Mida manuses kontrollitakse
- Viirusekaitse: võrdlus tuntud pahatahtlike programmidega. Tõhus selle vastu, mis juba ringleb, vähem tõhus ühe kampaania jaoks valmistatud faili vastu.
- Office’i makrod: Wordi või Exceli dokument, mis sisaldab koodi ja palub selle käivitamiseks „sisu lubada“. See on vana, kuid endiselt kasutatav skeem.
- PDF: skriptid, peidetud lingid, vormid, mis suunavad võlts sisselogimislehele.
- HTML-failid: manus, mis avaneb brauseris ja jäljendab sisselogimislehte, ilma et see läbiks saiti, mida saaks blokeerida.
- Pildid: QR-kood, mis sisaldab linki, või pildis peidetud tekst, mis püüab tekstianalüüsist mööda pääseda.
Kui manus hinnatakse ohtlikuks, on kaks mõistlikku väljundit: eemaldada manus ja edastada kiri seda selgitava märkusega või panna kogu kiri karantiini. Mõlemal juhul ei jõua fail tööjaama.
Lingid: edastamisel ja seejärel klõpsamisel
Linki analüüsitakse kirjas: aadressi ja domeeni maine, sarnasus tuntud kaubamärgiga, hiljuti loodud domeen. QR-kood tekitab erilise probleemi: see viib lingi kaitstud arvutist isiklikku telefoni, mis on sageli vähem kaitstud. Selle lugemine pildist toob lingi tagasi kontrolli alla.
Kuid kell 9 puhas link võib kell 14 olla lõks. Petised saadavad esmalt lingi kahjutule lehele ja muudavad lehte pärast kirja edastamist. Selle tõttu on olemas klõpsamisaegne kaitse: link kirjutatakse ümber nii, et see läbib kontrolli hetkel, mil kasutaja klõpsab. Kui leht on muutunud ohtlikuks, peatatakse klõps, isegi kui kiri edastati.
Jagamislinkide juhtum
Üha rohkem pahatahtlikke kirju ei sisalda ühtegi manust: need suunavad dokumendile, mis on üles laaditud tuntud failijagamisteenusesse. Lingi domeenil on siis suurepärane maine, sest see kuulub suurele teenusele. Analüüs peab puudutama ülejäänut: kas saatja on tavapärane, kas kiri sarnaneb kampaaniaga, kas avatud leht küsib parooli? Just siin on klõpsamisaegne kontroll ja ebatavalise käitumise tuvastamine olulisemad kui ohtlike domeenide loend.
Lunavara: mida lüüs saab teha ja mida mitte
Cybermalveillance.gouv.fr kirjeldab lunavara kui rünnakut, mis blokeerib juurdepääsu süsteemile või krüpteerib andmed ning ähvardab mõnikord neid avalikustada, nõudes vastutasuks lunaraha. Platvorm märgib, et sissetung toimub üldjuhul turvanga või halvasti turvatud kaugjuurdepääsu kaudu või konto või masina kompromiteerimise kaudu õngitsemise või pahatahtliku programmiga.
E-post ei ole ainus sissepääs, kuid ANSSI nimetab seda „tööjaama peamiseks nakatumisvektoriks“. Sama asutus mainib „pahatahtlike manuste saatmist tööjaama haavatavuste ärakasutamiseks lunarahanõudmise või spionaaži eesmärgil“. See on ka sissepääs, mida saab filtreerida enne, kui see postkasti jõuab. Tavapärane käik e-posti kaudu:
- kiri manuse või lingiga;
- lubatud makro või võltslehele sisestatud parool;
- juurdepääs võrgule või kontodele;
- hiljem, mõnikord nädalate pärast, failide krüpteerimine.
Näide illustratsiooniks. Töötaja saab Wordi-vormingus „tasumata arve“. Dokument kuvab hägusa riba ja palub lugemiseks sisu lubada. Kui ta seda teeb, laadib makro alla programmi, mis annab juurdepääsu tööjaamale. Serveri failid krüpteeritakse alles hiljem. Kui manus eemaldatakse saabumisel, see ahel ei alga; kui see pääseb läbi, sõltub kõik refleksist makrot mitte lubada ja seejärel varundusest.
Lüüs tegutseb esimeses etapis. See ei näe sissetungi kaugjuurdepääsu kaudu ega kontot, mis on juba avatud mujalt varastatud parooliga. See ei taasta midagi.
Cybermalveillance.gouv.fr soovitab korrapäraseid varukoopiaid, võrgust lahutatud koopiaid, kontrollitud taastamist ja viivitamata rakendatud uuendusi. Samuti soovitab see lunaraha mitte maksta. Teie failide puhul käsitleb seda küsimust juhend Dokumendihalduse kaitsmine lunavara eest ja selle taastamine.
Mis jääb inimese teha
- Mitte lubada e-postiga saadud dokumendi makrosid, isegi kui see seda viisakalt palub.
- Mitte sisestada parooli lehel, mis avati saadud lingi kaudu; kasutada tavapärast aadressi või järjehoidjat. Cybermalveillance.gouv.fr soovitab ka kontrollida saidi aadressi, kus võib muutuda üksainus märk.
- Mitte skannida e-postiga saadud QR-koodi, et „sisse logida“.
- Teatada kahtlasest kirjast, selle asemel et seda kustutada: teavitus aitab filtrit ja hoiatab kolleege.
- Mitte vabastada karantiinist kirja, mida ei oodatud, lihtsalt uudishimust.
Iga analüüsi piirangud
- Saatja krüpteeritud fail: kirjas antud parooliga kaitstud arhiiv on filtrile loetamatu. See on tuntud möödahiilimisvõte; seda käsitletakse reegliga (karantiin, hoiatus), mitte sisu analüüsiga.
- Uus pahatahtlik dokument ilma tuntud signatuurita võib viirusekaitsest läbi pääseda. Siis võtavad teatepulga üle teised signaalid (saatja, kontekst, makrod), ilma garantiita.
- Kompromiteeritud õiguspärane konto, mis saadab päris arve lõksuga, naudib saatja usaldust.
- Hiljem lõksuks muudetud link pääseb läbi, kui keegi seda klõpsamise hetkel uuesti ei kontrolli.
- Sisemine kiri, mida vahetatakse sama e-posti teenuse kahe postkasti vahel sellest väljumata, ei läbi ette paigutatud lüüsi: seda näeb e-posti teenuse filter või mitte keegi.
Karantiin on olemas kahtlaste juhtumite jaoks: kirja ei edastata ega kaotata. Vt Karantiin, valepositiivsed tulemused ja teatamine.
Korduma kippuvad küsimused
Kas eemaldatud manus on kadunud?
Kiri saabub märkusega, mis eemaldamist selgitab. Kui manus oli õiguspärane, kasutab administraator või adressaat karantiini: vt Karantiin, valepositiivsed tulemused ja teatamine.
Kas PDF võib tõesti ohtlik olla?
Jah: see võib sisaldada skripte või suunata võlts sisselogimislehele. Sellepärast kontrollitakse seda nagu Office’i dokumenti.
Miks blokeeritakse täna link, mida eile kontrolliti?
Leht on pärast edastamist muutunud. Klõpsamisaegne kaitse hindab lehte hetkel, mil te selle avate.
Kas lüüsist piisab lunavara vastu?
Ei. See vähendab sissepääsu e-posti kaudu. Ülejäänu teevad uuendused, kaugjuurdepääsud ja varundus. Vt Dokumendihalduse kaitsmine lunavara eest ja selle taastamine.
Klyticu positsioon
Klytic MTA jaotus kahe paketi vahel, nagu see on avaldatud:
| Analüüs | Essential | Advanced |
|---|
| Viirusekaitse ja krüpteeritud karantiin | Jah | Jah |
| Lõksuga Office’i makrod ja PDF-id | Jah | Jah |
| Õngitsemisvastane kaitse, kaubamärgi võltsimine, QR-koodid | Jah | Jah |
| Ohtlikud manused eemaldatakse, koos teavituskirjaga | Jah | Jah |
| Turvaline karantiinist vabastamine ja teavitused | Jah | Jah |
| Lõksuga HTML-failid ja piltidesse peidetud tekst | Ei | Jah |
| Klõpsamise hetkel uuesti analüüsitavad lingid | Ei | Jah |
Klytic MTA töötab mis tahes e-posti teenuse ees, ilma Klytic Mailita. See ei asenda teie failide ja postkastide varundust: Klyticus on selleks teenuste endi varundused, mida kirjeldab leht turvalisus ja varundus.
Allikad
Vaadatud oktoobris 2026.
- Cybermalveillance.gouv.fr, „Rançongiciel ou ransomware : que faire si votre organisation est victime d’une attaque ?“: määratlus, sissetungi viisid (turvaaugud, kaugjuurdepääsud, õngitsemine, pahatahtlik programm), võrgust lahutatud ja testitud varukoopiad, uuendused, mitte maksta. cybermalveillance.gouv.fr
- Cybermalveillance.gouv.fr, „Que faire en cas de phishing ou hameçonnage ?“: kontrollida lingi ja saidi aadressi enne andmete sisestamist. cybermalveillance.gouv.fr
- Klytic, Klytic MTA leht: manuste ja linkide analüüs Essential- ja Advanced-paketis, lisavõimalused, juurutusviisid, kasutuselevõtt MX-kirje kaudu. klytic.com
- ANSSI, „Guide d’hygiène informatique“, versioon 2.0, september 2017, meede 24 „Protéger sa messagerie professionnelle“: „E-post on tööjaama peamine nakatumisvektor“. messervices.cyber.gouv.fr
- ANSSI, MonServiceSécurisé, meetmete raamistik, meede „Mettre en œuvre une solution d’anti-spam et d’anti-hameçonnage“: „E-posti süsteemid on üks peamisi rünnakuvektoreid, sest neid kasutatakse väga laialdaselt ja need on internetis avatud“. monservicesecurise.cyber.gouv.fr
- ANSSI, „Recommandations relatives à l’interconnexion d’un système d’information à Internet“, ANSSI-PA-066, versioon 3.0, 19. juuni 2020, 5. peatükk „Sécurisation du service de messagerie électronique“: e-post „on muutunud üheks peamiseks küberrünnakute vektoriks“ (õngitsemine, pahatahtlikud manused); § 5.2.3, rämpspostitõrje ja pahatahtliku sisu otsingu mehhanismid „tuleb rakendada“. messervices.cyber.gouv.fr
