Măsuri de apărare și detectare phishing

Combaterea ingineriei sociale necesită o abordare integrată care îmbină soluții tehnice, educație continuă și politici organizaționale. Nicio tehnologie singulară nu poate oferi protecție completă — succesul depinde de stratificarea mecanismelor de apărare.

Apărare stratificată (Defence in Depth)

Principiu: implementarea mai multor nivele independente de securitate, astfel încât compromiterea unui nivel să nu conducă la compromiterea întregului sistem.

Nivel 1: Perimetru    → Filtre email, firewall, gateway securizat
Nivel 2: Rețea        → Segmentare, monitorizare trafic, IDS/IPS
Nivel 3: Endpoint     → Antivirus, EDR, patch management
Nivel 4: Aplicație    → Autentificare multifactorială, DMARC/SPF/DKIM
Nivel 5: Date         → Criptare, DLP (Data Loss Prevention)
Nivel 6: Uman         → Training, simulări phishing, „firewall uman"

Măsuri tehnice

Filtre de email

Soluțiile moderne de filtrare email analizează multiple aspecte:

Reputația expeditorului — verificare IP, domeniu, istoric
Conținutul mesajului — analiză semantică, cuvinte trigger, linkuri suspecte
Atașamentele — sandboxing, analiză comportamentală
Anomalii header — inconsistențe între câmpurile From, Reply-To, Message-ID

Autentificarea emailurilor: DMARC, SPF, DKIM

Protocol	Funcție	Descriere
SPF (Sender Policy Framework)	Autorizare server	Definește care servere au dreptul de a trimite emailuri în numele domeniului
DKIM (DomainKeys Identified Mail)	Integritate mesaj	Semnătură digitală care verifică că mesajul nu a fost modificat în tranzit
DMARC (Domain-based Message Authentication)	Politică + raportare	Combină SPF și DKIM, specificând ce se întâmplă cu emailurile care eșuează verificarea

Autentificarea multifactorială (MFA)

Adaugă un al doilea factor de autentificare pe lângă parolă:

Ceva ce știi — parolă, PIN
Ceva ce ai — token fizic, telefon mobil (SMS, aplicație authenticator)
Ceva ce ești — amprentă, recunoaștere facială

MFA reduce drastic impactul compromiterii parolelor prin phishing.

Segmentarea rețelei

Separarea rețelelor interne în segmente izolate limitează mișcarea laterală a atacatorilor. Cazul Target (2013) a demonstrat consecințele lipsei segmentării: atacatorii au accesat sistemele POS prin rețeaua HVAC nesegmentată.

Security Awareness Training (SAT)

Conceptul de „firewall uman": fiecare angajat instruit devine o linie de apărare activă împotriva atacurilor de inginerie socială.

Componente ale unui program SAT eficient

Instruire inițială — fundamentele securității cibernetice, recunoașterea phishing-ului
Simulări periodice de phishing — emailuri test care evaluează reacția angajaților
Feedback imediat — angajații care „cad" în simulare primesc instruire suplimentară instant
Evaluare continuă — monitorizarea progresului și adaptarea conținutului
Cultură de raportare — încurajarea raportării emailurilor suspecte fără teama de sancțiuni

Eficacitatea simulărilor

Teoria învățării constructiviste arată că experiența directă (simularea unui atac) este mult mai eficientă decât instruirea teoretică. Greșelile făcute în timpul simulărilor devin oportunități de învățare — angajatul care a deschis un email de test phishing va fi mai vigilent în viitor.

Platforme de simulare phishing

Platformă	Tip	Caracteristici principale
KnowBe4	Comercial	Bibliotecă vastă de template-uri, rapoarte detaliate, integrare LMS
Proofpoint	Comercial	Analiză avansată a amenințărilor, training adaptat
Hoxhunt	Comercial	Gamificare, simulări personalizate prin AI
GoPhish	Open-source	Gratuit, flexibil, necesită expertiză tehnică pentru configurare
King Phisher	Open-source	Funcționalități avansate, comunitate activă

Detectarea phishing prin Machine Learning

Metodele moderne de detectare a phishing-ului folosesc algoritmi de învățare automată (machine learning) pentru clasificarea emailurilor.

Algoritmi principali și performanțe

Algoritm	TPR (True Positive Rate)	Precizie	Observații
SVM (Support Vector Machine)	99,1%	Ridicată	Performanță excelentă pe seturi de date mari
Naive Bayes	97,2%	98,97%	Rapid, eficient pe texte, bun pentru clasificare binară
Arbori de decizie (Decision Trees)	Ridicat	Ridicată	Interpretabili, reguli explicite
Random Forest	Ridicat	~98%	Ansamblu de arbori, robust la overfitting

Abordarea hibridă: vectori de 19 caracteristici

Cea mai eficientă detectare folosește o abordare hibridă, combinând 19 caracteristici (vectori) extrase din mai multe surse:

Caracteristici de antet (header) — c1…c4:

c1: cuvinte „deghizate" în subiect (nume instituții financiare)
c2: discrepanță între adresa expeditorului și adresa de răspuns (spoofing)
c3: inconsistență între domeniul Message-ID și cel al expeditorului
c4: utilizarea formatului HTML (în loc de text simplu)

Caracteristici de link/URL — c5…c12:

c5: utilizarea adreselor IP în loc de nume de domeniu
c6: linkuri ascunse în imagini
c7: porturi non-standard (5566, 7654)
c8: exces de caractere hexazecimale (%) în URL
c9: utilizarea caracterului „@" pentru mascarea URL-ului real
c10: număr neobișnuit de separatori „."
c11: număr total de linkuri (emailurile de phishing au mai multe)
c12: număr total de domenii distincte

Caracteristici de conținut și emoționale — c13…c19:

c13: prezența cuvintelor trigger (urgent, suspendat, verificare)
c14: ton imperativ (verbe la imperativ)
c15: referințe la date personale (cont, parolă, card)
c16: sentiment de urgență (deadline-uri, consecințe)
c17: amenințări (suspendare cont, acțiuni legale)
c18: erori gramaticale/ortografice atipice
c19: scor emoțional global (combinație pondere a c13-c18)

Fiecare email este reprezentat ca un vector binar sau ponderat de 19 valori, clasificat apoi prin algoritmul ales.

Metrici de evaluare

Metrică	Formulă	Semnificație
TPR (True Positive Rate / Recall)	TP / (TP + FN)	Ce procent din emailurile phishing sunt detectate corect
FPR (False Positive Rate)	FP / (FP + TN)	Ce procent din emailurile legitime sunt marcate eronat ca phishing
Precizie (Precision)	TP / (TP + FP)	Din emailurile marcate ca phishing, câte sunt realmente phishing
Acuratețe (Accuracy)	(TP + TN) / Total	Procentul total de clasificări corecte
AUC (Area Under ROC Curve)	—	Măsură globală a calității clasificatorului (1.0 = perfect)

Obiectiv: maximizarea TPR (detectarea cât mai multor atacuri reale) simultaan cu minimizarea FPR (a nu bloca emailuri legitime).

Politici organizaționale și reglementări

Politici esențiale

Politica de parole: complexitate minimă, schimbare periodică, istoric, interzicerea reutilizării
Politica de utilizare acceptabilă (PUA): reguli clare pentru dispozitive USB, acces internet, email
Clasificarea informațiilor: niveluri de acces bazate pe principiul „need to know"
Certificare ISO/IEC 27001: cadru standardizat pentru managementul securității informațiilor
Planul de recuperare în caz de dezastru: proceduri pentru continuitatea activității după un incident

Principiul Zero Trust

„Never trust, always verify" — niciun utilizator sau dispozitiv nu este implicit de încredere, indiferent dacă se află în interiorul sau exteriorul rețelei organizației.

Validarea continuă a identității, a dispozitivului și a contextului accesului la fiecare solicitare de resurse.

Puncte cheie pentru examen

Defence in depth: mai multe nivele independente de securitate (perimetru, rețea, endpoint, aplicație, date, uman)
DMARC/SPF/DKIM: protocoale de autentificare email care previn spoofing-ul
MFA (autentificare multifactorială) reduce drastic impactul compromiterii parolelor
Security Awareness Training + simulări phishing = construirea „firewall-ului uman"
SVM atinge 99,1% TPR în detectarea phishing-ului; Naive Bayes atinge 98,97% precizie
Abordarea hibridă folosește 19 vectori de caracteristici: header (c1-c4), URL (c5-c12), conținut/emoțional (c13-c19)
Metrici esențiale: TPR (recall), FPR, precizie, acuratețe, AUC
Principiul Zero Trust: „never trust, always verify"
ISO/IEC 27001: standard internațional pentru managementul securității informațiilor
Nicio tehnologie singulară nu oferă protecție completă — este necesară integrarea tehnologiei cu educația și expertiza umană

Măsuri de apărare și detectare phishing