Phishing / Repository
phishing-surface-monitor
מערכת ניטור אוטומטית שמזהה באופן רציף דומייני פישינג, אתרים משוכפלים וקמפיינים של social engineering המכוונים לארגון שלכם באמצעות ניתוח certificate transparency logs, רישומי DNS ודמיון חזותי.
צפה ב-GitHub ↗אודות הפרויקט
Phishing Surface Monitor היא מערכת הגנה יזומה שנועדה לזהות התקפות פישינג נגד הארגון שלכם לפני שהן מגיעות לעובדים או ללקוחות. פישינג — הנוהג של שליחת תקשורות מרמות הנראות כאילו הגיעו ממקור מהימן — נשאר וקטור התקיפה היעיל ביותר ב-cybersecurity, ואחראי ליותר מ-90% מהפריצות המוצלחות. המערכת מנטרת מקורות נתונים מרובים כדי לזהות תשתית פישינג פוטנציאלית: Certificate Transparency (CT) Logs הם רשומות ציבוריות של כל תעודת SSL/TLS שהונפקה בעולם. על ידי ניטור הלוגים הללו עבור תעודות המכילות את שמות הדומיין או מילות המפתח של המותג שלכם, המערכת יכולה לזהות מתי תוקף רושם דומיין דומה למותג שלכם ומשיג עבורו תעודת SSL — לעיתים תוך דקות מרגע הנפקת התעודה. Passive DNS Monitoring עוקב אחרי רישומי דומיינים חדשים הדומים חזותית או פונטית לדומיינים המוגנים שלכם באמצעות אלגוריתמי typosquatting מתוחכמים (החלפת תווים, התקפות homoglyph, הוספה/מחיקה של מילים). Visual Similarity Analysis משתמשת ב-perceptual hashing ובהשוואת צילומי מסך כדי לזהות אתרים משוכפלים שמעתיקים את הזהות החזותית של הארגון שלכם, גם כאשר הם מאוחסנים על דומיינים לא קשורים. כאשר מתגלה דומיין פישינג פוטנציאלי, המערכת מקצה לו ציון איום על בסיס גורמים מרובים: דמיון דומיין, עיתוי הרישום, ניתוח תשתית האחסון ודפוסים היסטוריים. זיהויים בעלי ביטחון גבוה יכולים להפעיל אוטומטית בקשות הסרה דרך זרימות עבודה משולבות לדיווח על abuse מול ספקי אחסון ו-registrars גדולים. המערכת גם מתחזקת מסד נתונים היסטורי של כל האיומים שזוהו, ומאפשרת ניתוח מגמות, מעקב אחר קמפיינים ושיתוף מודיעין עם עמיתים בתעשייה ועם רשויות אכיפה.
למה זה חשוב
התקפות פישינג נעשות מתוחכמות יותר ויותר. קמפיינים מודרניים משתמשים בתעודות SSL תקפות, דפי נחיתה מעוצבים באופן מקצועי ונרטיבים של social engineering שמנוסחים בקפידה עד כדי כך שהם כמעט לא ניתנים להבחנה מתקשורות לגיטימיות. שערי אבטחת email מסורתיים תופסים הרבה הודעות פישינג, אך אינם יכולים למנוע התקפות המועברות דרך SMS (smishing), רשתות חברתיות, QR codes או ערוצים אחרים. המפתח להגנה יעילה נגד פישינג הוא זיהוי לפני מסירה — איתור תשתית פישינג בשלב ההקמה, לפני שנשלחים מיילים או הודעות מרמות. ניטור Certificate Transparency הוא חזק במיוחד משום שתוקפים שרוצים שאתרי הפישינג שלהם ייראו לגיטימיים (עם סמל המנעול) חייבים להשיג תעודות SSL, וכך נוצר אות שניתן לזהות בלוגי ה-CT הציבוריים. ארגונים שמנטרים באופן יזום את משטח הפישינג שלהם יכולים להוריד דומיינים זדוניים לפני שימוש, ובכך לצמצם את נפח התקפות הפישינג שמגיעות למשתמשים שלהם. זה קריטי במיוחד למוסדות פיננסיים, ארגוני בריאות וחברות טכנולוגיה שהם יעדים שכיחים לקמפיינים מתוחכמים של פישינג.
מדריך שלב-אחר-שלב
- הגדירו את הדומיינים, שמות המותג ומילות המפתח לניטור. הוסיפו את הדומיינים הראשיים שלכם, שגיאות כתיב נפוצות, שמות מותג, שמות מוצרים ושמות מנהלים לתצורת הניטור. המערכת תייצר וריאנטים של typosquatting אוטומטית באמצעות אלגוריתמים מרובים (bit-flipping, homoglyph substitution, keyword insertion).
- הפעילו את פידי הניטור של Certificate Transparency ושל passive DNS. מנטר ה-CT מתחבר לשרתי CT log מרכזיים (Google Argon, Cloudflare Nimbus, DigiCert, Let's Encrypt) ומעבד תעודות חדשות כמעט בזמן אמת. ניטור DNS עוקב אחר רישומים חדשים מ-registrars ומסדי WHOIS גדולים. הגדירו מרווחי polling בהתאם לפרופיל הסיכון של הארגון שלכם.
- הגדירו ספי זיהוי כדי לאזן בין רגישות לרעש. הגדרת הרגישות 'high' תופסת יותר איומים פוטנציאליים אך מייצרת יותר false positives — מומלצת לארגונים בסיכון גבוה (פיננסי, בריאות). ההגדרה 'medium' מספקת איזון טוב לרוב הארגונים. עברו על הספים וכווננו אותם מדי שבוע על סמך שיעור ה-false positive.
- שלבו את זרימת ההסרה האוטומטית בתהליך תגובת האירועים שלכם. כאשר מתגלה דומיין פישינג בעל ביטחון גבוה, המערכת יכולה להגיש אוטומטית דוחות abuse לספקי אחסון, registrars ו-Google Safe Browsing. עקבו אחר מצב ההסרה דרך לוח הניטור והסלימו ידנית אם ההסרות האוטומטיות אינן מושלמות בתוך ה-SLA שהגדרתם.