Главная мысль
Защита конечных устройств может помочь обнаружить вредоносные файлы и процессы, но не устраняет попытки манипулировать человеком. Сочетайте технические меры с проверенными рабочими процедурами и порядком сообщения об инцидентах.
Три этапа атаки
Полезная модель адресной атаки — сбор сведений, подготовка предлога и контакт; не каждая атака следует этой последовательности. Сначала злоумышленник собирает открытые сведения о цели, её обязанностях и используемых сервисах. Затем подбирает предлог и сообщение под этот контекст, например запрос якобы от поставщика или портала сотрудников. Наконец связывается по электронной почте, телефону, в социальной сети или через поддельный сайт. Понимание этой последовательности помогает оценить, кому и зачем адресован запрос, а не только искать ошибки в тексте.
Какие приёмы социальной инженерии нужно распознавать
Фишинг может побуждать раскрыть сведения, перейти на поддельную страницу или открыть вредоносный файл. Адресный фишинг (spear phishing) подстраивают под конкретного человека; атаки на руководителей (whaling) нацелены на высшее руководство. Выдуманный предлог (pretexting) опирается на ложную личность и историю. Приманка (baiting) обещает привлекательный файл или устройство, а услуга в обмен на сведения (quid pro quo) — помощь за информацию. При компрометации привычного сайта (watering hole) атакуют сайт, который посещают цели: под угрозой оказываются посетители и их устройства, а не автоматически их собственные сайты.
Где помогают средства защиты конечных устройств
Почтовые и веб-фильтры могут выявлять опасную ссылку или вложение до доставки пользователю. Endpoint Protection и EDR, в зависимости от продукта и настроек, могут ограничить запуск вредоносного файла, предупредить о подозрительном процессе и предоставить данные для расследования. Эти меры не предотвращают автоматически ошибочный платёж, добровольную передачу пароля или доверие к обманному звонку. Финансовое согласование, проверка личности и сообщения сотрудников требуют отдельных процедур.
Дополните техническую защиту рабочими процедурами
Установите проверку неожиданных запросов на доступ и платежи по заранее известному каналу. Объясните сотрудникам, кому сообщать о подозрительном письме, сообщении или звонке. Обновляйте устройства и браузеры, ограничивайте разрешения приложений и используйте утверждённые программы. Во время учения проверьте и то, как сотрудник передаёт подозрительный запрос службе безопасности, и то, какие действия техническая команда предпринимает для устройства и аккаунта.