E-mail phishingowy ląduje we wtorek o 15:00. Temat wygląda wiarygodnie. Nazwa nadawcy pasuje do znanego dostawcy. Twój pracownik ukończył coroczne szkolenie z budowania świadomości bezpieczeństwa. W tym roku zaliczył trzy symulowane testy phishingowe.
I tak w niego klika.
To nie jest porażka pracownika. To porażka strategii bezpieczeństwa. Ludzie — pod presją, zmęczeni, zajęci, mierzący się z coraz bardziej wyrafinowanymi atakami — będą popełniać błędy. Budowanie postawy bezpieczeństwa zależnej od bezbłędności 500 osób nie jest postawą. To nadzieja.
Co szkolenie osiąga, a czego nie
Szkolenie z budowania świadomości bezpieczeństwa nie jest bezwartościowe. Dobrze przeprowadzone podnosi ogólną „inteligencję bezpieczeństwa” organizacji, pomaga ludziom rozpoznać oczywistą inżynierię społeczną i spełnia wymogi zgodności.
Ma jednak twarde ograniczenia:
- Spear-phishing generowany przez AI jest świadomy kontekstu, gramatycznie nienaganny i spersonalizowany. „Szukaj błędów gramatycznych” to przestarzała rada.
- Szkolenie zawodzi pod presją. Członek zarządu w sytuacji kryzysowej nie przechodzi przez listę kontrolną bezpieczeństwa przed kliknięciem.
- Wskaźniki klikalności osiągają plateau. Nawet dobrze przeszkolone grupy zachowują resztkowy wskaźnik klikalności, który wystarcza ukierunkowanemu atakującemu.
- Szkolenie nie zapobiega atakom typu credential stuffing, brute force ani kradzieży tokenów.
Kontrole techniczne, które naprawdę działają
Uwierzytelnianie wieloskładnikowe. MFA blokuje ponad 99% zautomatyzowanych ataków na dane uwierzytelniające (dane Microsoftu). Ale MFA oparte na SMS jest podatne na SIM swapping; powiadomienia push są podatne na zmęczenie MFA; klucze sprzętowe FIDO2 są z założenia odporne na phishing. Dla użytkowników wysokiego ryzyka odporne na phishing MFA jest obowiązkowe.
Dostęp warunkowy. Wymusza politykę dostępu na podstawie kontekstu: kto się loguje, z jakiego urządzenia, z jakiej lokalizacji. Logowanie z niezarządzanego urządzenia w nietypowym kraju o 2 w nocy jest blokowane automatycznie — niezależnie od tego, czy dane uwierzytelniające są poprawne. Skradzione dane uwierzytelniające stają się znacznie mniej użyteczne.
Zgodność urządzeń. Zarządzane urządzenia z EDR, szyfrowaniem dysku i aktualnymi poprawkami reprezentują zasadniczo inny profil ryzyka. Zasady dostępu warunkowego wymagające zgodności urządzenia uniemożliwiają dostęp do zasobów firmowych z przejętych prywatnych punktów końcowych.
Warstwy zabezpieczeń poczty. DMARC, DKIM i SPF chronią przed podszywaniem się pod domenę. Filtrowanie poczty z piaskownicą detonuje podejrzane załączniki, zanim dotrą do skrzynki. Bez jakiegokolwiek działania ze strony użytkownika.
Właściwa równowaga
Hierarchia powinna wyglądać tak: najpierw architektura (dostęp warunkowy, MFA, segmentacja sieci, zgodność urządzeń), następnie detekcja (SIEM, wykrywanie anomalii tożsamości, EDR), a dopiero potem szkolenie jako warstwa wspierająca.
Gdy Twoja architektura jest poprawna, kliknięcie linku phishingowego przez użytkownika to incydent możliwy do opanowania. Atakujący zdobywa dane uwierzytelniające, które nie działają bez MFA. Zgodność urządzeń blokuje przemieszczanie się. Wykrywanie anomalii oznacza próbę w ciągu kilku minut. Celem jest sprawienie, by błąd ludzki był odwracalny — a nie zapobieżenie wszystkim ludzkim błędom.
Skontaktuj się z ExColo, aby przejrzeć architekturę bezpieczeństwa tożsamości →
