Ką tikrina priede
- Antivirusinė patikra: palyginimas su žinomomis kenkėjiškomis programomis. Veiksminga tam, kas jau plinta, mažiau – vienai kampanijai sukurtam failui.
- Office makrokomandos: Word ar Excel dokumentas, kuriame yra kodo ir kuris prašo „įjungti turinį“, kad jį paleistų. Tai sena, bet vis dar naudojama schema.
- PDF: scenarijai, paslėptos nuorodos, formos, nukreipiančios į netikrą prisijungimo puslapį.
- HTML failai: priedas, kuris atsidaro naršyklėje ir imituoja prisijungimo puslapį, nenaudodamas svetainės, kurią būtų galima užblokuoti.
- Paveikslėliai: QR kodas su nuoroda arba paveikslėlyje paslėptas tekstas, kad būtų išvengta teksto analizės.
Kai priedas įvertinamas kaip pavojingas, galimos dvi pagrįstos išeitys: pašalinti priedą ir pristatyti laišką su tai paaiškinančia pastaba arba perkelti visą laišką į karantiną. Abiem atvejais failas nepasiekia darbo vietos.
Nuorodos: pristatant, o tada paspaudus
Nuoroda analizuojama laiške: adreso ir domeno reputacija, panašumas į žinomą prekės ženklą, neseniai sukurtas domenas. QR kodas kelia ypatingą problemą: jis perkelia nuorodą iš apsaugoto kompiuterio į asmeninį telefoną, kuris dažnai apsaugotas silpniau. Jį nuskaičius paveikslėlyje, nuoroda vėl patenka į patikrą.
Tačiau 9 valandą saugi nuoroda 14 valandą gali tapti pavojinga. Sukčiai pirmiausia siunčia nuorodą į nekenksmingą puslapį, o pristatę laišką pakeičia puslapį. Todėl reikalinga apsauga paspaudus nuorodą: nuoroda perrašoma taip, kad naudotojui ją paspaudus būtų atliekama patikra. Jei puslapis tapo pavojingas, paspaudimas sustabdomas, net jei laiškas buvo pristatytas.
Bendrinimo nuorodų atvejis
Vis daugiau kenkėjiškų laiškų neturi jokių priedų: jie nukreipia į dokumentą, patalpintą žinomoje failų bendrinimo paslaugoje. Tada nuorodos domeno reputacija puiki, nes tai didelės paslaugos domenas. Analizė turi apimti kitus dalykus: ar siuntėjas įprastas, ar laiškas panašus į kampaniją, ar atidarytas puslapis prašo slaptažodžio? Būtent čia patikra paspaudus ir neįprasto elgesio aptikimas svarbesni už pavojingų domenų sąrašą.
Išpirkos programa: ką šliuzas gali padaryti ir ko negali
Cybermalveillance.gouv.fr aprašo išpirkos programą kaip ataką, kuri užblokuoja prieigą prie sistemos ar užšifruoja duomenis, kartais grasindama juos paskelbti, ir reikalauja išpirkos. Platforma pažymi, kad įsibrovimas paprastai vyksta per spragą ar netinkamai apsaugotą nuotolinę prieigą arba per paskyros ar įrenginio pažeidimą sukčiavimo laišku ar kenkėjiška programa.
El. paštas nėra vienintelis kelias, bet ANSSI jį įvardija kaip „pagrindinį darbo vietos užkrėtimo kelią“. Ta pati institucija mini „kenkėjiškų priedų siuntimą, siekiant išnaudoti darbo vietos pažeidžiamumus išpirkos ar šnipinėjimo tikslais“. Tai taip pat kelias, kurį galima filtruoti, kol jis nepasiekė pašto dėžutės. Tipinė eiga per el. paštą:
- laiškas su priedu ar nuoroda;
- įjungta makrokomanda arba netikrame puslapyje įvestas slaptažodis;
- prieiga prie tinklo ar paskyrų;
- vėliau, kartais po kelių savaičių, failų užšifravimas.
Pavyzdys, iliustracijai. Darbuotojas gauna Word formato „nesumokėtą sąskaitą faktūrą“. Dokumente rodoma neryški juosta ir prašoma įjungti turinį, kad būtų galima jį perskaityti. Jei jis tai padaro, makrokomanda atsisiunčia programą, suteikiančią prieigą prie darbo vietos. Serverio failai bus užšifruoti tik vėliau. Jei priedas pašalinamas gavimo metu, ši grandinė neprasideda; jei jis praeina, viskas priklauso nuo įpročio neįjungti makrokomandos, o tada – nuo atsarginės kopijos.
Šliuzas veikia pirmajame etape. Jis nemato įsibrovimo per nuotolinę prieigą ir paskyros, jau atidarytos kitur pavogtu slaptažodžiu. Jis nieko neatkuria.
Cybermalveillance.gouv.fr rekomenduoja reguliarias atsargines kopijas, atjungtas kopijas, patikrintus atkūrimus ir nedelsiant įdiegiamus atnaujinimus. Ji taip pat rekomenduoja nemokėti išpirkos. Jūsų failų klausimas nagrinėjamas puslapyje Kaip apsaugoti dokumentų valdymo sistemą nuo išpirkos programos ir ją atkurti.
Kas lieka žmogaus veiksmu
- Neįjungti el. paštu gauto dokumento makrokomandų, net jei jis to mandagiai prašo.
- Neįvesti slaptažodžio puslapyje, atidarytame iš gautos nuorodos; naudoti įprastą adresą ar žymę. Cybermalveillance.gouv.fr taip pat pataria patikrinti svetainės adresą, kuriame gali skirtis vienas simbolis.
- Nenuskaityti el. paštu gauto QR kodo, kad „prisijungtumėte“.
- Pranešti apie įtartiną laišką, o ne jį ištrinti: pranešimas padeda filtrui ir įspėja kolegas.
- Neišleisti iš karantino nelaukto laiško vien tam, kad pažiūrėtumėte.
Bet kurios analizės ribos
- Siuntėjo užšifruotas failas: archyvas, apsaugotas laiške nurodytu slaptažodžiu, filtrui neįskaitomas. Tai žinomas vengimo būdas; jis sprendžiamas taisykle (karantinas, įspėjimas), o ne turinio analize.
- Naujas kenkėjiškas dokumentas, neturintis žinomo parašo, gali praeiti antivirusinę patikrą. Tada darbą perėma kiti signalai (siuntėjas, kontekstas, makrokomandos), be garantijų.
- Teisėta įsilaužimo pažeista paskyra, siunčianti tikrą, bet pavojingą sąskaitą faktūrą, naudojasi pasitikėjimu siuntėju.
- Vėliau pavojinga tapusi nuoroda praeina, jei niekas jos dar kartą netikrina paspaudimo metu.
- Vidinis laiškas, kuriuo pasikeičia dvi tos pačios el. pašto sistemos pašto dėžutės, neišeidamas už jos ribų, nepereina per priekyje esantį šliuzą: jį mato el. pašto sistemos filtras arba niekas.
Karantinas skirtas abejotiniems atvejams: laiškas nei pristatomas, nei prarandamas. Žr. Karantinas, klaidingi teigiami rezultatai ir pranešimai.
Dažniausi klausimai
Ar pašalintas priedas prarandamas?
Laiškas atkeliauja su pašalinimą paaiškinančia pastaba. Jei priedas buvo teisėtas, administratorius ar gavėjas naudojasi karantinu: žr. Karantinas, klaidingi teigiami rezultatai ir pranešimai.
Ar PDF tikrai gali būti pavojingas?
Taip: jame gali būti scenarijų arba jis gali nukreipti į netikrą prisijungimo puslapį. Dėl to jis tikrinamas kaip Office dokumentas.
Kodėl vakar patikrinta nuoroda šiandien užblokuota?
Puslapis pasikeitė po pristatymo. Apsauga paspaudus nuorodą vertina puslapį tuo metu, kai jį atidarote.
Ar šliuzo pakanka nuo išpirkos programų?
Ne. Jis sumažina patekimą per el. paštą. Visa kita lieka atnaujinimams, nuotolinei prieigai ir atsarginei kopijai. Žr. Kaip apsaugoti dokumentų valdymo sistemą nuo išpirkos programos ir ją atkurti.
Kur yra Klytic
Klytic MTA funkcijų pasiskirstymas tarp dviejų planų, kaip paskelbta:
| Analizė | Essential | Advanced |
|---|
| Antivirusinė patikra ir šifruotas karantinas | Taip | Taip |
| Pavojingos Office makrokomandos ir PDF | Taip | Taip |
| Apsauga nuo sukčiavimo, prekės ženklo pasisavinimas, QR kodai | Taip | Taip |
| Pavojingi priedai pašalinami, pridedant informacinį pranešimą | Taip | Taip |
| Saugus išleidimas iš karantino ir pranešimai | Taip | Taip |
| Pavojingi HTML failai ir paveikslėliuose paslėptas tekstas | Ne | Taip |
| Nuorodos, iš naujo analizuojamos paspaudimo metu | Ne | Taip |
Klytic MTA veikia prieš bet kokią el. pašto sistemą, be Klytic Mail. Jis nepakeičia jūsų failų ir pašto dėžučių atsarginių kopijų: Klytic tai pačių paslaugų atsarginės kopijos, aprašytos puslapyje saugumas ir atsarginės kopijos.
Šaltiniai
Peržiūrėta 2026 m. spalį.
- Cybermalveillance.gouv.fr, „Rançongiciel ou ransomware : que faire si votre organisation est victime d’une attaque ?“: apibrėžimas, įsibrovimo būdai (spragos, nuotolinė prieiga, sukčiavimas, kenkėjiška programa), atjungtos ir patikrintos atsarginės kopijos, atnaujinimai, nemokėti. cybermalveillance.gouv.fr
- Cybermalveillance.gouv.fr, „Que faire en cas de phishing ou hameçonnage ?“: patikrinti nuorodos ir svetainės adresą prieš įvedant informaciją. cybermalveillance.gouv.fr
- Klytic, Klytic MTA puslapis: priedų ir nuorodų analizė Essential ir Advanced planuose, papildomos paslaugos, diegimo būdai, paleidimas per MX. klytic.com
- ANSSI, „Guide d’hygiène informatique“, 2.0 versija, 2017 m. rugsėjis, 24 priemonė „Protéger sa messagerie professionnelle“: „el. paštas yra pagrindinis darbo vietos užkrėtimo kelias“. messervices.cyber.gouv.fr
- ANSSI, MonServiceSécurisé, priemonių sąvadas, priemonė „Mettre en œuvre une solution d’anti-spam et d’anti-hameçonnage“: „el. pašto sistemos yra vienas pagrindinių atakų kelių, nes jos labai plačiai naudojamos ir prieinamos internete“. monservicesecurise.cyber.gouv.fr
- ANSSI, „Recommandations relatives à l’interconnexion d’un système d’information à Internet“, ANSSI-PA-066, 3.0 versija, 2020 m. birželio 19 d., 5 skyrius „Sécurisation du service de messagerie électronique“: el. paštas „tapo vienu pagrindinių kibernetinių atakų kelių“ (sukčiavimas, kenkėjiški priedai); 5.2.3 punktas: apsaugos nuo šlamšto ir kenkėjiško turinio paieškos mechanizmai „turi būti įdiegti“. messervices.cyber.gouv.fr
