Как hh.ru сократил время запуска антифишинговых тренировок с нескольких дней до считанных минут
Человек так или иначе участвует в 62% киберинцидентов в компаниях, а социальная инженерия входит в топ-3 самых распространенных типов атак. Фишинг остается одним из главных инструментов злоумышленников.
Технические средства команды безопасности hh.ru отслеживают трафик корпоративной почты, и команда видела из автоматизированных отчетов, что сотрудники регулярно сталкиваются с фишинговыми письмами. Поэтому в компании решили дополнить технические средства защиты регулярными тренировками, которые помогают распознавать подозрительные сообщения и своевременно сообщать о них в ИБ.
По данным hh.ru, сайт ежемесячно посещают 18 миллионов человек, в базе размещено 87 миллионов резюме, а по популярности среди порталов онлайн-рекрутинга hh.ru входит в топ-3 в мире.
«Технически команда останавливала фишинговые атаки, но в компании понимали: полностью закрыть риск только технологиями невозможно. Чтобы снизить число сработок и предотвратить реальные инциденты, hh.ru решил обучить сотрудников и научить их распознавать фишинг до того, как случится инцидент.
Технические средства защиты — основа безопасности, но ими невозможно полностью исключить все риски, например, риски социальной инженерии. Поэтому важно, чтобы сотрудники умели распознавать подозрительные сценарии и быстро сообщали о них команде ИБ»,- говорит Александр Кондаков,
подразделение кибербезопасности hh.ru
Задача. Защитить бизнес от взлома через фишинг
Для команды безопасности hh.ru было важно повысить защищенность компании и ее бизнес-процессов:
Усилить устойчивость бизнеса к атакам. Нужно поддерживать такой уровень безопасности в компании, при котором бизнес-процессы работают стабильно и не останавливаются. Для этого все сотрудники должны знать базовые требованиях ИБ и соблюдать их.
Для hh.ru важно поддерживать устойчивость сервисов и быстро реагировать на потенциальные угрозы. Чем раньше команда безопасности получает сигнал о подозрительной активности, тем больше возможностей предотвратить развитие инцидента и минимизировать его влияние на бизнес-процессы.
Снизить число сотрудников, которые попадаются на атаки. Важно, чтобы работники умели замечать признаки фишинга и при любых сомнениях обращались в команду кибербезопасности. Чем чаще сотрудники сталкиваются с примерами фишинга, тем лучше у них насмотренность. Они легче распознают подозрительные письма, а потом правильно реагируют — пересылают их в ИБ для проверки.
Также hh.ru было важно минимизировать число сотрудников, которые повторно попадаются на учебные фишинговые атаки.
Снизить нагрузку на команду безопасности. Команде ИБ важно сократить объем ручной работы, чтобы сфокусироваться на стратегических задачах.
В поисках решения hh.ru протестировал несколько платформ для повышения осведомленности. В итоге для организации регулярных тренировок и решения задач безопасности компания выбрала платформу Start AWR.
Решение. Регулярно тренировать навыки сотрудников и встроить повышение осведомленности в бизнес-процессы компании
В работе с платформой Start AWR hh.ru использует разные инструменты для организации антифишинговых тренировок и автоматизации процессов. Рассмотрим те из них, которые компания считает ключевыми.
Интеграция с SOC. Команда hh.ru интегрировала платформу для повышения осведомленности с корпоративной SOC-системой, через которую компания отслеживает события безопасности и реагирует на угрозы.
Схема интеграции Start AWR с SOC-системой hh.ru
Регулярные тренировки навыков. Сейчас hh.ru как минимум два раза в год отправляет каждому сотруднику имитированную фишинговую атаку.
Чуть больше внимания команда безопасности уделяет тренировкам коллег из ИТ, ИБ и команд разработки. Если во время реальной атаки злоумышленники получат доступ к учетной записи с привилегированными правами, то последствия для компании будут намного серьезнее.
Пример учебной атаки для hh.ru
Одна из главных задач команды ИБ — не замедлить бизнес-процессы из-за учебного фишинга. Если в имитированной фишинговой рассылке специалисты упоминают смежные команды, то заранее предупреждают коллег о возможной реакции пользователей — чтобы минимизировать влияние на рабочие процессы.
Планировщик имитированных атак Start AWR. Команда hh.ru автоматизировала запуск учебных атак по расписанию и отказалась от ручной настройки рассылок. Теперь специалисты могут растягивать отправку имитированной атаки на нужный период, чтобы повысить эффективность тренировок.
Результаты. Сотрудники чаще сообщают об атаках,
а запуск тренировок занимает всего пару минут
Команда безопасности hh.ru в первую очередь следит за двумя метриками: переход по имитированной фишинговой ссылке и ввод данных в псевдофишинговую форму.
А вот само открытие учебного письма специалисты не считают опасным действием — наоборот, сотруднику нужно открыть письмо, чтобы заметить признаки фишинга и распознать атаку.
Меньше чем за год использования платформы Start AWR hh.ru снизил нагрузку на команду ИБ и повысил вовлеченность сотрудников в вопросы безопасности:
- Время технического запуска учебной фишинговой кампании для 500 сотрудников сократилось с нескольких дней до считанных минут.
- Более 30% сотрудников hh.ru теперь сообщают команде ИБ о фишинге во время имитированных атак.
Команда безопасности часто замечает, что во время учебных атак сотрудники создают отдельные чаты и предупреждают друг друга: пришел фишинг, письмо пересылаем на проверку команде ИБ, по результатам проверки удаляем его и никак на него не реагируем – не переходим по ссылкам и не передаем данные. Это влияет на чистоту результатов тренировки, но во время реальной атаки такое поведение может помочь компании избежать инцидента.
Сотрудники из разных отделов интересуются вопросами безопасности и обращаются к команде ИБ не только по рабочим, но и по личным ситуациям. В hh.ru сформировалась сильная культура безопасности, которую поддерживают не только сотрудники, но и руководители компании.
Топ-менеджмент отлично понимает, что безопасность не существует сама по себе. Она помогает бизнесу двигаться без остановок.
Планы на будущее. Интеграция с LMS и знакомство с «троллями»
Уже после внедрения Start AWR в hh.ru появилась собственная корпоративная система обучения, поэтому сейчас сотрудники проходят курсы по безопасности внутри нее. Следующий шаг для команды — настроить интеграцию LMS и Start AWR.
Интеграция поможет связать обучение с тренировками, упростить сбор отчетности и собрать всю статистику в одном месте. До появления корпоративной LMS сотрудники особенно активно проходили мини-курсы и смотрели короткие обучающие видео, поэтому именно такой формат команда безопасности планирует использовать в первую очередь после настройки интеграции.
Start X-TV — короткие ролики, где концовка зависит от выбора пользователя. Сотрудники могут представить себя на месте героев и выбрать безопасное действие
Также команда ИБ хочет сделать обучение более гибким и дать сотрудникам возможность самостоятельно выбирать дополнительные курсы. Коллеги часто обращаются в службу безопасности и просят назначить обучение на конкретные темы, поэтому для команды важно поддержать этот интерес и открыть доступ ко всем курсам.
Еще одна интересная задача для ИБ-специалистов — познакомиться с «троллями». В hh.ru есть сотрудники, которые сразу понимают, что перед ними учебный фишинг, и специально переходят по ссылкам, чтобы посмотреть, что будет дальше. Некоторые даже делают это в песочнице, чтобы все было безопасно.
Иногда такие сотрудники оставляют шуточные послания в имитированных фишинговых формах.
Естьсотрудники, которые понимают — перед ними тренировочный фишинг — и хулиганят, специально оставляют послания в формах. Нам интересно раскрыть эту тайну. Я люблю этих троллей и хочу узнать, что же они мне пишут.
Сейчас Start AWR специально не сохраняет данные, которые пользователи вводят в учебные фишинговые формы. Так безопаснее: хранение такой информации создает дополнительные киберриски, поэтому Start AWR исключает это на уровне архитектуры.
