Kaj se preveri v priponki
- Protivirusni pregled: primerjava z znanimi zlonamernimi programi. Učinkovit pri tistem, kar že kroži, manj pri datoteki, izdelani za eno samo kampanjo.
- Makri Office: dokument Word ali Excel, ki vsebuje kodo in za njen zagon zahteva »omogočanje vsebine«. To je star vzorec, ki se še vedno uporablja.
- PDF: skripti, skrite povezave, obrazci, ki vodijo na lažno prijavno stran.
- Datoteke HTML: priponka, ki se odpre v brskalniku in posnema prijavno stran, ne da bi šla prek spletnega mesta, ki bi ga lahko blokirali.
- Slike: koda QR, ki vsebuje povezavo, ali besedilo, skrito v sliki, da se izogne analizi besedila.
Ko je priponka ocenjena kot nevarna, sta smiselna dva izida: odstraniti priponko in sporočilo dostaviti z opombo, ki to pojasni, ali celotno sporočilo dati v karanteno. V obeh primerih datoteka ne pride na delovno postajo.
Povezave: ob dostavi, nato ob kliku
Povezava se analizira v sporočilu: ugled naslova in domene, podobnost z znano blagovno znamko, nedavno ustvarjena domena. Koda QR predstavlja posebno težavo: povezavo prenese z zaščitenega računalnika na osebni telefon, ki je pogosto manj zaščiten. Če jo preberemo v sliki, povezavo vrnemo pod nadzor.
Toda povezava, ki je ob 9. uri čista, je lahko ob 14. uri okumena. Goljufi najprej pošljejo povezavo na neškodljivo stran, nato stran spremenijo, ko je sporočilo dostavljeno. Zato obstaja zaščita ob kliku: povezava se prepiše, tako da gre ob kliku uporabnika skozi preverjanje. Če je stran postala nevarna, se klik ustavi, tudi če je bilo sporočilo dostavljeno.
Povezave za deljenje
Vse več zlonamernih sporočil ne vsebuje nobene priponke: vodijo na dokument, odložen v znani storitvi za deljenje datotek. Domena povezave ima tedaj odličen ugled, saj je to domena velike storitve. Analiza se mora osredotočiti na preostalo: ali je pošiljatelj običajen, ali je sporočilo podobno kampanji, ali odprta stran zahteva geslo? Tu sta preverjanje ob kliku in zaznavanje neobičajnega vedenja pomembnejša od seznama nevarnih domen.
Izsiljevalska programska oprema: kaj prehod zmore in česa ne
Cybermalveillance.gouv.fr izsiljevalsko programsko opremo opisuje kot napad, ki blokira dostop do sistema ali šifrira podatke in včasih grozi z njihovo objavo, v zameno za odkupnino. Navaja, da vdor praviloma poteka prek ranljivosti ali slabo zavarovanega oddaljenega dostopa ali prek ogroženega računa ali naprave zaradi phishinga ali zlonamernega programa.
E-pošta ni edini vhod, vendar jo ANSSI označuje kot »glavni vektor okužb delovnih postaj«. Ista organizacija navaja »pošiljanje zlonamernih priponk za izkoriščanje ranljivosti delovne postaje z namenom izsiljevanja ali vohunjenja«. To je tudi vhod, ki ga je mogoče filtrirati, preden doseže nabiralnik. Tipičen potek prek e-pošte:
- sporočilo s priponko ali povezavo;
- omogočen makro ali geslo, vneseno na lažni strani;
- dostop do omrežja ali računov;
- pozneje, včasih tedne kasneje, šifriranje datotek.
Primer v ponazoritev. Zaposleni prejme »neporavnan račun« v obliki Word. Dokument prikaže zamegljen pas in zahteva omogočanje vsebine za branje. Če to stori, makro prenese program, ki omogoči dostop do delovne postaje. Datoteke na strežniku bodo šifrirane šele pozneje. Če je priponka ob prihodu odstranjena, se ta veriga ne začne; če pride skozi, je vse odvisno od refleksa, da makra ne omogočimo, nato od varnostne kopije.
Prehod deluje na prvem koraku. Ne vidi vdora prek oddaljenega dostopa niti računa, ki je bil že odprt z geslom, ukradenim drugje. Ničesar ne obnovi.
Cybermalveillance.gouv.fr priporoča redne varnostne kopije, kopije brez povezave, preverjene obnove in takojšnje nameščanje posodobitev. Priporoča tudi, da odkupnine ne plačate. Za vaše datoteke je vprašanje obravnavano v Zaščita DMS pred izsiljevalsko programsko opremo in obnova.
Kaj ostaja človeško dejanje
- Ne omogočajte makrov v dokumentu, prejetem po e-pošti, tudi če vas vljudno prosi.
- Ne vnašajte gesla na strani, odprti iz prejete povezave; uporabite običajni naslov ali zaznamek. Cybermalveillance.gouv.fr svetuje tudi preverjanje naslova spletnega mesta, kjer se lahko spremeni en sam znak.
- Ne skenirajte kode QR, prejete po e-pošti, da bi se »prijavili«.
- Dvomljivo sporočilo prijavite, namesto da ga izbrišete: prijava pomaga filtru in opozori sodelavce.
- Iz karantene ne sprostite sporočila, ki ga niste pričakovali, samo zato, da bi videli, kaj je.
Omejitve vsake analize
- Datoteka, ki jo je šifriral pošiljatelj: arhiv, zaščiten z geslom, navedenim v sporočilu, je za filter neberljiv. To je znana tehnika izogibanja; obravnava se s pravilom (karantena, opozorilo), ne z analizo vsebine.
- Nov zlonamerni dokument brez znanega podpisa lahko pride mimo protivirusnega pregleda. Takrat prevzamejo drugi signali (pošiljatelj, kontekst, makri), brez jamstva.
- Ogrožen legitimen račun, ki pošlje pravi, a okumen račun, uživa zaupanje do pošiljatelja.
- Povezava, okumena pozneje, pride skozi, če je nihče ne preveri znova ob kliku.
- Notranje sporočilo, izmenjano med dvema nabiralnikoma istega e-poštnega sistema, ne da bi ga zapustilo, ne gre skozi prehod pred njim: vidi ga filter e-pošte ali nihče.
Karantena obstaja za dvomljive primere: sporočilo ni ne dostavljeno ne izgubljeno. Glejte Karantena, lažni pozitivni rezultati in prijave.
Pogosta vprašanja
Ali je odstranjena priponka izgubljena?
Sporočilo prispe z opombo, ki pojasni odstranitev. Če je bila priponka legitimna, skrbnik ali prejemnik uporabi karanteno: glejte Karantena, lažni pozitivni rezultati in prijave.
Ali je PDF res lahko nevaren?
Da: vsebuje lahko skripte ali vodi na lažno prijavno stran. Zato se pregleda kot dokument Office.
Zakaj je povezava, ki je bila včeraj preverjena, danes blokirana?
Stran se je od dostave spremenila. Zaščita ob kliku stran oceni v trenutku, ko jo odprete.
Ali prehod zadošča proti izsiljevalski programski opremi?
Ne. Zmanjša vstop prek e-pošte. Preostalo opravijo posodobitve, oddaljeni dostopi in varnostno kopiranje. Glejte Zaščita DMS pred izsiljevalsko programsko opremo in obnova.
Kje je Klytic
Razdelitev Klytic MTA med oba paketa, kot je objavljena:
| Analiza | Essential | Advanced |
|---|
| Protivirusni pregled in šifrirana karantena | Da | Da |
| Okumeni makri Office in PDF | Da | Da |
| Zaščita pred phishingom, zloraba blagovne znamke, kode QR | Da | Da |
| Nevarne priponke odstranjene, z obvestilom | Da | Da |
| Varna sprostitev iz karantene in obvestila | Da | Da |
| Okumene datoteke HTML in besedilo, skrito v slikah | Ne | Da |
| Povezave, znova analizirane ob kliku | Ne | Da |
Klytic MTA deluje pred katerim koli e-poštnim sistemom, brez Klytic Mail. Ne nadomesti varnostnega kopiranja vaših datotek in nabiralnikov: pri Klytic so to varnostne kopije samih storitev, opisane na strani varnost in varnostno kopiranje.
Viri
Pregledano oktobra 2026.
- Cybermalveillance.gouv.fr, »Rançongiciel ou ransomware : que faire si votre organisation est victime d’une attaque ?«: opredelitev, načini vdora (ranljivosti, oddaljeni dostopi, phishing, zlonamerni program), varnostne kopije brez povezave in preizkušene, posodobitve, ne plačati. cybermalveillance.gouv.fr
- Cybermalveillance.gouv.fr, »Que faire en cas de phishing ou hameçonnage ?«: preveriti naslov povezave in spletnega mesta pred vnosom podatkov. cybermalveillance.gouv.fr
- Klytic, stran Klytic MTA: analize priponk in povezav v paketih Essential in Advanced, dodatne možnosti, načini namestitve, vzpostavitev prek zapisa MX. klytic.com
- ANSSI, »Guide d’hygiène informatique«, različica 2.0, september 2017, ukrep 24 »Zaščita poslovne e-pošte«: »E-pošta je glavni vektor okužb delovnih postaj.« messervices.cyber.gouv.fr
- ANSSI, MonServiceSécurisé, nabor ukrepov, ukrep »Uvesti rešitev proti neželeni pošti in phishingu«: »E-poštni sistemi so eden glavnih vektorjev napadov, saj so zelo razširjeni in izpostavljeni na internetu.« monservicesecurise.cyber.gouv.fr
- ANSSI, »Recommandations relatives à l’interconnexion d’un système d’information à Internet«, ANSSI-PA-066, različica 3.0, 19. junij 2020, poglavje 5 »Zavarovanje e-poštne storitve«: e-pošta »je postala eden glavnih vektorjev računalniških napadov« (phishing, zlonamerne priponke); § 5.2.3, mehanizme proti neželeni pošti in za iskanje zlonamerne vsebine »je treba uvesti«. messervices.cyber.gouv.fr
