Hoe kunnen phishing e-mails gemakkelijker worden opgespoord?

Onze beveiligingsexperts hebben technische werkwijzen opgesteld en een daarvan richtte zich op een mensgerichte aanpak om de blootstelling aan phishing-aanvallen te verminderen. Alice, onze expert, gaat nog een stap verder door op zoek te gaan naar andere manieren om het detecteren van phishing e-mails te vergemakkelijken, omdat ze weet dat mensen beperkte middelen en energie hebben als het aankomt op het detecteren van bedreigingen.

Ontdek meer in het vierde hoofdstuk “Bruikbaarheid en andere manieren om detectie te vergemakkelijken”.

Een verhaal geschreven door Emmanuel Nicaise, onze Human-centric Cyber Security Expert.

Bruikbaarheid en andere manieren om het detecteren van phishing e-mails te vergemakkelijken

Alice kreeg veel positieve feedback van het bedrijf over de training. Het is efficiënt en het kost niet veel tijd. Ze vinden het leuk. Toch zijn sommige gebruikers verward. Ze hebben moeite om sommige phishing e-mails te herkennen. De middelen en energie van een mens zijn beperkt. Alice besteedt ze liever aan bedrijfsgerelateerde taken dan aan beveiliging. Bovendien, hoe makkelijker een taak is, hoe minder motivatie er nodig is. Ze plande een vergadering met de expert om een oplossing te vinden.

• Waarom is het voor sommige gebruikers zo moeilijk om een phishingmail te herkennen?

• Er kunnen veel redenen zijn. Mensen zijn geen machines. We hebben allemaal verschillende manieren om naar dingen te kijken, om dingen te doen. En voor de meeste gebruikers is beveiliging niet hun eerste zorg. We moeten het makkelijk maken om te zien waar ze op moeten letten.

• Hoe kunnen we dat doen?

• Ten eerste zou ik werken aan het gebrek aan patroon.

• Wat bedoel je?

1. Patronen en toxiciteit

• Onze hersenen zijn een uniek patroonherkenningssysteem. Als ik de reeks “2, 4, 8…” zeg, komt het getal 16 waarschijnlijk al in je op. Je hebt het patroon herkend. Dus als alle e-mails van onze collega’s eindigen met dezelfde domeinnaam (zoals @a.com), creëren we een patroon, een regel, in ons brein, waarbij we dit patroon koppelen aan een groep die we vertrouwen.

• Ja, dat is logisch.

• Tegelijkertijd zullen we elk ander patroon als minder betrouwbaar beschouwen. We zien het als afkomstig van buiten onze groep. Daarom vragen we onze gebruikers om de domeinnaam van de afzender te controleren.

• Wat is daar mis mee?

• Niets! Maar de wereld evolueert en dit eenvoudige verzoek is misschien niet meer zo eenvoudig uit te voeren. Tegenwoordig, met de cloudificatie, gebruikt A.com meerdere externe derde partijen om interne services te leveren, zoals servicedesks, training, personeelszaken, timesheets enzovoort. Elk van deze services stuurt e-mails naar onze gebruikers via hun domein (zoals ticket@myservicedesksoftware.com of noreply@mycloudsoftwaresolution.com). Het wordt een uitdaging voor het menselijk brein om een duidelijk patroon te herkennen. Als hackers een e-mail sturen met een schijnbaar legitiem domein zoals helpdesk@itdepartment.xyz, wekt dit niet de waakzaamheid die we zouden verwachten. Deze inconsistentie is giftig voor onze beveiliging omdat het onze gebruikers verhindert om verdachte e-mails van legitieme te onderscheiden. Sterker nog, het kan bij sommige mensen onnodige paranoia opwekken, omdat we geneigd zijn ons ongemakkelijk te voelen als we een patroon niet herkennen.

• OK. Dat begrijp ik. Wat moeten we dan doen?

• De beste oplossing is waarschijnlijk om onze SaaS-providers te vragen om e-mails te versturen via een subdomein van ons (zoals info@provider1.a.com). Onze gebruikers kunnen dan weer een patroon vinden.

• OK. Ik zal ons beleid aanpassen en inkoop vragen contact op te nemen met onze leveranciers. Wat nog meer?

2. E-mailclient

• We kunnen de detectie van verdachte e-mails vergemakkelijken door de gebruikersinterfaces van onze e-mailclients te configureren of te verbeteren. Zo kunnen ze gemakkelijk verdachte e-mails herkennen met beperkte technische kennis en inspanning. Daar zijn we al mee begonnen:

  • We hebben de mailclient verbeterd om ervoor te zorgen dat het domein van de afzender zichtbaar is in de lijst met e-mails. We gebruiken een formule om het e-mailadres alleen weer te geven als het extern is aan onze organisatie en niet wordt vertrouwd.
  • We hebben een banner toegevoegd in de body van het bericht (bovenaan). Deze informeert de gebruiker dat deze e-mail afkomstig is van een afzender buiten onze organisatie. We hebben het opvallend gemaakt, in rood, vetgedrukt. We zijn aan het bekijken hoe we dit elke maand kunnen variëren om gewenning te voorkomen.
  • Markeer de e-mails van een externe bron in rood vetgedrukte letters in de lijst met e-mails.
  • We zijn op zoek naar een systeem dat e-mails categoriseert op basis van hun mate van bedreiging: interne e-mails in één map, externe e-mails van een bekende en vertrouwde bron in een tweede map en een derde map voor e-mails van een niet-vertrouwde externe bron.
  • We hebben ook een systeem geconfigureerd om een waarschuwing weer te geven wanneer we klikken op een koppeling in een e-mail van een niet-vertrouwde bron. De gebruiker moet de actie bevestigen voordat de client de URL of de bijlage voorgoed opent.

• OK. Het ziet er niet naar uit dat het om grote veranderingen gaat, maar ik denk dat het een verschil maakt.

• Inderdaad. Alle feedback is zeer positief. Het verandert ook de manier waarop mensen tegen beveiligingsteams aankijken. Ze worden gezien als facilitators, business enablers en niet als mensen die anderen de hele tijd de schuld geven.

• Heb je deze maatregelen op alle omgevingen geïmplementeerd?

• Ja, we hebben gezorgd voor consistentie van deze functies in alle beschikbare omgevingen: PC, Mac, desktop en mobiele apparaten.

3. Webbrowser

• Is er iets anders dat we kunnen doen?

• Phishing-e-mails bevatten vaak koppelingen naar schadelijke websites die worden gebruikt om een payload te uploaden. Soms verleiden ze de gebruiker om zijn of haar referenties of andere gevoelige gegevens te geven.

• Ja, maar onze webbrowsers markeren de domeinnaam en tonen een hangslot wanneer HTTPS wordt gebruikt.

• Waar, maar mensen merken dit niet meer.

• Weer gewenning?

• Ja. We werken aan een waarschuwing om de gebruiker te waarschuwen wanneer de website HTTP gebruikt. Het zou moeten helpen om de waakzaamheid te verhogen. Toch gebruikt tegenwoordig 80% van de phishing-websites HTTPS.

• OKÉ. Dus dat is niet het wondermiddel.

• Nee, dat is het niet. De meest effectieve verandering die we hebben doorgevoerd is waarschijnlijk de webfilter. We hebben de instellingen gewijzigd om ongecategoriseerde websites te blokkeren. Tegenwoordig bestaan websites die worden gebruikt voor phishingcampagnes 8 tot 24 uur voordat ze verdwijnen. We kunnen niet verwachten dat ze als kwaadaardig worden gemarkeerd voordat de aanval ons bereikt. We moeten het grootste deel standaard blokkeren en toegang verlenen tot alle geïdentificeerde legitieme servers.

• Maar mensen zullen klagen als ze geen toegang krijgen tot een website die ze nodig hebben voor hun werk.

• Daarom hebben we een soepel proces geïmplementeerd om een website handmatig te categoriseren in geval van nood. Beveiligingsteams voeren een snelle beoordeling uit en werken de lijst bij als de site veilig genoeg is.

• Mooi, dan krijg ik niet te veel klachten.

• Nee, dat zou je niet moeten doen. Bovendien hebben beveiligingsengineers de webbeveiligingsgateways opnieuw geconfigureerd om formulieren te detecteren die om een wachtwoord vragen van onbekende websites. Als dat gebeurt, wordt er een extra waarschuwing weergegeven op de webpagina van de gebruiker.

• Dat is uitstekend. Dus we zijn klaar?

• Ja, voorlopig wel. Laten we kijken hoe het gaat. Als het nodig is, hebben we nog een paar kaarten om uit te spelen, zoals gamification.