phishing είναι ευκολότερο να αντιμετωπιστεί όταν εντάσσεται σε ένα γνωστό μοντέλο επικοινωνίας, αντί να αιφνιδιάζει τους υπαλλήλους με μηνύματα που δεν μοιάζουν καθόλου με τα συνήθη επαγγελματικά email.

Κίνδυνος ομοιότητας και παραλλαγών

Η σάρωση τομέων πρέπει επίσης να ελέγχει προφανείς επιφάνειες πλαστοπροσωπίας: συνηθισμένα ορθογραφικά λάθη, ανταλλαγμένα χαρακτήρες, παραπλανητικά TLD και παραλλαγές εμπορικών σημάτων υψηλού κινδύνου. Ο στόχος δεν είναι να πανικοβληθούμε για κάθε θεωρητική ομοιότητα. Ο στόχος είναι να γνωρίζουμε ποια μοτίβα αξίζουν παρακολούθηση, αποκλεισμό ή καθοδήγηση των υπαλλήλων.

Για παράδειγμα, μια ομάδα οικονομικών μπορεί να χρειαστεί να γνωρίζει ότι τα ονόματα προμηθευτών που μοιάζουν μεταξύ τους αποτελούν πρόβλημα επαλήθευσης, ενώ οι ομάδες υποστήριξης μπορεί να χρειαστεί να αντιμετωπίζουν τα αιτήματα επαναρύθμισης κωδικού πρόσβασης από απροσδόκητους τομείς ως σήματα κλιμάκωσης.

Διατηρήστε την εκπαίδευση αμυντική. Διδάξτε στους υπαλλήλους πώς να σταματούν, να επαληθεύουν μέσω εγκεκριμένων καναλιών και να αναφέρουν ύποπτα μηνύματα. Μην δημοσιεύετε λίστες που βοηθούν τους επιτιθέμενους να επιλέξουν καλύτερες μεθόδους πλαστοπροσωπίας.

Πώς η σάρωση βελτιώνει την ποιότητα των προσομοιώσεων phishing

Η σάρωση τομέων καθιστά τις προσομοιώσεις phishing πιο χρήσιμες, καθώς καθαρίζει το περιβάλλον πριν από τη μέτρηση της συμπεριφοράς των υπαλλήλων.

Βελτιώνει τον σχεδιασμό με τέσσερις τρόπους.

Πρώτον, καθορίζει τη βάση αναφοράς για την ασφάλεια. Η ομάδα προσομοίωσης μπορεί να αποφύγει σενάρια που εκμεταλλεύονται ανεπίλυτα εσωτερικά σφάλματα διαμόρφωσης ή πρακτικές αποστολέων που προκαλούν σύγχυση.

Δεύτερον, βελτιώνει τον ρεαλισμό των μηνυμάτων χωρίς να εισέρχεται σε επικίνδυνο έδαφος. Η εκπαίδευση μπορεί να αντικατοπτρίζει κινδύνους που σχετίζονται με την επιχείρηση, αλλά το πρόγραμμα δεν χρειάζεται να αντιγράφει πραγματικές σελίδες σύνδεσης, να ζητά μυστικά στοιχεία ή να μιμείται ενεργές επιθέσεις.

Τρίτον, καθιστά τα αποδεικτικά στοιχεία των αναφορών πιο κατανοητά. Εάν οι ηγέτες ρωτήσουν γιατί το πρόγραμμα επικεντρώθηκε στην πλαστοπροσωπία προμηθευτών, στις ειδοποιήσεις SaaS ή σε ονόματα τομέων που μοιάζουν με άλλα, η απάντηση μπορεί να συνδεθεί με τον παρατηρούμενο κίνδυνο.

Τέταρτον, βοηθά τις ομάδες να διαχωρίσουν την τεχνική αποκατάσταση από την καθοδήγηση των εργαζομένων. Διορθώστε το DNS και τη συντονισμένη αποστολή μηνυμάτων ως τεχνική εργασία. Χρησιμοποιήστε προσομοιώσεις για να βελτιώσετε την αναγνώριση, την αναφορά και τη συμπεριφορά κατά την παρακολούθηση.

Εάν η ομάδα σας εξακολουθεί να αποφασίζει πώς να διαχωρίσει τα αποτελέσματα της σάρωσης από τα αποτελέσματα της εκπαίδευσης, ο οδηγός της AutoPhish για σάρωση phishing έναντι προσομοίωσης phishing εξηγεί τη διάκριση με περισσότερες λεπτομέρειες.

Τι δεν μπορεί να αποδείξει η σάρωση τομέων

Η σάρωση τομέων δεν αποτελεί πιστοποιητικό συμμόρφωσης. Δεν αποδεικνύει ότι οι εργαζόμενοι έχουν εκπαιδευτεί, ότι τα περιστατικά θα αναφέρονται γρήγορα ή ότι ο οργανισμός προστατεύεται από κάθε μέθοδο phishing.

Επίσης, δεν αντικαθιστά τις προσομοιώσεις phishing. Μια σάρωση μπορεί να δείξει αν ένας τομέας είναι σωστά ή λανθασμένα διαμορφωμένος. Δεν μπορεί να δείξει αν οι εργαζόμενοι αναγνωρίζουν ένα ύποπτο αίτημα, αν γνωρίζουν τον τρόπο αναφοράς ή αν η ομάδα ασφάλειας μπορεί να μετατρέψει τις αναφορές σε δράση.

Αυτή η διάκριση έχει σημασία για τους CISO και τις ομάδες συμμόρφωσης. Ένα αξιόπιστο πρόγραμμα πρέπει να περιλαμβάνει και τις δύο πλευρές:

• τεχνικούς ελέγχους που μειώνουν την έκθεση σε πλαστογράφηση και υποκρισία
• αποδεικτικά στοιχεία εκπαίδευσης που δείχνουν ότι οι εργαζόμενοι εξασκούνται στην αναγνώριση και την αναφορά
• ενέργειες παρακολούθησης που συνδέουν τα ευρήματα με τη βελτίωση
• διακυβέρνηση σχετικά με την προστασία της ιδιωτικής ζωής, τις εγκρίσεις και τη διατήρηση δεδομένων

Οι κατευθυντήριες οδηγίες υψηλής αρμοδιότητας δείχνουν προς την ίδια κατεύθυνση. Οι συμβουλές της CISA σχετικά με την αναγνώριση και αναφορά του phishing δίνουν έμφαση στην αναφορά, την επαλήθευση και τις συνήθειες προστασίας, αντί να βασίζονται σε έναν μόνο τεχνικό έλεγχο.

Ένας πρακτικός κατάλογος ελέγχου πριν από την προσομοίωση

Χρησιμοποιήστε αυτόν τον κατάλογο ελέγχου πριν από τον επόμενο κύκλο προσομοίωσης phishing.

1. Επιβεβαιώστε το πεδίο εφαρμογής

Καταγράψτε τους τομείς, τους υποτομείς και τις υπηρεσίες αποστολής που είναι πιθανό να αναγνωρίσουν οι υπάλληλοι. Συμπεριλάβετε περιφερειακούς τομείς και παλιούς τομείς, εάν εξακολουθούν να λαμβάνουν μηνύματα ή εμφανίζονται σε ροές εργασιών που αφορούν τους πελάτες.

2. Ελέγξτε την πιστοποίηση ηλεκτρονικού ταχυδρομείου

Ελέγξτε τα SPF, DKIM και DMARC για τους τομείς που περιλαμβάνονται στο πεδίο εφαρμογής. Καταγράψτε την τρέχουσα κατάσταση, τον κάτοχο και την επόμενη ενέργεια. Εάν κάτι δεν έχει ακόμη εφαρμοστεί σκόπιμα, τεκμηριώστε τον λόγο.

3. Ελέγξτε τα πρότυπα των νόμιμων αποστολέων

Καταγράψτε πώς μοιάζουν τα κανονικά επαγγελματικά μηνύματα ηλεκτρονικού ταχυδρομείου για τις επικοινωνίες των τμημάτων Ανθρώπινου Δυναμικού, Οικονομικών, Πληροφορικής, Υποστήριξης και της Διοίκησης. Χρησιμοποιήστε αυτά τα στοιχεία για να σχεδιάσετε ασφαλή σενάρια εκπαίδευσης που διδάσκουν την επαλήθευση χωρίς να υπονομεύουν την εμπιστοσύνη.

4. Προσδιορίστε θέματα πλαστοπροσωπίας υψηλού κινδύνου

Αναζητήστε ρεαλιστικά αμυντικά σενάρια: αλλαγές προμηθευτών, δικαιώματα SaaS, πίεση για πληρωμή τιμολογίων, ειδοποιήσεις για κοινή χρήση εγγράφων, κωδικοί QR, μηνύματα σε κινητά και αιτήματα προς το τμήμα υποστήριξης. Εστιάστε τα αποτελέσματα στις αποφάσεις των εργαζομένων, όχι στις οδηγίες των εισβολέων.

5. Καθορίστε τη διαδικασία αναφοράς και παρακολούθησης

Βεβαιωθείτε ότι οι εργαζόμενοι γνωρίζουν πού να αναφέρουν ύποπτα μηνύματα, τι συμβαίνει μετά την αναφορά και πώς θα παραδοθεί η ανατροφοδότηση. Μια προσομοίωση χωρίς κύκλο αναφοράς είναι κυρίως θέατρο.

6. Διατηρήστε τα αποδεικτικά στοιχεία με υπευθυνότητα

Αποθηκεύστε τη σύνοψη της σάρωσης, την έγκριση της προσομοίωσης, το πεδίο εφαρμογής, τα συγκεντρωτικά αποτελέσματα, τις ενέργειες εκπαίδευσης και τις αποφάσεις αποκατάστασης. Αποφύγετε την περιττή έκθεση σε επίπεδο υπαλλήλου. Οι ομάδες συμμόρφωσης συνήθως χρειάζονται αποδεικτικά στοιχεία ότι ο έλεγχος λειτουργεί, όχι ένα υπολογιστικό φύλλο γεμάτο αμηχανία.

Πώς να μετατρέψετε τα ευρήματα της σάρωσης σε ασφαλέστερη εκπαίδευση

Η βέλτιστη χρήση της σάρωσης τομέων δεν είναι μια τεράστια αναφορά. Είναι ένα καλύτερο σχέδιο εκπαίδευσης.

Εάν η πιστοποίηση είναι αδύναμη, διορθώστε το πριν εκτελέσετε ένα σενάριο που εξαρτάται από την εμπιστοσύνη στον αποστολέα. Εάν οι υπάλληλοι παρατηρούν ασυνεπείς τομείς αποστολέων από νόμιμα εργαλεία, τυποποιήστε τα πρότυπα επικοινωνίας πριν τα δοκιμάσετε. Εάν ο κίνδυνος ομοιότητας είναι υψηλός, εκπαιδεύστε τους υπαλλήλους στην επαλήθευση και την αναφορά με βάση ρεαλιστικές επιχειρηματικές αποφάσεις.

Αυτό δημιουργεί ένα πιο υγιές πρόγραμμα. Οι υπάλληλοι δεν κατηγορούνται για τεχνική ασάφεια. Το τμήμα IT λαμβάνει έναν συγκεκριμένο κατάλογο διορθωτικών μέτρων. Το τμήμα ασφάλειας λαμβάνει καλύτερα σήματα αναφοράς. Το τμήμα συμμόρφωσης διαθέτει ένα σαφέστερο ίχνος αποδεικτικών στοιχείων.

Για ομάδες που επιθυμούν να συγκεντρώσουν τη ροή εργασιών σάρωσης και προσομοίωσης σε ένα μόνο μέρος, το AutoPhish μπορεί να σας βοηθήσει να ελέγξετε τη βασική γραμμή αναφοράς των τομέων, να εκτελέσετε ασφαλείς ασκήσεις ευαισθητοποίησης και να διατηρήσετε τα αποδεικτικά στοιχεία οργανωμένα. Εγγραφείτε για να αρχίσετε να δημιουργείτε ένα ασφαλέστερο πρόγραμμα προσομοίωσης phishing.

Συχνές ερωτήσεις

Απαιτείται σάρωση τομέων πριν από κάθε προσομοίωση phishing;

Όχι πάντα. Εκτελέστε μια σάρωση αναφοράς πριν από την έναρξη του προγράμματος και, στη συνέχεια, επαναλάβετέ την όταν αλλάζουν τομείς, υπηρεσίες αποστολής, πολιτικές αλληλογραφίας ή σημαντικά επιχειρηματικά συστήματα. Οι έμπειρες ομάδες επανεξετάζουν επίσης βασικούς ελέγχους σε τακτά χρονικά διαστήματα.

Μήπως η ισχυρή εφαρμογή του DMARC σημαίνει ότι οι προσομοιώσεις phishing είναι περιττές;

Όχι. Το DMARC βοηθά στην πιστοποίηση των domain, αλλά οι εργαζόμενοι εξακολουθούν να αντιμετωπίζουν domain που μοιάζουν με τα γνήσια, παραβιασμένους λογαριασμούς, πλαστοπροσωπία προμηθευτών, κωδικούς QR, εφαρμογές ανταλλαγής μηνυμάτων και ειδοποιήσεις συγκατάθεσης SaaS. Οι προσομοιώσεις εκπαιδεύουν την ικανότητα αναγνώρισης και την συμπεριφορά αναφοράς, στοιχεία που δεν μπορούν να μετρηθούν από τις εγγραφές DNS.

Πρέπει τα αποτελέσματα της σάρωσης να παρουσιάζονται στους υπαλλήλους;

Συνήθως όχι σε ακατέργαστη μορφή. Οι υπάλληλοι χρειάζονται σαφείς οδηγίες: πώς να επαληθεύουν τα αιτήματα, πού να τα αναφέρουν και ποια πρότυπα αποστολέων είναι φυσιολογικά. Τα λεπτομερή ευρήματα σχετικά με τους τομείς πρέπει να παραμένουν στην κατοχή των ομάδων πληροφορικής και ασφάλειας.

Μπορεί η σάρωση domain να αποδείξει τη συμμόρφωση;

Όχι. Μπορεί να υποστηρίξει την παρουσίαση στοιχείων συμμόρφωσης, αλλά δεν αποτελεί από μόνη της απόδειξη συμμόρφωσης. Θα πρέπει να αντιμετωπίζεται ως ένα από τα στοιχεία ελέγχου, παράλληλα με τα αρχεία εκπαίδευσης ευαισθητοποίησης, τις πολιτικές, την αντιμετώπιση περιστατικών, τη διαχείριση πρόσβασης και τις τεκμηριωμένες βελτιώσεις.