Какво се проверява в прикачения файл
- Антивирус: сравнение с известни злонамерени програми. Ефективен срещу това, което вече циркулира, по-малко срещу файл, създаден за една-единствена кампания.
- Office макроси: Word или Excel документ, който съдържа код и иска да „разрешите съдържанието“, за да го изпълни. Това е стара схема, която все още се използва.
- PDF: скриптове, скрити връзки, формуляри, които водят към фалшива страница за вход.
- HTML файлове: прикачен файл, който се отваря в браузъра и имитира страница за вход, без да минава през сайт, който би могъл да бъде блокиран.
- Изображения: QR код с връзка или текст, скрит в изображението, за да се избегне анализът на текста.
Когато файл е преценен като опасен, има два разумни изхода: файлът се премахва и съобщението се доставя с обяснителна бележка или цялото съобщение отива в карантина. И в двата случая файлът не стига до работната станция.
Връзките: при доставката и при щракването
Връзката се анализира в съобщението: репутация на адреса и домейна, прилика с известна марка, наскоро създаден домейн. QR кодът създава особен проблем: той премества връзката от защитения компютър към личния телефон, който често е по-слабо защитен. Разчитането му в изображението връща връзката под контрол.
Но връзка, чиста в 9 часа, може да е заразена в 14 часа. Измамниците първо изпращат връзка към безобидна страница, след това променят страницата, след като съобщението е доставено. Затова съществува защитата при щракване: връзката се пренаписва така, че да минава през проверка в момента, в който потребителят щракне. Ако страницата е станала опасна, щракването се блокира, дори съобщението да е било доставено.
Случаят с връзките за споделяне
Все повече злонамерени съобщения не съдържат прикачен файл: те водят към документ, качен в известна услуга за споделяне на файлове. Тогава домейнът на връзката има отлична репутация, защото е на голяма услуга. Анализът трябва да се съсредоточи върху останалото: обичаен ли е подателят, прилича ли съобщението на кампания, иска ли отворената страница парола? Именно тук проверката при щракване и разпознаването на необичайно поведение са по-важни от списъка с опасни домейни.
Рансъмуер: какво може да направи шлюзът и какво не
Cybermalveillance.gouv.fr описва рансъмуера като атака, която блокира достъпа до система или криптира данните, а понякога заплашва и да ги разкрие, срещу откуп. Службата отбелязва, че проникването обикновено става през уязвимост или лошо защитен отдалечен достъп, или чрез компрометиране на акаунт или машина с фишинг или злонамерена програма.
Електронната поща не е единственият вход, но ANSSI я нарича „основният път за заразяване на работната станция“. Същата институция посочва „изпращането на злонамерени прикачени файлове за използване на уязвимостите на работната станция с цел изнуда или шпионаж“. Това е и вход, който може да се филтрира, преди да стигне до кутията. Типичният сценарий по имейл:
- съобщение с прикачен файл или връзка;
- активиран макрос или парола, въведена във фалшива страница;
- достъп до мрежата или до акаунтите;
- по-късно, понякога седмици след това, криптиране на файловете.
Пример, за илюстрация. Служител получава „неплатена фактура“ във формат Word. Документът показва размазана лента и иска да се разреши съдържанието, за да бъде прочетен. Ако служителят го направи, макросът изтегля програма, която дава достъп до работната станция. Файловете на сървъра ще бъдат криптирани чак по-късно. Ако файлът бъде премахнат при пристигането, тази верига не започва; ако премине, всичко зависи от навика да не се активира макросът, а след това от резервното копие.
Шлюзът действа на първата стъпка. Той не вижда проникване през отдалечен достъп, нито акаунт, вече отворен с парола, открадната другаде. Той не възстановява нищо.
Cybermalveillance.gouv.fr препоръчва редовни резервни копия, копия извън мрежата, проверени възстановявания и безотлагателно прилагани актуализации. Тя препоръчва също да не се плаща откуп. За вашите файлове въпросът е разгледан в Защита на DMS от рансъмуер и възстановяването ѝ.
Какво остава задача на човека
- Да не активира макросите в документ, получен по имейл, дори ако той го иска учтиво.
- Да не въвежда парола в страница, отворена от получена връзка; да минава през обичайния адрес или отметка. Cybermalveillance.gouv.fr съветва също да се проверява адресът на сайта, в който може да е сменен един-единствен знак.
- Да не сканира QR код, получен по имейл, за да „влезе“.
- Да докладва съмнително съобщение, вместо да го изтрива: докладването помага на филтъра и предупреждава колегите.
- Да не освобождава от карантина съобщение, което не е очаквал, само за да види какво е.
Ограниченията на всеки анализ
- Файлът, криптиран от подателя: архив, защитен с парола, която е дадена в съобщението, е нечетим за филтъра. Това е известна техника за заобикаляне; тя се обработва с правило (карантина, предупреждение), а не с анализ на съдържанието.
- Новият злонамерен документ, без известна сигнатура, може да мине през антивируса. Тогава останалите сигнали (подател, контекст, макроси) поемат щафета, без гаранция.
- Компрометираният легитимен акаунт, който изпраща истинска заразена фактура, се ползва от доверието към подателя.
- Връзката, заразена впоследствие, преминава, ако никой не я провери отново в момента на щракване.
- Вътрешното съобщение, разменено между две кутии на една и съща пощенска система, без да излиза от нея, не минава през шлюз, поставен отпред: вижда го филтърът на пощенската система или никой.
Карантината съществува за съмнителните случаи: съобщението нито е доставено, нито е изгубено. Вижте Карантина, фалшиви сигнали и докладване.
Често задавани въпроси
Изгубен ли е премахнатият файл?
Съобщението пристига с бележка, която обяснява премахването. Ако файлът е бил легитимен, администраторът или получателят минава през карантината: вижте Карантина, фалшиви сигнали и докладване.
Наистина ли PDF може да е опасен?
Да: той може да съдържа скриптове или да води към фалшива страница за вход. Затова се проверява като Office документ.
Защо връзка, проверена вчера, е блокирана днес?
Страницата се е променила след доставката. Защитата при щракване преценява страницата в момента, в който я отваряте.
Достатъчен ли е шлюз срещу рансъмуер?
Не. Той намалява проникването през електронната поща. Актуализациите, отдалеченият достъп и резервното копие вършат останалото. Вижте Защита на DMS от рансъмуер и възстановяването ѝ.
Къде е Klytic
Разпределението на функциите на Klytic MTA между двата му плана, така както е публикувано:
| Анализ | Essential | Advanced |
|---|
| Антивирус и криптирана карантина | Да | Да |
| Заразени Office макроси и PDF | Да | Да |
| Антифишинг, подправяне на марка, QR кодове | Да | Да |
| Премахване на опасни файлове с информационно съобщение | Да | Да |
| Защитено освобождаване от карантина и известия | Да | Да |
| Заразени HTML файлове и скрит текст в изображенията | Не | Да |
| Повторен анализ на връзките в момента на щракване | Не | Да |
Klytic MTA работи пред всяка пощенска система, без Klytic Mail. Той не замества резервното копие на вашите файлове и пощенски кутии: в Klytic това са резервните копия на самите услуги, описани на страницата Сигурност и резервни копия.
Източници
Консултирани през октомври 2026 г.
- Cybermalveillance.gouv.fr, „Rançongiciel ou ransomware : que faire si votre organisation est victime d’une attaque ?“: определение, начини на проникване (уязвимости, отдалечен достъп, фишинг, злонамерена програма), резервни копия извън мрежата и тествани, актуализации, откупът не се плаща. cybermalveillance.gouv.fr
- Cybermalveillance.gouv.fr, „Que faire en cas de phishing ou hameçonnage ?“: проверка на адреса на връзката и на сайта, преди да се въвежда информация. cybermalveillance.gouv.fr
- Klytic, страница Klytic MTA: анализ на прикачените файлове и връзките в плановете Essential и Advanced, опции, начини на внедряване, пускане в действие чрез MX. klytic.com
- ANSSI, „Guide d’hygiène informatique“, версия 2.0, септември 2017 г., мярка 24 „Protéger sa messagerie professionnelle“: „Електронната поща е основният път за заразяване на работната станция“. messervices.cyber.gouv.fr
- ANSSI, MonServiceSécurisé, рамка от мерки, мярка „Mettre en œuvre une solution d’anti-spam et d’anti-hameçonnage“: „Пощенските системи са един от основните пътища за атаки, тъй като са масово използвани и изложени в интернет“. monservicesecurise.cyber.gouv.fr
- ANSSI, „Recommandations relatives à l’interconnexion d’un système d’information à Internet“, ANSSI-PA-066, версия 3.0, 19 юни 2020 г., глава 5 „Sécurisation du service de messagerie électronique“: електронната поща „се е превърнала в един от основните пътища за кибератаки“ (фишинг, злонамерени прикачени файлове); т. 5.2.3: механизми срещу спам и за търсене на злонамерено съдържание „трябва да бъдат въведени“. messervices.cyber.gouv.fr
