Ένα email attachment μπορεί να φαίνεται απολύτως συνηθισμένο: τιμολόγιο, βιογραφικό, παραγγελία, έγγραφο συνεργάτη ή συμπιεσμένο αρχείο. Αν όμως το μήνυμα είναι κακόβουλο, το συνημμένο μπορεί να αποτελεί μέρος μιας προσπάθειας εγκατάστασης malware, κλοπής credentials ή άλλης παραβίασης.
Η σωστή προστασία δεν βασίζεται στο να θυμούνται οι εργαζόμενοι μια λίστα «επικίνδυνων extensions». Χρειάζεται συνδυασμός ελέγχου του μηνύματος, τεχνικής προστασίας του email, ασφαλών endpoints και ξεκάθαρης διαδικασίας αναφοράς.
Ένα PDF, DOCX ή ZIP δεν είναι από μόνο του κακόβουλο
Πολλοί νόμιμοι οργανισμοί ανταλλάσσουν καθημερινά PDFs, Office documents και compressed archives. Επομένως, η παρουσία μιας συγκεκριμένης επέκτασης δεν αρκεί για να αποφασίσουμε ότι ένα attachment είναι κακόβουλο.
Από την άλλη πλευρά, ούτε ένα φαινομενικά γνώριμο filename αποδεικνύει ότι το αρχείο είναι ασφαλές. Σύγχρονα email-security controls μπορούν να εξετάζουν τον πραγματικό τύπο ενός αρχείου και όχι μόνο το extension που εμφανίζεται στο όνομά του.
Για τον εργαζόμενο, η σημαντικότερη ερώτηση είναι συνήθως διαφορετική: περίμενα πραγματικά αυτό το αρχείο από αυτόν τον αποστολέα;
1. Ελέγξτε το πλαίσιο του μηνύματος πριν ανοίξετε το attachment
Ένα απροσδόκητο attachment χρειάζεται προσοχή ακόμη και αν φαίνεται να προέρχεται από γνωστό πρόσωπο.
Εξετάστε:
- αν περιμένατε το συγκεκριμένο μήνυμα ή αρχείο,
- αν η πραγματική διεύθυνση αποστολέα είναι αυτή που γνωρίζετε,
- αν το ύφος ή το αίτημα ταιριάζει με τη συνήθη επικοινωνία,
- αν υπάρχει ασυνήθιστη πίεση για άμεσο άνοιγμα του αρχείου,
- αν ζητείται να παρακάμψετε κάποια κανονική διαδικασία.
Ένας πραγματικός λογαριασμός συνεργάτη μπορεί επίσης να έχει παραβιαστεί. Για αυτό το γεγονός ότι γνωρίζετε τον αποστολέα δεν αποτελεί από μόνο του εγγύηση ασφάλειας.
2. Επιβεβαιώστε ασυνήθιστα attachments από δεύτερο κανάλι
Αν ένας γνωστός συνεργάτης στείλει απροσδόκητα ένα αρχείο που αφορά πληρωμή, παραγγελία, αλλαγή τραπεζικού λογαριασμού ή άλλη ευαίσθητη διαδικασία, επιβεβαιώστε το αίτημα μέσω ενός ήδη γνωστού και αξιόπιστου καναλιού.
Για παράδειγμα, χρησιμοποιήστε γνωστό τηλεφωνικό αριθμό ή υπάρχουσα επικοινωνία και όχι στοιχεία επικοινωνίας που εμφανίζονται μόνο μέσα στο ύποπτο μήνυμα.
3. Δώστε ιδιαίτερη προσοχή σε αρχεία που μπορούν να εκτελέσουν εντολές
Ορισμένοι τύποι αρχείων μπορούν να περιέχουν ή να ενεργοποιούν εκτελέσιμο περιεχόμενο, scripts ή άλλους μηχανισμούς που αυξάνουν τον κίνδυνο.
Οι εργαζόμενοι δεν χρειάζεται να απομνημονεύσουν δεκάδες extensions. Η επιχείρηση πρέπει να εφαρμόζει τεχνική πολιτική που περιορίζει τύπους αρχείων οι οποίοι δεν έχουν νόμιμη επιχειρησιακή χρήση.
Αν ένας χρήστης λάβει ασυνήθιστο executable, script, shortcut ή άλλο αρχείο που δεν περιμένει, δεν πρέπει να προσπαθήσει να το «δοκιμάσει» μόνος του.
4. Προσέξτε τα συμπιεσμένα και Password-Protected αρχεία
ZIP και άλλα compressed archives χρησιμοποιούνται νόμιμα, αλλά μπορούν επίσης να χρησιμοποιηθούν για τη μεταφορά περιεχομένου που χρειάζεται πρόσθετο έλεγχο.
Ιδιαίτερη προσοχή χρειάζεται όταν ένα απροσδόκητο archive προστατεύεται με password και το μήνυμα δίνει οδηγίες για το άνοιγμά του.
Τα password-protected attachments μπορούν να δημιουργήσουν περιορισμούς στην αυτοματοποιημένη επιθεώρηση, ανάλογα με την πλατφόρμα και το αν το security system έχει διαθέσιμο το password. Για αυτό δεν πρέπει να θεωρούνται ασφαλή απλώς επειδή είναι κρυπτογραφημένα.
5. Χρησιμοποιήστε Attachment Filtering
Η επιχείρηση μπορεί να μειώσει την έκθεση περιορίζοντας attachment types που δεν χρειάζονται για την καθημερινή εργασία.
Η πολιτική πρέπει να βασίζεται στις πραγματικές επιχειρησιακές ανάγκες. Για παράδειγμα, αν ένας συγκεκριμένος executable ή script file type δεν έχει κανέναν νόμιμο λόγο να φτάνει μέσω email στους εργαζομένους, μπορεί να είναι κατάλληλο να αποκλείεται ή να τίθεται σε quarantine.
Το filtering δεν πρέπει να βασίζεται αποκλειστικά στο filename extension όταν η χρησιμοποιούμενη πλατφόρμα διαθέτει πιο αξιόπιστο file-type detection.
6. Χρησιμοποιήστε Anti-Malware Scanning στο Email
Το εταιρικό email πρέπει να διαθέτει κατάλληλη προστασία που ελέγχει attachments για γνωστό κακόβουλο περιεχόμενο και εφαρμόζει την καθορισμένη πολιτική όταν εντοπίζεται απειλή.
Το anti-malware scanning αποτελεί σημαντικό επίπεδο προστασίας, αλλά δεν μπορεί να θεωρηθεί ότι θα αναγνωρίσει κάθε νέα ή άγνωστη απειλή. Για αυτό πρέπει να συνδυάζεται με άλλα controls.
7. Εξετάστε Sandboxing ή Detonation όπου υποστηρίζεται
Ορισμένες email-security πλατφόρμες μπορούν να αναλύουν ένα attachment σε απομονωμένο περιβάλλον πριν το παραδώσουν στον τελικό χρήστη.
Για παράδειγμα, το Safe Attachments στο Microsoft Defender for Office 365 χρησιμοποιεί virtual environment για να ελέγχει attachments μέσω διαδικασίας detonation πριν από την παράδοσή τους. Η δυνατότητα απαιτεί κατάλληλο Microsoft Defender for Office 365 Plan 1 ή Plan 2 licensing και σωστή εφαρμογή των σχετικών policies.
Η συγκεκριμένη δυνατότητα είναι ένα πρόσθετο επίπεδο προστασίας και δεν αντικαθιστά τα υπόλοιπα email, identity και endpoint security controls.
8. Μην ανεβάζετε εταιρικά αρχεία σε τυχαία Online Scanners
Όταν ένας εργαζόμενος υποψιάζεται ότι ένα attachment είναι κακόβουλο, η σωστή ενέργεια δεν είναι να το ανεβάσει αυθαίρετα σε μια δημόσια υπηρεσία ανάλυσης.
Ένα αρχείο μπορεί να περιέχει προσωπικά δεδομένα, εμπορικά στοιχεία, συμβάσεις ή άλλες εμπιστευτικές πληροφορίες. Η υποβολή του σε τρίτη υπηρεσία μπορεί να δημιουργήσει πρόσθετο κίνδυνο για τα δεδομένα.
Η επιχείρηση πρέπει να έχει εγκεκριμένη διαδικασία για την αναφορά και τεχνική ανάλυση ύποπτων attachments.
9. Προστατεύστε και το Endpoint
Η προστασία του email είναι μόνο ένα επίπεδο άμυνας. Αν ένα κακόβουλο αρχείο φτάσει στον χρήστη, το endpoint πρέπει επίσης να διαθέτει κατάλληλα security controls.
Βασικά μέτρα περιλαμβάνουν:
- ενημερωμένο λειτουργικό σύστημα,
- ενημερωμένες εφαρμογές που ανοίγουν documents και PDFs,
- endpoint protection,
- περιορισμένα user privileges όπου είναι εφικτό,
- αποφυγή καθημερινής εργασίας με περιττά administrative privileges.
Η αξιοποίηση γνωστής ευπάθειας σε μια παλιά εφαρμογή μπορεί να αποτελέσει μέρος μιας επίθεσης μέσω κακόβουλου αρχείου, επομένως το patching παραμένει σημαντικό.
10. Μην ενεργοποιείτε λειτουργίες επειδή το ζητά το μήνυμα
Ένα ύποπτο αρχείο μπορεί να συνοδεύεται από οδηγίες που ζητούν από τον χρήστη να αλλάξει security settings, να επιτρέψει περιεχόμενο ή να εκτελέσει πρόσθετα βήματα για να «δει το έγγραφο».
Οι εργαζόμενοι δεν πρέπει να παρακάμπτουν security warnings ή εταιρικούς περιορισμούς επειδή ένα email τους το ζητά.
Αν ένα νόμιμο επιχειρησιακό αρχείο απαιτεί ασυνήθιστη ενέργεια, το σωστό είναι να επιβεβαιωθεί μέσω της καθορισμένης IT διαδικασίας.
11. Δημιουργήστε εύκολη διαδικασία Report
Οι εργαζόμενοι πρέπει να γνωρίζουν πώς αναφέρουν ένα ύποπτο email ή attachment χωρίς να χρειάζεται να αποφασίσουν μόνοι τους αν είναι πραγματικά malware.
Η διαδικασία μπορεί να περιλαμβάνει το ενσωματωμένο reporting mechanism της email πλατφόρμας ή άλλο καθορισμένο κανάλι προς το IT ή security team.
Το σημαντικό είναι η αναφορά να είναι γρήγορη και ξεκάθαρη, ώστε το μήνυμα να μπορεί να εξεταστεί και, αν χρειάζεται, να αναζητηθούν παρόμοια μηνύματα που έφτασαν σε άλλους χρήστες.
12. Τι να κάνετε αν ανοίξατε ήδη ύποπτο Attachment
Αν ένας εργαζόμενος έχει ήδη ανοίξει ένα ύποπτο attachment, δεν πρέπει να προσπαθήσει να κρύψει το περιστατικό ή να το διορθώσει μόνος του.
Η σωστή αντίδραση είναι:
- αναφέρετε αμέσως το περιστατικό στο καθορισμένο IT ή security contact,
- μη διαγράψετε βιαστικά το μήνυμα ή σχετικά στοιχεία αν μπορεί να χρειαστούν για διερεύνηση,
- ακολουθήστε τις οδηγίες του IT σχετικά με απομόνωση ή άλλες ενέργειες στη συσκευή,
- αναφέρετε τι ακριβώς συνέβη, όπως αν ανοίχτηκε το αρχείο, εμφανίστηκε warning ή ζητήθηκαν credentials.
Η άμεση αναφορά μπορεί να επιτρέψει στην επιχείρηση να ελέγξει γρηγορότερα αν επηρεάστηκαν λογαριασμοί, endpoints ή άλλοι παραλήπτες.
13. Εκπαιδεύστε τους εργαζομένους με ρεαλιστικά παραδείγματα
Η εκπαίδευση δεν πρέπει να περιορίζεται στο «μην ανοίγετε attachments από αγνώστους». Πολλά επικίνδυνα μηνύματα προσπαθούν να μοιάσουν με πραγματικές επιχειρησιακές επικοινωνίες.
Οι εργαζόμενοι πρέπει να μάθουν να αναγνωρίζουν:
- απροσδόκητα τιμολόγια και παραγγελίες,
- attachments που φαίνεται να προέρχονται από γνωστό συνεργάτη αλλά δεν αναμένονταν,
- πίεση για άμεση ενέργεια,
- ασυνήθιστα password-protected archives,
- οδηγίες για παράκαμψη security warnings,
- μηνύματα που συνδυάζουν attachment με αίτημα για credentials ή οικονομική ενέργεια.
Checklist για ασφαλέστερα Email Attachments
- Οι εργαζόμενοι ελέγχουν αν πραγματικά περίμεναν το attachment.
- Ασυνήθιστα αιτήματα επιβεβαιώνονται από δεύτερο αξιόπιστο κανάλι.
- Επικίνδυνοι ή μη απαραίτητοι file types περιορίζονται από την email πολιτική.
- Υπάρχει anti-malware scanning για το εταιρικό email.
- Αξιολογείται προηγμένη attachment analysis όπου απαιτείται.
- Password-protected archives αντιμετωπίζονται με αυξημένη προσοχή.
- Τα endpoints και οι εφαρμογές παραμένουν ενημερωμένα.
- Οι χρήστες δεν διαθέτουν περιττά administrative privileges.
- Υπάρχει εύκολη διαδικασία αναφοράς ύποπτων μηνυμάτων.
- Οι εργαζόμενοι γνωρίζουν τι πρέπει να κάνουν αν άνοιξαν ήδη ύποπτο αρχείο.
Η προστασία από κακόβουλα attachments χρειάζεται πολλαπλά επίπεδα
Δεν υπάρχει ένας τύπος αρχείου, ένα φίλτρο ή ένα security product που να εξαλείφει μόνο του τον κίνδυνο.
Η αποτελεσματικότερη προσέγγιση συνδυάζει email filtering και scanning, κατάλληλη ανάλυση attachments, ενημερωμένα endpoints, περιορισμένα privileges και εργαζομένους που γνωρίζουν πότε πρέπει να σταματήσουν και να αναφέρουν ένα ύποπτο μήνυμα.
Με αυτόν τον τρόπο, ακόμη και αν ένα επίπεδο προστασίας δεν αναγνωρίσει μια νέα απειλή, υπάρχουν επιπλέον controls που μπορούν να περιορίσουν την πιθανότητα και την επίπτωση μιας παραβίασης.
Πώς μπορεί να βοηθήσει η DataShield.gr;
Η DataShield.gr μπορεί να αξιολογήσει την προστασία του εταιρικού email και των endpoints, εντοπίζοντας κενά σε attachment filtering, anti-malware policies, security configuration, patching και διαδικασίες αναφοράς ύποπτων μηνυμάτων.
Οι κατάλληλες ρυθμίσεις εξαρτώνται από την email πλατφόρμα, το licensing, τις εφαρμογές και τις πραγματικές ανάγκες ανταλλαγής αρχείων κάθε επιχείρησης.
Επικοινωνήστε με τη DataShield.gr για μια αρχική αξιολόγηση της προστασίας της επιχείρησής σας απέναντι σε email-based απειλές.
