Mit vizsgál a rendszer egy mellékletben
- Víruskereső: összevetés ismert rosszindulatú programokkal. Hatékony arra, ami már kering, kevésbé egy egyetlen kampányhoz készített fájlra.
- Office-makrók: kódot tartalmazó Word- vagy Excel-dokumentum, amely a futtatáshoz „a tartalom engedélyezését” kéri. Régi, de még mindig használt séma.
- PDF: szkriptek, rejtett linkek, hamis bejelentkezési oldalra mutató űrlapok.
- HTML-fájlok: egy böngészőben megnyíló melléklet, amely egy bejelentkezési oldalt utánoz, anélkül, hogy egy letiltható webhelyen keresztül haladna.
- Képek: linket tartalmazó QR-kód, vagy a képbe rejtett szöveg, amely a szövegelemzés kijátszására szolgál.
Ha egy mellékletet veszélyesnek ítél a rendszer, két ésszerű megoldás van: a melléklet eltávolítása és az üzenet kézbesítése egy ezt magyarázó megjegyzéssel, vagy az egész üzenet karanténba helyezése. A fájl egyik esetben sem jut el a munkaállomásra.
A linkek: kézbesítéskor, majd kattintáskor
A linket a rendszer az üzenetben elemzi: a cím és a domain hírneve, hasonlóság egy ismert márkához, nemrég létrehozott domain. A QR-kód külön problémát jelent: a linket a védett számítógépről a személyes telefonra viszi át, amely gyakran kevésbé védett. Ha a rendszer kiolvassa a képből, a link visszakerül az ellenőrzés alá.
Egy reggel 9-kor ártalmatlan link azonban délután 2-re csapdává válhat. A csalók először egy ártalmatlan oldalra mutató linket küldenek, majd az üzenet kézbesítése után kicserélik az oldalt. Ez az oka a kattintáskori védelemnek: a linket átírják, hogy a felhasználó kattintásakor egy ellenőrzésen haladjon át. Ha az oldal időközben veszélyessé vált, a kattintást a rendszer megállítja, még ha az üzenetet kézbesítették is.
A megosztási linkek esete
Egyre több rosszindulatú üzenet nem tartalmaz mellékletet: egy ismert fájlmegosztó szolgáltatásra feltöltött dokumentumra mutat. A link domainjének ilyenkor kiváló a hírneve, hiszen egy nagy szolgáltatásé. Az elemzésnek a többire kell irányulnia: szokásos-e a feladó, hasonlít-e az üzenet egy kampányra, kér-e jelszót a megnyitott oldal? Itt a kattintáskori ellenőrzés és a szokatlan viselkedés felismerése többet számít, mint a veszélyes domainek listája.
Zsarolóvírus: mit tehet az átjáró, és mit nem
A cybermalveillance.gouv.fr a zsarolóvírust olyan támadásként írja le, amely véltalségért cserébe blokkolja a hozzáférést egy rendszerhez vagy titkosítja az adatokat, és néha azok nyilvánosságra hozatalával fenyeget. A szolgálat megjegyzi, hogy a behatolás általában egy biztonsági résen vagy egy rosszul védett távoli hozzáférésen keresztül történik, vagy egy fiók vagy gép kompromittálásával, adathalászat vagy rosszindulatú program révén.
A levelezés nem az egyetlen behatolási pont, de az ANSSI „a munkaállomások fertőzésének fő forrásaként” nevezi meg. Ugyanez a szervezet említi „a rosszindulatú mellékletek küldését a munkaállomások sebezhetőségeinek zsarolási vagy kémkedési célú kihasználására”. Ugyanakkor olyan behatolási pont is, amely szűrhető, mielőtt elérné a postafiókot. A tipikus lefolyás e-mailen keresztül:
- egy üzenet melléklettel vagy linkkel;
- egy engedélyezett makró, vagy egy hamis oldalon megadott jelszó;
- hozzáférés a hálózathoz vagy a fiókokhoz;
- később, néha hetekkel utána, a fájlok titkosítása.
Példa, szemléltetésképpen. Egy munkavállaló Word formátumú „kifizetetlen számlát” kap. A dokumentum egy elmosódott sávot mutat, és az olvasáshoz a tartalom engedélyezését kéri. Ha megteszi, a makró letölt egy programot, amely hozzáférést ad a munkaállomáshoz. A szerver fájljait csak később titkosítják. Ha a mellékletet érkezéskor eltávolítják, ez a lánc el sem kezdődik; ha átjut, minden azon múlik, hogy a felhasználó nem engedélyezi a makrót, azután pedig a mentésen.
Az átjáró az első lépésre hat. Nem látja a távoli hozzáférésen keresztüli behatolást, sem egy máshol ellopott jelszóval már megnyitott fiókot. Semmit sem állít vissza.
A cybermalveillance.gouv.fr rendszeres mentéseket, leválasztott másolatokat, ellenőrzött visszaállításokat és a frissítések haladéktalan telepítését ajánlja. Azt is ajánlja, hogy ne fizessék ki a véltalséget. Fájljai esetében a kérdéssel a Dokumentumkezelő rendszer védelme zsarolóvírus ellen és visszaállítása útmutató foglalkozik.
Ami emberi feladat marad
- Ne engedélyezze egy e-mailben kapott dokumentum makróit, még ha udvariasan kéri is.
- Ne adjon meg jelszót egy kapott linkről megnyitott oldalon; használja a szokásos címet vagy egy könyvjelzőt. A cybermalveillance.gouv.fr azt is tanácsolja, hogy ellenőrizze a webhely címét, ahol egyetlen karakter is eltérhet.
- Ne olvasson be e-mailben kapott QR-kódot „bejelentkezés” céljából.
- Inkább jelentse a gyanús üzenetet, mint hogy törölje: a bejelentés segíti a szűrőt, és figyelmezteti a kollégákat.
- Ne engedjen fel a karanténból egy nem várt üzenetet csak azért, hogy megnézze.
Minden elemzés korlátai
- A feladó által titkosított fájl: egy, az üzenetben megadott jelszóval védett archívum olvashatatlan a szűrő számára. Ez ismert kikerülési technika; szabállyal (karantén, figyelmeztetés) kell kezelni, nem a tartalom elemzésével.
- Az új, ismert szignatúra nélküli rosszindulatú dokumentum átjuthat a víruskeresőn. Ilyenkor a többi jelzés (feladó, kontextus, makrók) veszi át a szerepet, garancia nélkül.
- A kompromittált jogos fiók, amely valódi, de csapdát rejtő számlát küld, élvezi a feladónak járó bizalmat.
- Az utólag csapdává tett link átjut, ha senki nem ellenőrzi újra a kattintás pillanatában.
- A belső üzenet, amelyet ugyanazon levelezőrendszer két postafiókja vált egymással, anélkül, hogy elhagyná azt, nem halad át az elé helyezett átjárón: vagy a levelezőrendszer szűrője látja, vagy senki.
A karantén a kétes esetekre szolgál: az üzenet nem kerül kézbesítésre, de nem is vész el. Lásd: Karantén, téves riasztások és bejelentések.
Gyakori kérdések
Elvész-e egy eltávolított melléklet?
Az üzenet egy, az eltávolítást magyarázó megjegyzéssel érkezik meg. Ha a melléklet jogos volt, az adminisztrátor vagy a címzett a karanténon keresztül jut hozzá: lásd Karantén, téves riasztások és bejelentések.
Lehet-e egy PDF valóban veszélyes?
Igen: tartalmazhat szkripteket, vagy egy hamis bejelentkezési oldalra irányíthat. Ezért vizsgálja a rendszer ugyanúgy, mint egy Office-dokumentumot.
Miért van ma letiltva egy tegnap ellenőrzött link?
Az oldal a kézbesítés óta megváltozott. A kattintáskori védelem abban a pillanatban ítéli meg az oldalt, amikor megnyitja.
Elég-e egy átjáró a zsarolóvírusok ellen?
Nem. Csökkenti a levelezésen keresztüli behatolást. A többi a frissítések, a távoli hozzáférések és a mentés dolga. Lásd: Dokumentumkezelő rendszer védelme zsarolóvírus ellen és visszaállítása.
Hol helyezkedik el a Klytic
A Klytic MTA két csomagja közötti megoszlás, ahogyan közzétették:
| Elemzés | Essential | Advanced |
|---|
| Víruskereső és titkosított karantén | Igen | Igen |
| Csapdát rejtő Office-makrók és PDF-ek | Igen | Igen |
| Adathalászat elleni védelem, márkahamisítás, QR-kódok | Igen | Igen |
| Veszélyes mellékletek eltávolítása tájékoztató üzenettel | Igen | Igen |
| Biztonságos felengedés a karanténból és értesítések | Igen | Igen |
| Csapdát rejtő HTML-fájlok és a képekbe rejtett szöveg | Nem | Igen |
| A linkek újraelemzése a kattintás pillanatában | Nem | Igen |
A Klytic MTA bármely levelezőrendszer előtt működik, Klytic Mail nélkül is. Nem helyettesíti fájljai és postafiókjai mentését: a Klyticnél ezek maguknak a szolgáltatásoknak a mentései, amelyeket a biztonság és mentés oldal ír le.
Források
Megtekintve 2026 októberében.
- Cybermalveillance.gouv.fr, „Rançongiciel ou ransomware : que faire si votre organisation est victime d’une attaque ?”: meghatározás, behatolási módok (biztonsági rések, távoli hozzáférések, adathalászat, rosszindulatú program), leválasztott és tesztelt mentések, frissítések, a véltalség kifizetésének kerülése. cybermalveillance.gouv.fr
- Cybermalveillance.gouv.fr, „Que faire en cas de phishing ou hameçonnage ?”: a link és a webhely címének ellenőrzése, mielőtt adatokat adna meg. cybermalveillance.gouv.fr
- Klytic, Klytic MTA oldal: a mellékletek és a linkek elemzése az Essential és az Advanced csomagban, opciók, telepítési módok, üzembe helyezés az MX-en keresztül. klytic.com
- ANSSI, „Guide d’hygiène informatique”, 2.0-s verzió, 2017. szeptember, 24. intézkedés („Az üzleti levelezés védelme”): „A levelezés a munkaállomások fertőzésének fő forrása”. messervices.cyber.gouv.fr
- ANSSI, MonServiceSécurisé, intézkedési keretrendszer, „Spamszűrő és adathalászat elleni megoldás bevezetése” intézkedés: „A levelezőrendszerek a támadások egyik fő eszközei, mivel rendkívül széles körben használják őket, és ki vannak téve az internetnek”. monservicesecurise.cyber.gouv.fr
- ANSSI, „Recommandations relatives à l’interconnexion d’un système d’information à Internet”, ANSSI-PA-066, 3.0-s verzió, 2020. június 19., 5. fejezet („Az elektronikus levelező szolgáltatás biztonságossá tétele”): a levelezés „az informatikai támadások egyik fő eszközévé vált” (adathalászat, rosszindulatú mellékletek); 5.2.3. pont: spamszűrő és rosszindulatú tartalmat kereső mechanizmusokat „kell bevezetni”. messervices.cyber.gouv.fr
