Phishing-E-Mails, die Office 365-Kunden anvisieren, sind Umfrageergebnissen zufolge die führende Ursache von Sicherheitsverletzungen.
Falls Sie es verpasst haben: 2018 wurde Phishing offiziell zur Hauptsorge von IT- und Sicherheitsmanagern, die Office 365 in ihren Unternehmen bereitgestellt haben. Phishing übertraf laut einer Cybersicherheits-Umfrage von Osterman Research, die wir hier besprochen haben, Ransomware als schwerwiegendstes Sicherheitsproblem. Andere Ergebnisse der gleichen Umfrage räumen gründlich auf mit der Idee, dass Unternehmen und Sicherheitsanbieter im Kampf gegen Phishing die Oberhand gewinnen könnten: Der Trend verläuft klar in der entgegengesetzten Richtung.
Um nur einige wichtige Punkte erneut aufzuführen: Der Umfrage zufolge ist Phishing die Hauptquelle von Sicherheitsverletzungen bei Unternehmen. Mehr als die Hälfte der Organisationen melden mindestens einen erfolgreichen Phishing-Angriff in den vergangenen 12 Monaten (sie meldeten sogar durchschnittlich 11,7 erfolgreiche Phishing-Angriffe oder einen pro Monat …). Dies geht Hand in Hand mit der Tatsache, dass mehr als die Hälfte der Teilnehmer angaben, dass das Volumen von Phishing-E-Mails (sowohl volumen- als auch zielgerichtetes Phishing), das bei ihren Office 365-Benutzern ankommt, im vergangenen Jahr um 25 Prozent zunahm. Die gleiche Anzahl an Befragten bezeichnete ihre Phishing-Sicherheit als „schlecht“ oder „mittelmäßig“.
Wie gegen schwer zu erkennendes Phishing vorgehen?
Der Ansturm an Phishing-Angriffen und erfolgreichen Verletzungen korreliert direkt mit dem jüngsten Aufstieg der Phishing-as-a-Service-Industrie und der zunehmenden Nutzung von schwer zu erkennenden Phishing-Methoden. Um Ihre Sicherheit zu verbessern, können Sie die folgenden fünf Schritte in Erwägung ziehen, die wir in einer Einführung in Office 365-Phishing-Sicherheitslösungen (Link ganz unten) aufgeführt haben:
- Ergänzen Sie die native Office 365-E-Mail-Sicherheit mit cloudbasiertem E-Mail-Gateway-Schutz von einem Sicherheitsanbieter. Cloudbasierte sichere E-Mail-Gateways bieten erweiterte Sicherheit wie Time-of-Click-URL-Analysen, Inline-Sandboxing und robusteren Schutz vor Phishing und Spear-Phishing.
- Stellen Sie Posteingangs-Scanning nach der Zustellung bereit. Fügen Sie eine Phishing-Sicherheitsschicht am Posteingang hinzu, die aktiviert wird, nachdem eine E-Mail vom Gateway gescannt und zugestellt wurde. Wählen Sie unter cloudbasierten Diensten, die kontinuierlich Office 365-Benutzer-Posteingänge überwachen, Sicherheitsverletzungen erfassen und beheben. Solche Dienste können auch nützlich sein, um die Reaktion bei einem Vorfall zu unterstützen, indem E-Mail-Administratoren benachrichtigt werden, um eine sofortige Untersuchung einzuleiten, und nach Auffinden einer Sicherheitsverletzung das Entfernen des gleichen E-Mail-Angriffs aus den Posteingängen aller Benutzer zu automatisieren.
- Stellen Sie ein Web-Sicherheits-Gateway bereit. Ein wirksames Websicherheits-Gateway blockiert Verbindungen zu Phishing-Websites und Botnet-Command & Control-Servern (Befehls- und Steuerzentralen). Weil die meisten Bedrohungen heutzutage „gemischte Bedrohungen“ darstellen, die per E-Mail eintreffen, aber über das Internet fertiggestellt werden, kann eine effektive Websicherheit als Erweiterung der E-Mail-Sicherheit (und umgekehrt!) betrachtet werden.
- Verwenden Sie Multi-Faktor-Authentifizierung. Die Wiederverwendung von Passwörtern macht Phishing für Kriminelle besonders attraktiv. Implementieren Sie Multi-Faktor-Authentifizierung unter Office 365, um Verletzungen der E-Mail-Account-Sicherheit zu verhindern. Office 365-Anmeldedaten (und die für andere Microsoft-Anwendungen) betreffen die Geschäftsanwendungen, die am häufigsten ins Visier geraten. Das liegt an ihrer weiten Verbreitung und der Tatsache, dass nach Erfassen der Anmeldedaten für eine Anwendung auch die Tore der anderen integrierten Dienste völlig offen stehen.
- Schulen Sie Benutzer kontinuierlich. Schulen Sie Benutzer zu Social Engineering-Tricks, die von Kriminellen eingesetzt werden, testen Sie die Benutzer und wiederholen Sie dies kontinuierlich. Die oben zitierte Umfrage von Osterman Research ergab, dass 94 Prozent der Unternehmen mit mehr als 100 Mitarbeitern eine Phishing-Schulung durchführen. Die Tatsache, dass die meisten Phishing-Angriffe trotzdem Erfolg haben, bedeutet offensichtlich, dass es nicht ausreicht, sich darauf zu verlassen, dass Mitarbeiter Phishing-E-Mail erkennen. Oft hört man Aussagen von IT-Managern wie z. B. „40 Prozent meiner Benutzer klicken auf alles …“. Das Konzept der umfassenden Verteidigung oder „Defense-in-Depth“ betont aber, dass informierte Mitarbeiter zur Risikominderung beitragen.
Holen Sie sich hier kostenlos die zweiseitige Office 365-Phishing-Sicherheitseinführung sowie den oben angesprochenen Osterman Research Office 365-Sicherheits-Benchmarking-Bericht.