वयस्क सुरक्षा जागरूकता: फिशिंग वल्नेरेबिलिटी कैसे बंद करें

हम अपने कर्मचारियों को फ़िशिंग हमलों का मुकाबला करने के लिए प्रशिक्षण पर, सुरक्षा जागरूकता पर या सरल शब्दों में लेखों की श्रृंखला जारी रखते हैं। अक्सर इस तरह के प्रशिक्षण को घुटने पर लागू किया जाता है, लेकिन यह केवल वास्तव में प्रभावी हो सकता है अगर यह पूरे संगठन के स्तर पर एक पूर्ण एकीकृत प्रक्रिया में विकसित हो। खुशी के नियमित पत्रों (साथ ही लालच, चिंता, जिज्ञासा और अन्य फ़िशिंग विशेषताओं) के साथ। हम इस बारे में बात करते हैं कि हम इसकी कल्पना कैसे करते हैं और हम इसे पहले से ही कट के तहत कैसे लागू कर रहे हैं।

सबसे पहले, सामग्री का एक संक्षिप्त पुनरावृत्ति, उन लोगों के लिए जिन्होंने पिछले लेख को नहीं पढ़ा है। 2016 में, दुनिया भर में फ़िशिंग हमलों में वृद्धि हुई थी। हमलावरों ने महसूस किया कि परिधि के रक्षा उपकरणों के माध्यम से तोड़ने की कोशिश करने के बजाय उद्यमों के कर्मचारियों पर हमला करना बहुत आसान है, क्योंकि लोग, मशीनों के विपरीत, एक बहुत ही कमजोर प्रणाली है - मानस।

एक विशिष्ट मनोवैज्ञानिक वेक्टर प्रत्येक फ़िशिंग हमले में रखा गया है:

1. डर लगता है। वेक्टर मानव मन में जीवन और कल्याण के लिए एक विशिष्ट खतरे की एक छवि बनाने के उद्देश्य से है (30 हजार आपके खाते से लिखे गए थे, बच्चे को एम्बुलेंस, आदि द्वारा दूर ले जाया गया था)। मास फ़िशिंग ईमेल में बहुत बार उपयोग किया जाता है।
   
   
2. लालच। सबसे लोकप्रिय हमले वैक्टर में से एक लाभ के लिए एक अभेद्य इच्छा के उद्देश्य से।
   हमारे व्यवहार में, एक ऐसा मामला था जब क्लाइंट को हाइपरलिंक के साथ फ़िशिंग पृष्ठ पर एक दस्तावेज़ भेजा गया था, जहां उसे मुआवजे का भुगतान प्राप्त करने का प्रस्ताव था, लेकिन इससे पहले बैंक कार्ड जानकारी सहित अपने व्यक्तिगत डेटा दर्ज करके शुल्क का भुगतान करें।
   
   यह अक्षर जैसा दिखता था:
   
   
   लिंक पर क्लिक करने पर, पेज
   
   
3. आनाकानी। निम्नलिखित वेक्टर को एक अलग श्रेणी में प्रतिष्ठित किया जा सकता है, क्योंकि यह फ़िशिंग साइटों पर लगातार उपयोग किया जाता है जहां एक व्यक्ति हो सकता है। ऐसी फ़िशिंग साइट एक लोकप्रिय संसाधन का एक नकली पृष्ठ है और आमतौर पर उपयोगकर्ता नाम और पासवर्ड की आवश्यकता होती है। प्रशिक्षण उद्देश्यों के लिए, हमने इस प्रकार के निम्नलिखित पृष्ठ को लागू किया है:
   
   
   
   इस वेक्टर का उपयोग करने का सबसे सरल तरीका मूल स्ट्रिंग को सबसे समान के साथ बदलना है, उदाहरण के लिए, rt-solar.ru के बजाय rtk-solar.ru। होमोग्लाइफ्स भी अक्सर उपयोग किया जाता है। एक सजातीय दो या दो से अधिक अंगूरों, चिह्नों या ग्लिफ़ में से एक है जिसमें ऐसे रूप होते हैं जो या तो समान लगते हैं या त्वरित दृश्य निरीक्षण द्वारा विभेदित नहीं किए जा सकते हैं। उदाहरण के लिए, रूसी "ए" और अंग्रेजी "ए" सजातीय हैं। समरूपता के अन्य उदाहरण:
   
   स्रोत: https://helpugroup.ru/kak-legko-i-prosto-sgenerirovat-sotni-fishingovyh-domainov

अतिरिक्त हमले उत्प्रेरक भी हैं। तो पिछली बार आपने अपने पर्यवेक्षक से प्राप्त पत्र में लिंक या अटैचमेंट की विश्वसनीयता की जाँच कब की थी? और यदि पत्र में अभी भी "तत्काल", "आज", "तेज" शब्द शामिल हैं, तो 97% की संभावना के साथ जो कर्मचारी इसे प्राप्त करता है वह दुनिया में सब कुछ भूल जाएगा और हमलावरों के लिए आसान शिकार बन जाएगा। उदाहरण के लिए, ग्राहकों में से एक को फ़िशिंग प्राप्त हुआ, जिसमें, जितनी जल्दी हो सके, उन्हें रूसी संघ के केंद्रीय बैंक के आदेश को निष्पादित करना शुरू करना पड़ा।



पत्र में एक संग्रह था, जिसे खोलने पर उपयोगकर्ता ने निम्नलिखित को देखा:


इस बीच, मैलवेयर पृष्ठभूमि में कंप्यूटर पर डाउनलोड और डाउनलोड कर रहा था ...

अन्य हमले वैक्टर डिजिटल एंटी-फ़िशिंग हमलों के वर्गीकरण में पाए जा सकते हैं ।

यदि फ़िशिंग हमलों की उपस्थिति को समस्या नंबर 1 माना जाता है, तो अजीब तरह से, समस्या नंबर 2 समस्या नंबर 1 का प्रतिकार है। ऐसा क्यों? क्योंकि कंपनियों की सूचना सुरक्षा सेवाएं समस्या को समझती हैं और देखती हैं, लेकिन, एक नियम के रूप में, इसे पुराने तरीकों से हल करें। उदाहरण के लिए, वे आदतन कर्मचारियों को कई दिनों के लिए प्रशिक्षण पाठ्यक्रम में भेजते हैं।
पूर्णकालिक पाठ्यक्रमों में एक मुख्य समस्या है - यह समझना असंभव है कि उपयोगकर्ता अपने ज्ञान को कैसे व्यवहार में लाते हैं।

तो प्रभावी कर्मचारी प्रशिक्षण का निर्माण कैसे करें?

सैद्धांतिक भाग। प्रशिक्षण सामग्री चाहिए:
• लगातार अप टू डेट रहें।
• ऑडियो-वीडियो-टेक्स्ट प्रारूप में हों और इसमें अन्तरक्रियाशीलता (कर्मचारियों द्वारा सूचना की गुणवत्ता और सूचना को आत्मसात करने की क्षमता सीधे निर्भर करती है)
• प्राप्त ज्ञान का परीक्षण करने के लिए एक परीक्षण हिस्सा है।

व्यावहारिक हिस्सा है। कौशल विकास कार्यक्रम का एक अनिवार्य तत्व है। और सबसे अच्छा, अगर यह "युद्ध की स्थिति" में होता है, अर्थात कार्यस्थल पर और उद्यम में स्थापित मेल सिस्टम में।
कंपनी के भीतर इस तरह के एक प्रशिक्षण प्रणाली को लागू करने की आवश्यकता होगी:
• लोहे / आभासी सर्वर को उजागर करें।
• एक डोमेन खरीदें और mx- / ptr-record को कॉन्फ़िगर करें।
• ब्लैक लिस्ट में आईपी पते की जाँच करें।
• उस मेल सर्वर को तैनात करें जिस पर आप SPF नीति, DKIM और DMARK कॉन्फ़िगर करना चाहते हैं।
उसके बाद, हम पूरी तरह से सुनिश्चित होंगे कि पत्र अंतिम उपयोगकर्ताओं तक पहुंच जाएंगे। लेकिन यह सब नहीं है! ©

अगला कदम असुरक्षित उपयोगकर्ता कार्यों पर रिपोर्टिंग स्थापित करना होगा। आपको यह ट्रैक करने की आवश्यकता है कि उपयोगकर्ताओं ने किस संदेश को खोला, दुर्भावनापूर्ण संदेश के लिंक का अनुसरण किया, और जिसने अनुलग्नक को खोला।

दुर्भावनापूर्ण अनुलग्नक भेजते समय, जालसाजों को उपयोगकर्ताओं से कई सरल कार्यों की आवश्यकता होती है, जिसे हमें ट्रैक करने में भी सक्षम होना चाहिए। यहाँ वे हैं:

1. अनुमति दें मैक्रोज़ एक क्लासिक और पुराने मैलवेयर लॉन्चर तकनीक है।
2. संरक्षित मोड को अक्षम करें, संपादन सक्षम करें - उदाहरण के लिए, किसी शोषण या एम्बेडेड ऑब्जेक्ट को सक्रिय करने के लिए।
3. DDE अनुरोध की पुष्टि करें - हैकर पर एक लेख में इस तरह के हमलों के काम का विस्तार से वर्णन किया गया है।

वास्तविक हमलों में, इस तरह के कार्यों के लिए घोटाला अनुरोध दिखता है, उदाहरण के लिए, इस तरह:

स्रोत: https://vulners.com/securelist/SECURELIST:FDF0BE3C516F8E6F5C35F28D01515BEB

या इस तरह:

स्रोत: https://vulners.com/securelist/SECURELIST:FDF0BE3C516F8E6F5C35F28D01515BEB

तकनीकी भाग पहले ही लागू होने के बाद, सबसे कठिन बात बनी हुई है - आपको पत्र टेम्पलेट की सामग्री भरने को ठीक से व्यवस्थित करने की आवश्यकता है। आदर्श स्थिति तब है जब सिस्टम प्रशासक अन्य कंपनियों पर डिजिटल हमलों के आंकड़ों और उदाहरणों की निगरानी करते हैं और सबसे खतरनाक उदाहरणों के अनुसार नकली हमलों को डिजाइन करते हैं। केवल इस मामले में, लोगों के लिए प्रशिक्षण का वातावरण वास्तविक के करीब होगा।

सिद्धांत से सिद्धांत, लेकिन व्यवहार में क्या? हमारे अनुभव के बारे में कुछ शब्द

यदि आप सभी सामग्री को एक साथ रखते हैं, तो यह पता चलता है कि अपने स्वयं के प्रशिक्षण के लिए एंटी-फ़िशिंग सिस्टम को बड़ी मात्रा में संसाधनों की आवश्यकता होती है जो हर कंपनी आवंटित नहीं कर सकती है। अपने ग्राहकों से अनुरोध का जवाब देते हुए, हमने सुरक्षा जागरूकता प्लेटफ़ॉर्म लागू किया है, जो प्रबंधित साइबर सुरक्षा सेवाओं के सौर एमएसएस पारिस्थितिकी तंत्र का हिस्सा है।



कौशल का परीक्षण और प्रशिक्षण करने के लिए, मंच आपको कर्मचारियों पर सबसे खतरनाक और यथार्थवादी डिजिटल हमलों का अनुकरण करने की अनुमति देता है। इस तरह के हमलों के लिए पैटर्न का मुख्य स्रोत सोलर JSOC साइबर हमले की निगरानी और प्रतिक्रिया केंद्र द्वारा अपनी सूचना सुरक्षा सेवाओं के भाग के रूप में प्राप्त किए गए नमूने हैं और तीसरे पक्ष के विक्रेताओं और सेवा प्रदाताओं के साथ साइबर हमले के डेटा के आदान-प्रदान के दौरान। मनोवैज्ञानिक वर्गीकरण और वास्तविक हमलों का गहन विश्लेषण आपको व्यवस्थित रूप से कर्मचारी कौशल को प्रशिक्षित करने की अनुमति देता है।

मंच की शैक्षिक और सत्यापन सामग्री मासिक रूप से अपडेट की जाती है। ग्राहक के सुरक्षा सेवा विशेषज्ञ प्लेटफ़ॉर्म के संचालन मापदंडों का प्रबंधन करते हैं: वे उपयोगकर्ता समूहों का चयन करते हैं, प्रशिक्षण और कौशल प्रशिक्षण की आवृत्ति, इन प्रक्रियाओं को मैन्युअल रूप से या पूरी तरह से स्वचालित रूप से संचालित करते हैं। सुरक्षा प्रबंधकों को ज्ञान, खतरनाक कार्यों और कर्मचारी रेटिंग के स्तर पर पूर्ण आंकड़ों के साथ विस्तृत रिपोर्ट प्राप्त होती है। सिस्टम संचित प्रणालियों, ब्राउज़रों, प्लग-इन, ईमेल क्लाइंट्स और असुरक्षित व्यवहार करने वाले कर्मचारियों के लिए कार्यालय अनुप्रयोगों पर डेटा को जमा और प्रदर्शित करता है। यह भेद्यता प्रबंधन प्रक्रियाओं को प्राथमिकता देने में मदद करता है।

बेशक, समस्या को हल करने के लिए मंच केवल एक ही तरीका है। लेकिन विषय महत्वपूर्ण है और इसे पारित करना असंभव है।

और अब सवाल आपके लिए है: आप अपनी कंपनी में फ़िशिंग कैसे लड़ते हैं?