Незалежне тестування підтверджує високий рівень захисту електронної пошти завдяки Secure Email Threat Defense

Електронна пошта досі залишається одним із найнадійніших способів для зловмисника проникнути в організацію. Не тому, що засоби захисту на периметрі слабкі, а тому, що електронні листи створені для того, щоб їх відкривали. Справжнє питання для будь-якої команди з безпеки полягає не в тому, чи потрапляють загрози до папки «Вхідні», а в тому, чи вдається їх зупинити до того, як користувач встигне на них відреагувати.

Cisco Secure Email Threat Defense (ETD) побудовано саме на цій передумові: надійно перехоплювати загрози в точці доставки й водночас не порушувати потік легітимних повідомлень. І нещодавно ефективність такого підходу була підтверджена незалежним тестуванням. Рішення ETD отримало нагороду AAA — найвищу можливу оцінку — в межах незалежного оцінювання SE Labs Advanced Email Security Evaluation. Продукт продемонстрував загальний показник точності 94% у всіх протестованих категоріях загроз.

Для якого середовища загроз розроблено ETD

Сучасні атаки через електронну пошту не мають єдиного сценарію. Організації, які захищає Cisco, стикаються з постійним поєднанням типового фішингу, дедалі складніших методів доставки шкідливого програмного забезпечення та компрометації ділової електронної пошти (Business Email Compromise, BEC) — атак, які можуть не містити ані шкідливого вкладення, ані небезпечного посилання, а лише переконливий запит від особи, яка виглядає як надійний контакт.

У межах незалежного оцінювання ETD одночасно тестували за чотирма категоріями загроз із використанням реальних методів атак, змодельованих на основі активності відомих груп зловмисників — від кампаній APT29 із PDF-файлами, що містять програми-вимагачі, до шкідливого ПЗ FIN7 із бекдорами, націленого на роздрібну торгівлю та фінансовий сектор. Тестування охоплювало навіть атаки північнокорейської групи AppleJeus, яка використовує методи drive-by download проти криптовалютного сектору. Тобто йдеться не про теоретичні сценарії, а про реальні методи, які сьогодні застосовуються проти організацій.

Ефективність у кожній категорії загроз

ETD виявила 478 із 486 загроз — рівень детектування склав 98%, причому кожна виявлена загроза була зупинена або заблокована до того, як вона змогла дістатися до користувача.

Різні види атак, але жодного проникнення у папку «Вхідні»

Фішинг і соціальна інженерія разом становлять значну частку атак, з якими стикаються більшість організацій. У випадку 300 фішингових спроб — включно з «квішингом» на основі QR-кодів та техніками ухилення з використанням посилань Google Translate — ETD забезпечила 100% захист. Кожен електронний лист було поміщено в карантин під контролем адміністратора або повністю заблоковано. Жоден із них не потрапив до папки «Вхідні».

Такий самий результат було продемонстровано щодо 100 зразків соціальної інженерії: шахрайства з видаванням себе за ФБР, фальшивих запитів на термінові платежі, лотерейного шахрайства та афер із виплатами коштів. Усі повідомлення було поміщено в карантин, і жодне з них не стало доступним для кінцевих користувачів.

Саме тут ETD забезпечує найбільш помітну й вимірювану цінність для команд з безпеки. Найпоширеніші категорії атак були повністю нейтралізовані, що допомагає зменшити «втому від сповіщень», мінімізувати ризики для користувачів і знизити потребу в попередженнях у темі листа, які співробітники з часом можуть почати ігнорувати.

Шкідливе ПЗ зупинено у 97% випадків

Розповсюдження шкідливого ПЗ через електронну пошту є окремою проблемою: його складно виявляти, воно може бути поліморфним і дедалі частіше пов’язане з досвідченими зловмисниками. З 60 зразків шкідливого програмного забезпечення — серед яких були програми-вимагачі від APT29 та APT-C-36, бекдори C2 від Gamaredon і Higaisa, а також кампанії з використанням шеллкоду FIN7 — ETD заблокувала 58.

Ще 22 зразки було заблоковано без сповіщення, 8 — відхилено з повідомленням відправника, а 28 — поміщено в карантин для перевірки адміністратором.

Два електронні листи все ж потрапили до папки «Вхідні». В обох випадках це були складні зразки, що використовували різні методи ухилення від виявлення. Рівень захисту 97% проти складних методів доставки шкідливого програмного забезпечення є високим результатом, а загальний показник точності враховує ці два пропуски через відповідні штрафні бали.

Для організацій у сферах енергетики, фінансових послуг, державного управління та роздрібної торгівлі, які часто стають цілями зловмисників, рівень блокування методів, спеціально розроблених для обходу засобів виявлення, досягнув 97%. Це означає суттєве зниження ризику порушення безпеки.

Найскладніша проблема — компрометація ділової електронної пошти

Про компрометацію ділової електронної пошти (Business Email Compromise, BEC) варто говорити окремо. Це одна з найскладніших категорій атак у сфері email-безпеки — для будь-якого постачальника, продукту чи архітектури.

Такі атаки не містять шкідливого програмного забезпечення, фішингових посилань або підозрілих вкладень. З технічної точки зору лист BEC може виглядати як цілком «чисте» повідомлення. Загроза полягає у намірі: наприклад, видати себе за генерального директора, щоб санкціонувати банківський переказ, або за постачальника, щоб перенаправити платіж.

З 26 зразків BEC — створених із використанням схожих доменів та імітації відносин із постачальниками для відтворення реальних атак — ETD виявила 20. Рівень виявлення склав 77%: 3 повідомлення було зупинено, 13 — поміщено в карантин, 1 — відхилено, 2 — нейтралізовано шляхом редагування вмісту, а 1 — коректно перенаправлено до папки «Спам». Ще 6 повідомлень потрапили до папки «Вхідні».

77% — це об’єктивний показник, який значно перевищує результати, яких самостійно досягають незахищені сервіси Microsoft 365 або Google Workspace. Водночас жоден продукт для захисту електронної пошти не усуває ризик BEC повністю. У разі фінансових запитів на великі суми Cisco рекомендує не покладатися лише на функціонал ETD, а додатково підтверджувати такі запити через альтернативний канал зв’язку. Такий багаторівневий підхід допомагає закрити прогалини, які неможливо усунути лише за допомогою технологій.

Безпека, яка не заважає роботі

Показник захисту відображає лише частину картини. Система, яка блокує все підряд, могла б отримати ідеальний результат щодо виявлення загроз, але водночас суттєво зашкодила б продуктивності. Саме в балансі між безпекою та зручністю використання багато рішень не витримують перевірки.

Зі 110 легітимних повідомлень, надісланих через ETD під час тестування, 99 надійшли безпосередньо до папки «Вхідні» без жодних змін. Ще 11 було перенаправлено до папки «Спам» — вони залишалися доступними для користувачів і не були втрачені. Жодного легітимного листа не було повністю заблоковано.

0 заблокованих легітимних листів. Кожне повідомлення залишалося доступним. 11 листів, перенаправлених до папки «Спам», можна було відкрити — це певна незручність, але не втрата комунікації.

Саме цей баланс — 98% виявлення загроз за відсутності серйозних помилкових спрацьовувань — і відображає загальний рейтинг точності на рівні 94%.

Що означає незалежна валідація для вашої стратегії безпеки

Кожен постачальник рішень для захисту електронної пошти публікує показники ефективності свого продукту. Незалежне тестування дає те, чого не може забезпечити звичайний технічний опис: перевірку в умовах, що імітують реальні атаки, із використанням реальних даних про загрози.

Під час оцінювання використовувалися задокументовані методи атак груп зловмисників, які націлюються на урядові структури, фінансові установи та критичну інфраструктуру. Ефективність ETD у таких умовах є важливим показником того, як система може працювати в реальному корпоративному середовищі.

Рейтинг AAA відображає збалансовану ефективність у всьому спектрі загроз: високий рівень захисту від масових атак, ефективність проти складного шкідливого програмного забезпечення, розуміння обмежень технологій у боротьбі з BEC та мінімальний вплив на легітимний обмін повідомленнями. Саме такий баланс і підтвердила незалежна оцінка.

Мегатрейд, як офіційний дистриб’ютор Cisco, є авторизованим каналом для придбання обладнання, ПЗ та сервісів Cisco на території України: sales@megatrade.ua, (044) 538-00-06

Технічні консультації для партнерів Мегатрейд: cisco@megatrade.ua

Революція в аналізі якості: чому 100-відсоткова прозорість змінює підхід до управління якістю в контакт-центрах

Парадокс інновацій: як зменшити кількість інцидентів на 25% та пришвидшити впровадження нових технологій