Šių metų rudenį buvo paviešinta, kad hakerių grupuotė „Dragonfly“ prasiskverbė į daugybės JAV bei Europos energetikos įmonių valdymo tinklus. Per juos šios įmonės kontroliuoja elektros tiekimą, tad įsilaužėliai faktiškai gali perimti elektros tiekimo valdymą ir tuo nusikaltėliai jau pasinaudojo daugiau nei 100-te energetikos įmonių ir organizacijų. Prasiskverbti į valstybinės reikšmės objektus, šiai  grupuotei nėra labai sudėtinga – jiems labiausiai „padeda“ patys organizacijų darbuotojai, mat vienas iš naudojamų metodų yra phishing el. laiškai su kenkėjišku prisegtuku. Tiesą sakant, šis metodas toks populiarus, kad net 91% visų kibernetinių atakų prasideda būtent juo.

Kodėl phishing metodas vis dar taip puikiai veikia?

Phishing metodas pagrįstas socialinės inžinerijos principu – manipuliuojant siunčiama informacija arba šaltiniu, jis naudojamas pavogti naudotojo prisijungimo ar kitus duomenis. Phishing atakos plinta ne tik per el. paštą, tačiau ir per įvairias išmaniųjų telefonų aplikacijas, skirtas siųsti žinutes. Prie laiško ar žinutės prikabinamas prisegtukas arba pačioje žinutėje įdedama nuoroda, kurią kviečiama paspausti. Atrodytų, kad tai seniai ir gerai žinomas bei garsiai aptartas metodas, tad kodėl gi užkimbama ant šio kabliuko?

Kaip rodo tyrimai, pagrindinės sėkmingai įvykdytų phishing atakų priežastys yra:

• Smalsumas – įdomiai suformuluota žinutė arba netikėtas, tačiau pažįstamas šaltinis (pvz.: nuorodos į nuotraukas iš įmonės renginių);
• Baimė – pasinaudojama, emocija, kad žmogus gali kažką prarasti (pvz.: „Uber“ ištikusia duomenų nutekėjimo krize puikiai pasinaudojo sukčiai, kurie, atrodytų, pačių „Uber“ siųstame el. laiške prašo spustelti ant nuorodos ir patvirtinti savo tapatybę);
• Skubėjimas – atidarant laišką neatkreipiamas dėmesys į šaltinį bei turinį;
• Pripažinimas/atlygis arba suteikiama galimybė kažką gauti.

Anksčiau tokios žinutės neretai būdavo labai abstrakčios, skirtos plačiai auditorijai, tad jas buvo gan lengva atskirti. Tačiau dabar šis metodas tobulėja – žinutės tampa vis asmeniškesnės, gaunamos iš patikimų šaltinių, vis labiau orientuotos į verslo aplinką. Vienas žymiausių 2016-ųjų incidentų įvyko lėktuvų dalių gamintojai „FACC“, kurios generalinis direktorius „užkibo“ ant netikro, kompanijos prezidento vardu siųsto el. laiško su prašymu kuo skubiau trečiajai šaliai pervesti 44 mln. eurų.

Renkantis sprendimą – dėmesys įmonės struktūrai ir kultūrai

„Black Hat“ renginiuose pastaraisiais metais itin daug dėmesio skiriama apsisaugojimui nuo phishing atakų. Tarp efektyviausių priemonių nuo tokių atakų įvardijama darbuotojų edukacija bei simuliaciniai eksperimentai, kurių metu testuojamas vartotojo budrumas. Kaip parodo kompanijos „FACC“ pavyzdys, edukaciją svarbu vykdyti visuose lygmenyse.

Sprendimų, prevencijai nuo phishing atakų, rinkoje tikrai nemažai. Renkantis optimaliausią ir efektyviausią variantą, svarbu atkreipti dėmesį ne tik į organizacijos poreikius, bet ir į struktūrą, kultūrą, vertybes bei žmonių įsitraukimą ir asmeninius poreikius. „Gartner“ pateikia puikią skirtingų tiekėjų apžvalgą ir teigia, kad iš esmės verta atkreipti dėmesį į:

• Mokomosios medžiagos įvairovę ir formatų stilių – jums reikėtų pagalvoti apie savo organizacijos struktūrą ir veiklos pobūdį ir nuspręsti, kokio ilgio bei kompleksiškumo turėtų būti mokymai bei kokiu intervalu reikėtų juos atlikti (pvz.: jeigu turite aptarnaujančio personalo, kurie nuolatos turi bendrauti su klientais, vertėtų rinktis gamintojus, kurie gali pasiūlyti trumpus modulius dažnais intervalais);
• Darbuotojų motyvaciją – esant mažai darbuotojų motyvacijai bei įsitraukimui (pvz.: organizacija išgyvena krizę), verta pagalvoti apie sprendimus, kuriuose būtų integruotas vaidybinis elementas.Tokiu būdu skyrius gali konkuruoti prieš kitą skyrių, gauti pripažinimą, apdovanojimus ar kt.;
• Darbuotojų poreikius – moduliai ir simuliacijos dėl kalbinio neatitikimo gali neatrodyti pakankamai tikroviški, tad kai kurie gamintojai prie standartinių kalbų pasirinkimo siūlo ir mažesnių kalbų grupių (tokių kaip lietuvių) pasirinkimą;
• Medžiagos pateikimą – patrauklaus mokymų pateikimo klausimas visuomet labai svarbus, tačiau neretai jį reikia dar ir priderinti prie organizacijos komunikacijos įpročių. Kai kurie gamintojai iš karto siūlo nemažą archyvą su naujienlaiškių, el. laiškų, saugumo pranešimų ir kitų komunikacijos priemonių paruoštukais, kuriuos labai lengvai galima adaptuoti savo organizacijai;
• Kainą – skirtingi gamintojai įvairiai skaičiuoja kainas: už paketus; už vartotojų skaičių; už kampanijų skaičių ir kt.. Jūsų organizacijos dydis bei veiklos principai padės įvertinti optimaliausią kainą;
• Orientaciją į pokyčius – kai kurie gamintojai siūlo sprendimus, kurie integruojami su saugumo technologijų gamintojų paslaugomis. Ši partnerystė siūlo galimybę mokytis realiu laiku iš naujausių atakų, kurias fiksuoja įvairios saugumo platformos.

„Gartner“ favoritas

Vienas iš „Gartner“ apžvalgos favoritų – „PhishMe“ gamintojo sprendimų rinkinys, skirtas padėti apsaugoti organizacijos tinklą ir darbuotojus nuo phishing tipo atakų. „Gartner Security Awareness CBT Magic Quadrant“ saugumo sąmoningumo magiškąjame kvadrante šis sprendimas jau antrus metus išrenkamas vienu iš lyderių.

Įdomu tai, kad „PhishMe“ vadovaujasi principu, jog intelektas negali būti dirbtinis. Naudingiausia informacija, kurią įmonė gali rinkti – klientų pateikiami duomenys ar informacija apie ataką – gaunama iš darbuotojų. Kompanijos sprendimai fokusuoti į konkrečios organizacijos, specifinių atakų informacijos rinkimą bei jos koreliavimą su jau žinomomis grėsmėmis, greitam ir tiksliam visos organizacijos saugumo vaizdo suformavimui. „PhishMe“ savo klientais įvardija itin platų ratą organizacijų – nuo gynybos ir energetikos iki gamybos pramonės įmonių.

Šio gamintojo sprendimo bazę sudaro „PhishMe Simulator“ (programinės įrangos paslauga, skirta kurti ir siųsti imituotas phishing ataktas organizacijos darbuotojams) ir „PhishMe Reporter“ (įskiepis pašto klientams, leidžiantis vartotojams pranešti apie įtartinus el. laiškus vienu mygtuko paspaudimu).

Stiprinant organizacijos personalo gebėjimus atpažinti tokias atakas – galima jų išvengti ir greitai pranešti apie įtartinus el. laiškus. Tai itin svarbu siekiant sėkmingai apsaugoti organizacijos tinklą. Taip pat, didesnėms nei 2000 darbuotojų turinčioms įmonėms, kurioms dažniausiai labai sudėtinga apdoroti visą gaunamą informaciją apie incidentus, „PhishMe“ siūlo papildomus sprendimus „PhishMe Intelligence“ ir „PhishMe Triage“. Pastarasis – sprendimas, dislokuotas įmonės tinkle arba debesyje, skirtas rinkti ir analizuoti darbuotojų praneštus incidentus bei operatyviai susisteminti didžiulį kiekį gautos informacijos. Tuo tarpu „PhishMe Intelligence“ tai – galimybė gauti informaciją realiu laiku apie visame pasaulyje vykdomas atakų kampanijas, jų taktikas ir kylančias grėsmes. Organizacija informuojama beveik iš karto po šių atakų paleidimo, todėl saugumo komanda gali operatyviai reaguoti į kibernetines grėsmes, prieš joms paveikiant pačią organizaciją. Šis sprendimas labiausiai tinka organizacijoms, turinčioms saugumo operacijų centrą arba galvojančioms apie jo įkūrimą. Šio sprendimo koncepcija – mokymasis per atliekamų veiksmų prizmę, o jo vertė prasideda nuo to, kai darbuotojai yra pasirengę atpažinti ir atsispirti pavojingų laiškų spustelėjimui.

Kibernetiniams sukčiams įsilaužti į organizaciją dažniausiai „padeda“ patys jos darbuotojai. Bandant užtikrinti kibernetinį saugumą žmogiškasis faktorius tampa labai svarbus. Žmonės įtakoja saugumą labiau nei bet kokią technologiją ar strategiją. Taigi, saugumo sprendimų lyderiai turi investuoti į įrankius, kurie didina informuotumą ir įtakoja darbuotojų elgesį, siekiant palaikyti kritinius saugumo verslo tikslus. Čia puikiai tinka posakis: „Prevencija yra geriausias vaistas nuo visų negalavimų“ ir, kaip rodo praktika, edukuojant savo darbuotojus apie kibernetines grėsmes svarbu tai daryti visuose organizacijos lygmenyse, nesvarbu ar kalbame apie IT administratorius, ar apie įmonės generalinį direktorių.

---

AUTORIUS

Aivaras Teleiša – „Blue Bridge“ kompiuterinių tinklų sprendimų vadybininkas ir technologijų specialistas, turintis daugiau nei 10 metų patirtį informacinių technologijų srityje, kompiuterinių tinklų, IT saugumo sprendimų pardavimuose, projektavime ir projektų valdyme. 

Norite sužinoti daugiau apie „PhishMe“ sprendimą? Parašykite mums!