Klasyfikacja zagrożeń w Microsoft Defender dla Office 365

Skuteczna klasyfikacja zagrożeń jest kluczowym elementem cyberbezpieczeństwa, który umożliwia organizacjom szybkie identyfikowanie, ocenianie i ograniczanie potencjalnych zagrożeń. System klasyfikacji zagrożeń w Microsoft Defender dla Office 365 używa zaawansowanych technologii, takich jak duże modele językowe (LLM), małe modele językowe (SLA) i modele uczenia maszynowego (ML), aby automatycznie wykrywać i klasyfikować zagrożenia oparte na wiadomościach e-mail. Te modele współpracują ze sobą, aby zapewnić kompleksową, skalowalną i adaptacyjną klasyfikację zagrożeń, pomagając zespołom ds. zabezpieczeń wyprzedzić pojawiające się ataki.

Dzięki kategoryzowaniu zagrożeń związanych z pocztą e-mail do określonych typów, takich jak wyłudzanie informacji, złośliwe oprogramowanie i naruszenie zabezpieczeń poczty e-mail (BEC), nasz system zapewnia organizacjom szczegółowe informacje umożliwiające podjęcie działań w celu ochrony przed złośliwymi działaniami.

Typy zagrożeń

Typ zagrożenia odnosi się do podstawowej kategoryzacji zagrożenia na podstawie podstawowych cech lub metody ataku. W przeszłości te szerokie kategorie są identyfikowane na wczesnym etapie cyklu życia ataku i pomagają organizacjom zrozumieć charakter ataku. Typowe typy zagrożeń obejmują:

  • Wyłudzanie informacji: osoby atakujące personifikują zaufane jednostki, aby oszukać adresatów w celu ujawnienia poufnych informacji, takich jak poświadczenia logowania lub dane finansowe.
  • Złośliwe oprogramowanie: złośliwe oprogramowanie przeznaczone do uszkodzenia lub wykorzystania systemów, sieci lub urządzeń.
  • Spam: Niechciane, często nieistotne wiadomości e-mail wysyłane zbiorczo, zazwyczaj w celach złośliwych lub promocyjnych.

Wykrywanie zagrożeń

Wykrywanie zagrożeń odnosi się do technologii i metodologii używanych do identyfikowania określonych wskaźników lub podejrzanych działań w wiadomości e-mail lub komunikacji. Wykrywanie zagrożeń pomaga wykryć obecność zagrożeń, identyfikując anomalie lub cechy w komunikacie. Typowe wykrycia zagrożeń obejmują:

  • Fałszowanie: określa, kiedy adres e-mail nadawcy jest sfałszowany, aby wyglądać jak zaufane źródło.
  • Personifikacja: wykrywa, kiedy wiadomość e-mail personifikuje legalną jednostkę, taką jak dyrektor lub zaufany partner biznesowy, w celu nakłonienia adresatów do podjęcia szkodliwych działań.
  • Reputacja adresu URL: ocenia reputację adresów URL zawartych w wiadomości e-mail, aby określić, czy prowadzą one do złośliwych witryn internetowych.
  • Inne filtry

Klasyfikacja zagrożeń

Klasyfikacja zagrożeń to proces kategoryzowania zagrożenia na podstawie intencji i konkretnego charakteru ataku. System klasyfikacji zagrożeń wykorzystuje modele LLM, modele uczenia maszynowego i inne zaawansowane techniki, aby zrozumieć intencje stojące za zagrożeniami i umożliwić ich dokładniejszą klasyfikację. W miarę rozwoju systemu można oczekiwać, że nowe klasyfikacje zagrożeń będą nadążać za nowymi metodami ataków.

Obecnie dostępne klasy zagrożeń są opisane na następującej liście:

  • Oszustwo polegające na wyłudzaniu opłat z góry: Ofiarom obiecuje się duże korzyści finansowe, kontrakty lub nagrody w zamian za wniesienie opłaty z góry lub dokonanie serii płatności, których sprawca nigdy nie realizuje.

  • Adware: program, który wyświetla anons, który jest poza kontekstem

  • Rozpoznanie biznesowe: prośby o informacje dotyczące dostawców lub faktur, wykorzystywane przez atakujących do zbudowania profilu na potrzeby kolejnych ukierunkowanych ataków, często pochodzące z łudząco podobnej domeny, naśladującej zaufane źródło.

  • Nawiązanie kontaktu: Wiadomości e-mail (często o ogólnej treści) służące do sprawdzenia, czy skrzynka odbiorcza jest aktywna, oraz do zainicjowania rozmowy. Wiadomości te mają na celu obejście filtrów bezpieczeństwa i zbudowanie wiarygodnej reputacji dla przyszłych złośliwych wiadomości.

  • Downloader: trojan, który pobiera inne złośliwe oprogramowanie.

  • Karty upominkowe: Osoby atakujące personifikują zaufane osoby lub organizacje, przekonując odbiorcę do zakupu i wysyłania kodów kart upominkowych, często stosując taktykę inżynierii społecznej.

  • HackTool: Narzędzia, które są używane do hakowania.

  • Oszustwa związane z fakturami: faktury, które wyglądają legalnie, zmieniając szczegóły istniejącej faktury lub przesyłając oszukańczą fakturę, z zamiarem nakłonienia odbiorców do dokonywania płatności na rzecz osoby atakującej.

  • Oszustwa związane z listami płac: Manipuluj użytkownikami, aby aktualizować dane listy płac lub konta osobistego, aby przekierować środki pod kontrolę osoby atakującej.

  • Zbieranie danych osobowych :Osoby atakujące podszywają się pod osobę o wysokim rankingu, taką jak dyrektor generalny, w celu żądania danych osobowych. Po tych wiadomościach e-mail często następuje przejście do zewnętrznych kanałów komunikacyjnych, takich jak WhatsApp, lub wiadomości sms w celu uniknięcia wykrycia.

  • Oprogramowanie wymuszające okup: Oprogramowanie (często nazywane ransomware), które uniemożliwia użytkownikom korzystanie z komputera lub uzyskanie do niego dostępu, zwykle w szkodliwych celach. Oprogramowanie może wykonać następujące akcje:

    • Wymagaj od użytkowników zapłaty (okupu).

    • Szyfrowanie plików i innych danych.

    • Wymagaj od użytkowników wykonywania działań, takich jak odpowiadanie na ankiety lub CAPTCHAS, aby odzyskać dostęp do maszyny.

      Często użytkownicy nie mogą przenosić fokusu urządzenia wejściowego poza oprogramowanie wymuszające okup, a użytkownicy nie mogą łatwo zakończyć złośliwego procesu. W niektórych przypadkach oprogramowanie wymuszające okup odmawia dostępu do komputera użytkownikom, nawet po ponownym uruchomieniu lub rozruchu w trybie awaryjnym.

  • Trojan dostępu zdalnego: oprogramowanie, które zapewnia osobom atakującym nieautoryzowany dostęp zdalny i kontrolę nad zainfekowanym komputerem. Boty są podkategorią trojanów typu backdoor.

  • Programy szpiegujące: oprogramowanie, które może wykraść informacje od użytkownika, którego dotyczy problem, poza hasłami.

  • Oszustwa związane z zadaniami: krótkie, pozornie bezpieczne wiadomości e-mail z prośbą o pomoc w konkretnym zadaniu. Te żądania są przeznaczone do zbierania informacji lub wywoływania akcji, które mogą naruszyć bezpieczeństwo.

Gdzie są dostępne wyniki klasyfikacji zagrożeń

Wyniki klasyfikacji zagrożeń są dostępne w następujących środowiskach w usłudze Ochrona usługi Office 365 w usłudze Defender:

  • Ostatnia aktualizacja o