«СёрчИнформ КИБ» научился распознавать фишинговые письма

Компания «СёрчИнформ» представила обновление DLP «СёрчИнформ КИБ» — теперь система выявляет потенциально опасную почту в ящиках сотрудников. С этими данными специалист по безопасности сможет предотвратить риск, что пользователи скачают вредоносные вложения, перейдут по фишинговым ссылкам или вступят в переписку с мошенниками. Также данные из КИБ можно использовать, чтобы оптимизировать настройки спам-фильтров на корпоративном почтовом сервере. Все вместе это снижает вероятность компрометации рабочих ПК и случайных утечек конфиденциальной информации.

Распознавание фишинговых писем происходит за счёт сравнения значений полей «идентификатор письма» (MessageID) и «отправитель» (From), то есть система выявляет случаи, когда домен и истинный адрес отправителя разные. При несовпадении этих значений DLP-система расценивает письмо как фишинговое и уведомляет ИБ-специалиста. Настроить выявление таких писем можно в разделе «поиск по атрибутам».

«Методы социальной инженерии по-прежнему остаются основным инструментом киберпреступников, а главным каналом — почта. По данным исследования, больше 30% сотрудников открывают фишинговые письма. С фишинговыми письмами могут распространяться ссылки или вложения с программами удаленного администрирования, вирусами-шифровальщиками и другим вредоносным ПО. Чтобы исключить такую угрозу, наша DLP работает превентивно и заранее предупреждает ИБ-специалиста о том, что сотрудник получил фишинговое письмо», — подчеркнул руководитель отдела аналитики «СёрчИнформ» Алексей Парфентьев.

Распознавание фишинга — дополнительный инструмент для контроля нетипичных, в том числе внешних рисков, который расширяет функционал DLP. Ранее в «СёрчИнформ КИБ» появились функции оценки стойкости паролей сотрудников, выявления компрометации служебных аккаунтов (когда учетной записью одного сотрудника пользуются другие), а также еще один способ обнаружить кражу аккаунта — функция распознавания лиц. Система с помощью веб-камеры делает снимки каждый раз, когда пользователь авторизуется за ПК, и сообщает, если компьютер разблокировал не владелец.