Üheks sedalaadi pettuseks on näiteks arvepettused, kus võltsitakse või võetakse üle organisatsiooni kirjavahetus partneriga ja vahetatakse õige arve kurjategijate poolt muudetud arve vastu ning ohver teeb ülekande partneri asemel hoopis kurjategijatele.
Organisatsiooni juhina, infoturbejuhina või IT juhina on sulle tähtis, et sinu kirjavahetus on usaldusväärne ja privaatne:
- keegi võõras ei saa sinu ega su äripartneri nime alt saata e-kirju, näiteks õngitsuskirju;
- sinu e-kirjavahetus äripartneritega on salajane ning seda ei ole võimalik pealt kuulata;
- sinu ja äripartneri saadetud kirjad jõuavad e-posti serverisse kohale sellisena, nagu need on saadetud, mitte näiteks muudetud manusega;
- sinu saadetud e-kirjad jõuavad adressaadile kohale, mitte ei jää kinni rämpspostifiltritesse.
E-kirjavahetuse turvalisuse ja usaldusväärsuse tagamiseks on olemas väga tõhusad meetodeid, mis ei nõua märkimisväärseid investeeringuid.
Käesolev artikkel annab lühiülevaate organisatsiooni domeeni (näiteks example.com) kaitsmise võimalustest, mida oma organisatsiooni IT-meeskonnalt või IT-teenusepakkujalt nõuda.
On väga tähtis, et valitud kaitseseadistused rakendatakse kõigile organisatsiooni poolt registreeritud domeenidele. Kaitsemeetmed tuleb rakendada ka mitteaktiivsetele domeenidele, mis on registreeritud näiteks kaubamärgi või brändi kaitseks või organisatsiooni ametliku domeeniga sarnaneva nimetuse kaitseks ja mida tegelikult ei kasutata, et ka neid ei oleks võimalik küberrünnakutes ära kasutada.
Järgnevate meetodite korrektne rakendamine meiliserveri ja nimeserveri ehk DNSi (DNS ehk Domain Name System) tasemel aitab oluliselt vähendada võimalust, et sinu organisatsiooni e-kirjavahetust saab võltsida. Samuti ei jää e-kirjad nii kergesti kinni erinevatesse rämpspostifiltritesse.
1. Kontrolli üle, et sinu domeeni halduskontaktide andmed on korrektsed. CERT-EE seirab .ee domeeniruumi ja saadab kriitiliste turvanõrkustega või kompromiteeritud lehtede omanikele vajadusel teavitusi. Õiged andmed tagavad, et teavitused jõuavad õigesse kohta ja saad haavatavustega süsteemid uuendada.
2. Turvaline andmevahetus – meiliserverite andmevahetuse kaitsmiseks tuleb lülitada sisse SMTP protokolli TLS-tugi, kasutada POP3s ja IMAPS protokolle ning serveri poolel ära keelata krüpteerimata POP3 ja IMAP protokollide tugi. Tähtis on kasutada e-posti serveri teenustel ainult usaldatud sertifikaate, mis on väljastatud õigele serveri täisnimele (FQDN – fully qualified domain name) ja sertifikaati on lubatud kasutada ka e-kirjade kaitsmiseks (Email protection);
3. SPF (Sender Policy Framework) on e-posti autentimise protokoll, mille eesmärk on piirata e-posti saatmist selleks mitte ette nähtud IP-lt või serverist. SPFi rakendamine aitab vähendada nende serverite hulka, mis saavad saata e-kirju sinu domeeni nimel. SPFi seadistamisel jälgi, et:
- SPF-kirjed saaks lisatud kõikidele sinu organisatsiooni domeenidele;
- SPF-kirjed saaksid loodud kõigi vajalike teenuste jaoks (näiteks e-posti server, raamatupidamistarkvara, kliendihaldussüsteem jms), mis tohivad samuti ettevõtte nimel kirju saata, sest loendist välja jäänud allikatest saadetud kirjed ei pruugi enam saajale kohale jõuda;
- E-kirja mass-saatjate (näiteks Smaily, MailChimp jm) või teiste sarnaste jagatud teenuste puhul soovitame neid mitte lisada SPF-kirjesse, vaid kasutada nende puhul DKIMi. Vastasel juhul lubaksime kõigil sama teenuse kasutajatel enda nimel e-kirju saata;
- SPFi kaitse töötab ainult siis, kui kasutada blokeerimist (kirje lõpuga -all), kirja märkimine kahtlaseks (kirje lõpuga ~all) ei taga vajalikku kaitset;
- Loe lähemalt SPFi kohta.
4. DKIM (DomainKeys Identified Mail) aitab vähendada võimalust, et edastatud e-kiri on võltsitud või edastuse käigus muudetud. DKIM lisab väljuvale e-kirjale saatja serveris tehtud valiku põhjal digitempli, mis võimaldab vastuvõtval serveril ja vastuvõtjal kontrollida nii saatja kui ka kirja õigsust. DKIM suurendab sinu domeenist saadetud kirjade kohale jõudmise tõenäosust ja aitab vähendada kirjade rämpspostiks markeerimist.
- DKIM tuleb seadistada igale organisatsiooni nimel e-kirju välja saatvale teenusele. Näiteks Outlook O365, veebiserver, uudiskiri, majandustarkvarast arvete või tellimuse kinnitamise saatmisel jne.
- Juhul kui teenusepakkuja (näiteks uudiskirju väljastav platvorm), ei paku DKIMi kasutamise võimalust, soovitame meiliturvalisuse huvides valida teenusepakkuja, mis seda võimaldab.
- Turvalisust tõstab oluliselt see, kui DKIM tempel lisatakse ka neile kirjadele, mis liiguvad sama domeeni kasutajate vahel, mitte ainult väljuvatele e-kirjadele.
5. DMARC (Domain-based Message Authentication Reporting and Conformance) näitab, et SPF ja/või DKIM on kasutusel ning võimaldab määrata, mida teha kirjaga, mis ei läbi autentimist (näiteks kas kiri saadetakse vastava teavitusega saatjale tagasi, pannakse karantiini, jõuab kasutajale kohale rämpspostiks märgituna või ei tehta midagi ja kiri jõuab kasutajani nagu tavaline kiri). Juhul kui rakendada karantiini, aga serveris puudub karantiini funktsionaalsus, jõuab kiri kasutajale ikka kohale.
- DMARC võimaldab saada ka raporteid väärkasutuse ja reeglitele mittevastavate kirjade kohta. Neid tasub regulaarselt jälgida, sest need võivad anda märku, et sul on kasutusel e-kirju saatvad teenused, millele ei ole SPFi/DKIMi seadistatud või sinu organisatsiooni e-kirju üritatakse võltsida.
- Soovitame kasutada karantiini ainult testimiseks ja kohe, kui raportite järgi olete saanud kõik probleemsed saatjad korda, tuleks minna üle tagasi saatmise reeglile.
- NB! Suuremad teenusepakkujad (nt Gmail) lükkavad juba kirju tagasi DMARCi vigade korral.
- Loe lähemalt DMARCi kohta.
6. MTA-STS (Mail Transfer Agent Strict Transport Security) on e-posti turvamehhanism, mille abil on võimalik näidata STARTTLSi kasutamise kohustust. See tähendab, et e-kirjad aktsepteeritakse ainult kasutades turvalist ühendust (TLSi ehk Transport Layer Security). MTA-STS rakendamine aitab niimoodi vähendada teel olevate e-kirjade pealtkuulamise võimalust.
- Tehniliselt on tegemist kooslusega nimeserveri txt-tüüpi kirjetest ja kindlas URL-formaadis (https://mta-sts.[domain]/.well-known/mta-sts.txt) domeeni veebiteenusena publitseeritud poliitikast. Vaata lähemalt.
- NB! Kui sul on vaja mingil põhjusel tagada, et aktsepteerid kirju ka kaitsmata andmesideühendusi kasutavate meiliserverite poolt, siis kasuta MTA-STSi testrežiimis, et tuvastada mittevastavad saatjad ja palu neil meiliserverid turvalisele ühendusele üle viia, et saaksid MTA-STSi rakendada.
7. DNSSEC (Domain Name System Security Extensions ehk domeeninimede süsteemi turvalaiendused) on turvameede, mis lisab DNSist saadetud andmetele digiallkirja. See võimaldab kontrollida, et serverist kasutajale edastatud andmed on autentsed ja muutmata.
8. DANE (DNS-based Authentication of Named Entities) on täiendav võimalus neile, kelle domeen on juba DNSSECiga kaitstud. DANE on protokoll, mis kasutab DNSSECi taristut lisaks DNS-kirjete digiallkirjastamisele ka kõikvõimalike teiste domeenidega seotud sertifikaatide jagamiseks, allkirjastamiseks ning kontrolliks. DANE on hea võimalus kommunikeerida usaldusväärselt oma meiliserverites kasutatavate sertifikaatide avalik võti, mille vastu saab saatja kogu ühenduse kohe krüpteerida.
Domeeni seadistuste korrektsust on võimalik kontrollida www.hardenize.com.
Meilivahetuse turvalisuse tagamiseks tuleb lisaks eeltoodule pöörata tähelepanu ka järgmistele teemadele (täpsemat infot leiab itvaatlik.ee lehelt ja E-ITSist):
- pahavaratõrje/viirusetõrje tarkvara kasutamine meiliserveris;
- spämmitõrjetarkvara meiliserveris;
- logimine ja monitooring;
- korrektne kasutajakontode haldus, paroolipoliitika ja kaheastmelise autentimise nõue;
- organisatsiooni meilisüsteemi kasutavate seadmete (tööarvutid, mobiilsed seadmed, ligipääs kodustest seadmetest) turvalisus;
- isiklike seadmete kaudu organisatsiooni andmete ligipääsu piiramine;
- kasutajate koolitamine küberhügieeni teemadel.
Ettevõtete vastaste pettuste kohta saab lähemalt lugeda lehelt itvaatlik.ee.
* Artikli illustratsioon on loodud Microsoft Bing Image Creatori tehisintellekti tarkvaraga.
Loomise kuupäev: 06.03.2025
